Bro IDS installeren op Fedora 25

• Invoering
• Vereisten
• Stap 1: werk het systeem bij
• Stap 2: installeer afhankelijkheden
• Stap 3: Installeer Bro IDS
• Stap 4: Configureer Bro IDS
• Stap 5: Start BroCtl
• Stap 5: Test uw installatie

Invoering

Bro is een open-source netwerkverkeeranalysator. Het is in de eerste plaats een beveiligingsmonitor die al het verkeer op een link grondig inspecteert op tekenen van verdachte activiteit. Meer in het algemeen ondersteunt Bro echter een breed scala aan verkeersanalysetaken, zelfs buiten het beveiligingsdomein, inclusief prestatiemetingen en hulp bij het oplossen van problemen.

Vereisten

Voordat u Bro installeert, moet u ervoor zorgen dat sommige afhankelijkheden aanwezig zijn:

Vereiste afhankelijkheden

• Libpcap
• OpenSSL-bibliotheken
• BIND8-bibliotheek
• Libz
• Bash (voor BroControl)
• Python 2.6+ of hoger (voor BroControl)

Het Sendmailis niet verplicht, maar wordt sterk aanbevolen.

Stap 1: werk het systeem bij

Voordat u pakketten installeert, wordt aanbevolen om de systeempakketten bij te werken. Voer de opdracht uit dnf --assumeyes update. Hiermee worden de nieuwste versies van de systeempakketten gedownload en geïnstalleerd. Pakketbeheerder zal automatisch ja antwoorden op aangeboden prompts. Het kan even duren.

Stap 2: installeer afhankelijkheden

U moet de vereiste pakketten op uw systeem installeren. Voer de volgende opdracht uit: dnf --assumeyes install libpcap openssl python zlib sendmail

Stap 3: Installeer Bro IDS

Opdracht uitvoeren dnf install --assumeyes bro Deze opdracht wordt broin de /bindirectory geïnstalleerd . En laten we het nu configureren.

Stap 4: Configureer Bro IDS

Mappen maken: mkdir -p /var/log/broenmkdir -p /var/spool

Het configureren van het node.cfg-bestand

Sinds Fedora 2x-interface naamgeving werd veranderd, dus laten we eens kijken huidige iface naam:
ls /sys/class/net. : De output moet vergelijkbaar met deze zijn ens3 lo, of deze: eth0 lo. In het eerste geval zijn we geïnteresseerd in ens3interfacenaam, in het tweede - eth0. Laten we aannemen dat we dat hebben ens3.

Bekijk nu het bestand /etc/bro/node.cfg. Voer het commando uit less /etc/bro/node.cfg. Op de lijn 11 is er network interface specificatie:
interface=eth0. Als uw iface-naam is eth0- laat het bestand zonder wijzigingen en ga verder met de volgende stap. Anders - verander het met ens3. Daarvoor voer je dit commando: sed -i 's/eth0/ens3'. Optie -istaat voor het ter plaatse wijzigen van het bestand. svervangt de waarde tussen de eerste en tweede schuine streep door de waarde tussen de tweede en derde.

Het configureren van het broctl.cfg-bestand

Voeg variabelen toe aan het configuratiebestand:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Stap 5: Start BroCtl

Nu kunnen we ons geconfigureerde knooppunt implementeren en beginnen met loggen:

Voer het commando uit broctl deploy. Je ziet de uitvoer als volgt:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Als je geen fouten kreeg, wordt bro ingezet.

Stap 5: Test uw installatie

Nu laten we eens kijken naar de stammen: ls -la /var/log/bro. De uitvoer moet vergelijkbaar zijn met deze:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Voer deze opdracht uit om logboeken af ​​te sluiten: tail -f /var/log/bro/current/conn.logen vraag uw IP vanuit de browser.
Als alles correct is geconfigureerd, zie je logberichten.

Genieten!