Bro是一種的開源的網絡流量分析器。 它主要是一個安全監視器，可以檢查鏈路上的所有流量，以查看可疑活動的跡象。它支持甚至在安全域之外的各種流量分析任務，包括性能測量和幫助進行故障排除。

Bro 的功能包括：

• Bro 的腳本語言支持針對站點定制監控策略
• 針對高性能網絡
• 分析器支持許多協議，可以在應用層面實現高級語義分析
• 它保留了其所監控的網絡的豐富的應用層統計信息
• Bro 能夠與其他應用程序接口實時地交換信息
• 它的日志全面地記錄了一切信息，并提供網絡活動的高級存檔

本教程將介紹如何從源代碼構建，并在 Ubuntu 16.04 服務器上安裝 Bro。

準備工作

Bro 有許多依賴文件:

• Libpcap (http://www.tcpdump.org)
• OpenSSL 庫 (http://www.openssl.org)
• BIND8 庫
• Libz
• Bash (BroControl 所需要)
• Python 2.6+ (BroControl 所需要)

從源代碼構建還需要：

• CMake 2.8+
• Make
• GCC 4.8+ or Clang 3.3+
• SWIG
• GNU Bison
• Flex
• Libpcap headers
• OpenSSL headers
• zlib headers

起步

首先，通過執行以下命令來安裝所有必需的依賴項：

# apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev

安裝定位 IP 地理位置的 GeoIP 數據庫

Bro 使用 GeoIP 的定位地理位置。安裝 IPv4 和 IPv6 版本：

$ wget http://geolite.maxmind.com/download/geoip/database/GeoLiteCity.dat.gz$wget http://geolite.maxmind.com/download/geoip/database/GeoLiteCityv6-beta/GeoLiteCityv6.dat.gz

解壓這兩個壓縮包：

$ gzip -d GeoLiteCity.dat.gz
$ gzip -d GeoLiteCityv6.dat.gz

將解壓后的文件移動到

/usr/share/GeoIP

目錄下：

# mvGeoLiteCity.dat /usr/share/GeoIP/GeoIPCity.dat# mv GeoLiteCityv6.dat /usr/share/GeoIP/GeoIPCityv6.dat

現在，可以從源代碼構建 Bro 了。

構建 Bro

最新的 Bro 開發版本可以通過 “git”倉庫獲得。執行以下命令：

$ git clone --recursive git://git.bro.org/bro

轉到克隆下來的目錄，然后使用以下命令就可以簡單地構建 Bro：

$ cd bro
$ ./configure
$ make
make

命令需要一些時間來構建一切。確切的時間取決于服務器的性能。 可以使用一些參數來執行”configure” 腳本，以指定要構建的依賴關系，特別是”–with-*”選項。

安裝 Bro

在克隆的 “bro” 目錄中執行：

# make install

默認安裝路徑為”/usr/local/bro”。

配置 Bro

Bro 的配置文件位于 “/usr/local/bro/etcV 目錄下。 這里有三個文件:

• node.cfg，用于配置要監視的單個節點（或多個節點）。
• broctl.cfg，BroControl 的配置文件。
• networks.cgf，包含一個使用 CIDR 標記法表示的網絡列表。

配置郵件設置

打開 “broctl.cfg”配置文件:

# $EDITOR /usr/local/bro/etc/broctl.cfg

查看 “Mail Options”選項，并編輯 “MailTo” 行如下:

# Recipient address for emails sent out by Bro and BroControlMailTo = admin@example.com

保存并關閉。還有許多其他選項，但在大多數情況下，默認值就足夠好了。

選擇要監視的節點

開箱即用，Bro 被配置為以獨立模式運行。在本教程中，我們就是做一個獨立的安裝，所以沒有必要改變。但是，也請查看 “node.cfg”配置文件：

# $EDITOR /usr/local/bro/etc/node.cfg

在 “[bro]” 部分，你應該看到這樣的東西：

[bro]type=standalonehost=localhostinterface=eth0

請確保”inferface” 與 Ubuntu 16.04 服務器的公網接口相匹配。 保存并退出。

配置監視節點的網絡

最后一個要編輯的文件是 “network.cfg”。使用文本編輯器打開它：

# $EDITOR /usr/local/bro/etc/networks.cfg

默認情況下，你應該看到以下內容：

# List of local networks in CIDR notation, optionally followed by a# descriptive tag.# For example, "10.0.0.0/8" or "fe80::/64" are valid prefixes.10.0.0.0/8 Private IP space
172.16.0.0/12 Private IP space
192.168.0.0/16 Private IP space

刪除這三個條目（這只是如何使用此文件的示例），并輸入服務器的公用和專用 IP 空間，格式如下：

X.X.X.X/X Public IP space
X.X.X.X/X Private IP space

保存并退出。

使用 BroControl 管理 Bro 的安裝

管理 Bro 需要使用 BroControl，它支持交互式 shell 和命令行工具兩種形式。啟動該 shell：

# /usr/local/bro/bin/broctl

要想使用命令行工具，只需將參數傳遞給上一個命令，例如：

# /usr/local/bro/bin/broctl status

這將通過顯示以下的輸出來檢查 Bro 的狀態：

Name Type Host Status Pid Started
bro standalone localhost running 6807 20 Jul 12:30:50