Bro是一個被動的開源網(wǎng)絡(luò)流量分析器。 它主要是一個安全監(jiān)視器，可深入檢查鏈路上的所有流量，以發(fā)現(xiàn)可疑活動的跡象。它甚至支持安全域外的各種流量分析任務(wù)，包括性能測量和幫助排除故障，下面詳細講解一下在Ubuntu中安裝了Bro網(wǎng)絡(luò)分析器具體方法。

成都創(chuàng)新互聯(lián)專注于企業(yè)全網(wǎng)整合營銷推廣、網(wǎng)站重做改版、祁陽網(wǎng)站定制設(shè)計、自適應(yīng)品牌網(wǎng)站建設(shè)、H5網(wǎng)站設(shè)計、成都商城網(wǎng)站開發(fā)、集團公司官網(wǎng)建設(shè)、成都外貿(mào)網(wǎng)站建設(shè)、高端網(wǎng)站制作、響應(yīng)式網(wǎng)頁設(shè)計等建站業(yè)務(wù)，價格優(yōu)惠性價比高，為祁陽等各大城市提供網(wǎng)站開發(fā)制作服務(wù)。

Bro 的功能包括：

• Bro 的腳本語言支持針對站點定制監(jiān)控策略
  
• 針對高性能網(wǎng)絡(luò)
  
• 分析器支持許多協(xié)議，可以在應(yīng)用層面實現(xiàn)高級語義分析
  
• 它保留了其所監(jiān)控的網(wǎng)絡(luò)的豐富的應(yīng)用層統(tǒng)計信息
  
• Bro 能夠與其他應(yīng)用程序接口實時地交換信息
  
• 它的日志全面地記錄了一切信息，并提供網(wǎng)絡(luò)活動的高級存檔
  

本教程將介紹如何從源代碼構(gòu)建，并在 Ubuntu 16.04 服務(wù)器上安裝 Bro。

準(zhǔn)備工作

Bro 有許多依賴文件:

• Libpcap
  
• OpenSSL 庫
  
• BIND8 庫
  
• Libz
  
• Bash (BroControl 所需要)
  
• Python 2.6+ (BroControl 所需要)
  

從源代碼構(gòu)建還需要：

• CMake 2.8+
  
• Make
  
• GCC 4.8+ or Clang 3.3+
  
• SWIG
  
• GNU Bison
  
• Flex
  
• Libpcap headers
  
• OpenSSL headers
  
• zlib headers
  

起步

首先，通過執(zhí)行以下命令來安裝所有必需的依賴項：

# apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev 

安裝定位 IP 地理位置的 GeoIP 數(shù)據(jù)庫

Bro 使用 GeoIP 的定位地理位置。安裝 IPv4 和 IPv6 版本：

$ wget http://geolite.maxmind.com/download/geoip/database/GeoLiteCity.dat.gz

$wget http://geolite.maxmind.com/download/geoip/database/GeoLiteCityv6-beta/GeoLiteCityv6.dat.gz 

解壓這兩個壓縮包：

$ gzip -d GeoLiteCity.dat.gz

$ gzip -d GeoLiteCityv6.dat.gz 

將解壓后的文件移動到 /usr/share/GeoIP 目錄下：

# mvGeoLiteCity.dat /usr/share/GeoIP/GeoIPCity.dat

# mv GeoLiteCityv6.dat /usr/share/GeoIP/GeoIPCityv6.dat 

現(xiàn)在，可以從源代碼構(gòu)建 Bro 了。

構(gòu)建 Bro

最新的 Bro 開發(fā)版本可以通過 git 倉庫獲得。

執(zhí)行以下命令：

$ git clone --recursive git://git.bro.org/bro 

轉(zhuǎn)到克隆下來的目錄，然后使用以下命令就可以簡單地構(gòu)建 Bro：

$ cd bro $ ./configure $ make 

make 命令需要一些時間來構(gòu)建一切。確切的時間取決于服務(wù)器的性能。

可以使用一些參數(shù)來執(zhí)行 configure 腳本，以指定要構(gòu)建的依賴關(guān)系，特別是 –with-* 選項。

安裝 Bro

在克隆的 bro 目錄中執(zhí)行：

# make install 默認安裝路徑為 /usr/local/bro。

配置 Bro

Bro 的配置文件位于 /usr/local/bro/etc 目錄下。 這里有三個文件:

node.cfg，用于配置要監(jiān)視的單個節(jié)點（或多個節(jié)點）。

broctl.cfg，BroControl 的配置文件。

networks.cgf，包含一個使用 CIDR 標(biāo)記法表示的網(wǎng)絡(luò)列表。

配置郵件設(shè)置

打開 broctl.cfg 配置文件:

# $EDITOR /usr/local/bro/etc/broctl.cfg 

查看 Mail Options 選項，并編輯 MailTo 行如下:

# Recipient address for emails sent out by Bro and BroControl

MailTo = [email protected] 

保存并關(guān)閉。還有許多其他選項，但在大多數(shù)情況下，默認值就足夠好了。

選擇要監(jiān)視的節(jié)點

開箱即用，Bro 被配置為以獨立模式運行。在本教程中，我們就是做一個獨立的安裝，所以沒有必要改變。但是，也請查看 node.cfg 配置文件：

# $EDITOR /usr/local/bro/etc/node.cfg 

在 [bro] 部分，你應(yīng)該看到這樣的東西：

[bro]type=standalonehost=localhostinterface=eth0 

請確保 inferface 與 Ubuntu 16.04 服務(wù)器的公網(wǎng)接口相匹配。

保存并退出。

配置監(jiān)視節(jié)點的網(wǎng)絡(luò)

最后一個要編輯的文件是 network.cfg。使用文本編輯器打開它：

# $EDITOR /usr/local/bro/etc/networks.cfg 

默認情況下，你應(yīng)該看到以下內(nèi)容：

# List of local networks in CIDR notation, optionally followed by a# descriptive tag.# For example,"10.0.0.0/8" or "fe80::/64" are valid prefixes. 10.0.0.0/8 Private IP space172.16.0.0/12 Private IP space192.168.0.0/16 Private IP space 

刪除這三個條目（這只是如何使用此文件的示例），并輸入服務(wù)器的公用和專用 IP 空間，格式如下：

X.X.X.X/X Public IP space

X.X.X.X/X Private IP space 

保存并退出。

使用 BroControl 管理 Bro 的安裝

管理 Bro 需要使用 BroControl，它支持交互式 shell 和命令行工具兩種形式。啟動該 shell：

# /usr/local/bro/bin/broctl 

要想使用命令行工具，只需將參數(shù)傳遞給上一個命令，例如：

# /usr/local/bro/bin/broctl status 

這將通過顯示以下的輸出來檢查 Bro 的狀態(tài)：

Name Type Host Status Pid Started

bro standalone localhost running 6807 20 Jul 12:30:50 

結(jié)論

這是一篇 Bro 的安裝教程。我們使用基于源代碼的安裝，因為它是獲得可用的最新版本的最有效的方法，但是該網(wǎng)絡(luò)分析框架也可以下載預(yù)構(gòu)建的二進制格式文件。