Ubuntu 16.04에 Bro IDS 설치

• 소개
• 전제 조건
• 1 단계 : 시스템 업데이트
• 2 단계 : 종속성 설치
• 3 단계 : Bro 설치
• 4 단계 : Bro 구성
• 5 단계 : Bro 시작
• 6 단계 : Bro 테스트

소개

Bro는 강력한 오픈 소스 네트워크 분석 프레임 워크입니다. Bro의 주요 초점은 네트워크 보안 모니터링에 있습니다. 또한 Bro는 일반적인 트래픽 분석 및 문제 해결 지원 및 성능 측정을위한 플랫폼을 제공합니다. 외부 애플리케이션을 사용한 후 처리에 적합한 구조화 된 로그 파일의 방대한 데이터를 포함하는 광범위한 로그 파일을 제공합니다. 이 로그에는 다음이 포함됩니다.

• 요청 된 URL, 키 헤더, MIME 유형 및 서버 응답이있는 모든 HTTP 세션
• 답글이있는 DNS 요청.
• SMTP 세션의 주요 내용.
• SSL 인증서.

Bro는 또한 다음과 같은 다양한 분석 및 탐지 작업을 제공합니다.

• HTTP 세션에서 파일 추출
• SSH 무차별 대입 공격 탐지
• 외부 레지스트리와 인터페이스하여 악성 프로그램을 탐지합니다.
• 네트워크에서 보이는 취약한 버전의 소프트웨어보고
• SQL 인젝션 공격을 탐지합니다.

Bro는 독립 실행 형 시스템으로 설치하거나 일련의 시스템을 연결하여 네트워크 트래픽을 공동으로 분석 하는 Bro Cluster의 일부로 설치할 수 있습니다 . 이 학습서에서는 소스에서 Bro를 독립형 모드로 설치합니다.

전제 조건

• 메모리가 1GB 이상인 Ubuntu 16.04 인스턴스
• 루트가 아닌 sudo 사용자

1 단계 : 시스템 업데이트

설치를 시작하기 전에 시스템을 업데이트하는 것이 좋습니다.

sudo apt-get update
sudo apt-get upgrade

2 단계 : 종속성 설치

다음으로 필요한 모든 패키지를 서버에 설치해야합니다.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

3 단계 : Bro 설치

다음으로 소스에서 Bro 2.5.2를 설치합니다. 최신 빌드를 사용하고 있는지 Bro의 다운로드 페이지 를 방문하십시오 .

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

4 단계 : Bro 구성

먼저 Bro에게 모니터링 할 인터페이스를 알려줍니다. 이것은 구성 파일을 편집하여 수행됩니다 /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

라인을 찾아 interface=eth0인터페이스로 변경하십시오.

interface=ens3

다음과 함께 사용중인 인터페이스를 찾을 수 있습니다.

ifconfig

다음으로 이메일 주소를에 추가하여 Bro에게 로그 이메일을 보낼 위치를 알려야합니다 /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

MailTo줄을 찾아 이메일 주소를 추가하십시오.

MailTo = [email protected]

5 단계 : Bro 시작

Bro가 설치를 시작하기 위해를 사용하기 시작했습니다 BroControl.

sudo /nsm/bro/bin/broctl
install
exit

이제 Bro를 시작할 수 있습니다.

sudo /nsm/bro/bin/broctl deploy

다음으로 시작시 Bro를에 추가하여 Bro를 설정합니다 /etc/rc.local.

sudo nano /etc /rc.local

다음 줄을 추가 한 다음 파일을 닫고 저장하십시오.

/nsm/bro/bin/broctl start

다음으로 cron 작업을 추가합니다.

crontab -e

Bro를 유지하려면 다음을 추가하십시오.

0-59/5 * * * * /nsm/bro/bin/broctl cron

6 단계 : Bro 테스트

Bro를 테스트하기 위해을 conn.log사용하여 파일을 실시간으로 봅니다 tail.

tail -f /nsm/bro/logs/current/conn.log

터미널에 인쇄 될 때 Bro의 출력을 볼 수 있습니다.