Instalando o Bro IDS no Fedora 25

• Introdução
• Pré-requisitos
• Etapa 1: atualizar o sistema
• Etapa 2: instalar dependências
• Etapa 3: Instalar Bro IDS
• Etapa 4: Configurar o Bro IDS
• Etapa 5: iniciar o BroCtl
• Etapa 5: teste sua instalação

Introdução

Bro é um analisador de tráfego de rede de código aberto. É principalmente um monitor de segurança que inspeciona todo o tráfego em um link em busca de sinais de atividade suspeita. De maneira mais geral, no entanto, o Bro suporta uma ampla variedade de tarefas de análise de tráfego, mesmo fora do domínio de segurança, incluindo medições de desempenho e ajuda na solução de problemas.

Pré-requisitos

Antes de instalar o Bro, você precisará garantir que algumas dependências estejam em vigor:

Dependências necessárias

• Libpcap
• Bibliotecas OpenSSL
• Biblioteca BIND8
• Libz
• Bash (para BroControl)
• Python 2.6 ou superior (para BroControl)

Não Sendmailé necessário, mas é altamente recomendável.

Etapa 1: atualizar o sistema

Antes de instalar qualquer pacote, é recomendável atualizar os pacotes do sistema. Execute o comando dnf --assumeyes update. Isso fará o download e instalará as versões mais recentes dos pacotes do sistema. O gerenciador de pacotes responderá sim automaticamente às solicitações oferecidas. Pode demorar um pouco.

Etapa 2: instalar dependências

Você precisará instalar os pacotes necessários no seu sistema. Execute o seguinte comando: dnf --assumeyes install libpcap openssl python zlib sendmail

Etapa 3: Instalar Bro IDS

Executar comando dnf install --assumeyes bro Este comando será instalado brono /bindiretório. E agora vamos configurá-lo.

Etapa 4: Configurar o Bro IDS

Crie pastas: mkdir -p /var/log/broemkdir -p /var/spool

Configurando o arquivo node.cfg

Desde Fedora 2x nomeação interface foi alterado, então vamos descobrir o nome iface atual:
ls /sys/class/net. Saída deve ser semelhante a esta: ens3 loou esta: eth0 lo. No primeiro caso, estamos interessados ​​no ens3nome da interface, no segundo - eth0. Vamos supor que temos ens3.

Agora, examine o arquivo /etc/bro/node.cfg. Executar comando less /etc/bro/node.cfg. Na linha 11 não há especificação de interface de rede:
interface=eth0. Se o seu nome iface for eth0- deixe o arquivo sem alterações e continue na próxima etapa. Caso contrário - altere-o com ens3. Por que executar este comando: sed -i 's/eth0/ens3'. Opção -isignifica alterar o arquivo no local. ssubstituirá o valor entre a primeira e a segunda barra pelo valor entre a segunda e a terceira.

Configurando o arquivo broctl.cfg

Adicione variáveis ​​ao arquivo de configuração:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Etapa 5: iniciar o BroCtl

Agora podemos implantar nosso nó configurado e começar a registrar:

Executar comando broctl deploy. Você verá resultados como este:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Se você não obteve nenhum erro - o bro está implantado.

Etapa 5: teste sua instalação

Agora vamos olhar para os logs: ls -la /var/log/bro. A saída deve ser semelhante a esta:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Execute este comando para ajustar os logs: tail -f /var/log/bro/current/conn.loge consulte seu ip no navegador.
Se tudo estiver configurado corretamente, você verá mensagens de log.

Apreciar!