Установка Bro IDS на Fedora 25

• Вступление
• Предпосылки
• Шаг 1: Обновите систему
• Шаг 2: Установите зависимости
• Шаг 3: Установите Bro IDS
• Шаг 4: Настройте Bro IDS
• Шаг 5: Запустите BroCtl
• Шаг 5: Проверьте вашу установку

Вступление

Bro - анализатор сетевого трафика с открытым исходным кодом. Это в первую очередь монитор безопасности, который тщательно проверяет весь трафик по ссылке на наличие признаков подозрительной активности. В целом, однако, Bro поддерживает широкий спектр задач анализа трафика даже вне области безопасности, включая измерения производительности и помощь в устранении неполадок.

Предпосылки

Перед установкой Bro вы должны убедиться, что некоторые зависимости на месте:

Требуемые зависимости

• Libpcap
• Библиотеки OpenSSL
• Библиотека BIND8
• Libz
• Bash (для BroControl)
• Python 2.6+ или выше (для BroControl)

SendmailНе требуется, но настоятельно рекомендуется.

Шаг 1: Обновите систему

Перед установкой любых пакетов рекомендуется обновить системные пакеты. Запустите команду dnf --assumeyes update. Это позволит загрузить и установить последние версии системных пакетов. Менеджер пакетов автоматически ответит да на предложенные запросы. Это может занять некоторое время.

Шаг 2: Установите зависимости

Вам нужно будет установить необходимые пакеты в вашей системе. Запустите следующую команду: dnf --assumeyes install libpcap openssl python zlib sendmail

Шаг 3: Установите Bro IDS

Команда запуска dnf install --assumeyes bro Эта команда установит broв /binкаталог. А теперь давайте настроим это.

Шаг 4: Настройте Bro IDS

Создать папки: mkdir -p /var/log/broиmkdir -p /var/spool

Настройка файла node.cfg

Так как Fedora 2x интерфейс именование было изменено, так что давайте выясним текущее имя Iface:
ls /sys/class/net. Вывод должен быть похож на этот: ens3 loили это: eth0 lo. В первом случае нас интересует ens3имя интерфейса, во втором - eth0. Давайте предположим, что у нас есть ens3.

Теперь рассмотрим файл /etc/bro/node.cfg. Запустить команду less /etc/bro/node.cfg. В строке 11 есть спецификация интерфейса сети:
interface=eth0. Если ваше имя iface eth0- пустите файл без изменений и переходите к следующему шагу. В противном случае - измените его на ens3. Для этого выполните следующую команду: sed -i 's/eth0/ens3'. Опция -iозначает изменение файла на месте. sзаменит значение, заключенное между первым и вторым слешем, на значение между вторым и третьим.

Настройка файла broctl.cfg

Добавьте переменные в файл конфигурации:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Шаг 5: Запустите BroCtl

Теперь мы можем развернуть наш настроенный узел и начать регистрацию:

Запустить команду broctl deploy. Вы увидите вывод так:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Если вы не получили никаких ошибок - братан развернут.

Шаг 5: Проверьте вашу установку

Теперь давайте посмотрим на журналы: ls -la /var/log/bro. Вывод должен быть похож на этот:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Запустите эту команду, чтобы привязать логи: tail -f /var/log/bro/current/conn.logи запросите свой ip из браузера.
Если все настроено правильно, вы увидите сообщения журнала.

Наслаждайтесь!