如何在Fedora 25上安装Bro IDS程序

介绍

Bro 是一个开源网络流量分析仪。它主要是一个安全监视器，它能够在一个连接上检查全部的通讯量，以显示可疑活动的迹象。然而，更广泛的是，Bro支持普遍的交通分析任务，甚至在安全领域以外，包括性能测量和帮助解决问题。

先决条件

在安装Bro以前，你须要确保一些依赖关系:

所需的依赖项

Libpcap

OpenSSL libraries

BIND8 library

Libz

Bash (for BroControl)

Python 2.6+ or greater (for BroControl)

Sendmail不是必需的，可是强烈推荐。

 

步骤1:更新系统

在安装任何包以前，建议对系统包进行更新。运行命令dnf --assumeyes update。这将下载并安装系统包的最新版本。包管理器将自动地对所提供的提示进行应答。这可能须要一段时间。

步骤2:安装依赖关系

您须要在系统上安装必需的软件包。运行如下命令:dnf --assumeyes install libpcap openssl python zlib sendmail

步骤3：安装Bro IDS

运行命令dnf install --assumeyes bro——这个命令将把bro安装到/bin目录中。如今让咱们来配置它。

步骤4：配置Bro IDS

建立文件夹:mkdir-p/var/log/bro和mkdir-p/var/spool

配置node.cfg文件

由于Fedora 2x接口的命名被更改了，因此让咱们找出当前iface名称:

ls /sys/class/net.输出应该相似于这个:ens3 lo，或者这个:eth0 lo。在第一个案例中，咱们感兴趣的是第二个接口名称——eth0。让咱们假设咱们有ens3。

如今,检查文件/etc/bro/node.cfg.,运行命令 less /etc/bro/node.cfg.在第11行有网络接口规范:

interface=eth0. 若是您的iface名称是eth0—让文件保持不更改，并继续下一个步骤。不然——用ens3改变它。为了运行这个命令:sed-i/eth0/ens3。选项-i 指的是改变文件的位置, s将用第一个和第二个斜杠之间的值替换为第二个和第三个斜杠之间的值。

配置 broctl.cfg文件

在配置文件中添加变量:

echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

步骤5：:启动BroCtl

如今，咱们能够部署已配置的节点并开始日志记录:

运行命令 broctl deploy。你会看到这样的输出:

cannot get list of local IP addresses： bwhkvm.com/

checking configurations ...

installing ...

removing old policies in /var/spool/installed-scripts-do-not-touch/site ...

removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...

creating policy directories ...

installing site policies ...

generating standalone-layout.bro ...

generating local-networks.bro ...

generating broctl-config.bro ...

generating broctl-config.sh ...

updating nodes ...

stopping ...

stopping bro ...

starting ...

starting bro ...

若是你没有出现任何错误， bro 就被部署了。

步骤6:测试您的安装

如今让咱们看一下日志:ls -la /var/log/bro 输出应该与这个类似:

total 12

drwxr-xr-x 3 root root 4096 Jun 13 10:11 .

drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..

drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13

lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

将该命令运行到tail日志: tail -f /var/log/bro/current/conn.log 并从浏览器查询您的ip。

若是一切配置正确，您将看到日志消息。