开始使用入侵检测系统(IDS)Bro:安装（2/4）

来源：https://dallinwarne.com/networking/getting-started-with-intrusion-detection-system-ids-bro-part-2/

这是关于如何开始使用Bro IDS的四部分系列文章的第二部分。请参阅第1部分关于安装Bro先决条件的内容。这篇文章是关于安装和准备Bro。

一、Bro编译与安装

既然满足了先决条件，现在就可以编译和安装Bro了。我从bro.org下载了Bro 2.5 IDS并提取出来。进入目录后，我运行

./configure --with-pfring=/usr/src/PF_RING --with-pcap=/opt/pf_ring-6.5.0 --prefix=/opt/bro

下面是我的./configure命令的输出。可以看到某些行出现故障，因为系统可能不需要某些项。如果您遵循本指南，您将看到GeoIP、gperftools和PF_RING的成功消息，如下面的输出所示。(注意，我跳过了安装GeoIP，因此我的消息将在下面显示false。)

不是说配置已经完成，而是编译和安装的时候到了。编译和安装都需要一些时间。

make

make install

二、PF_Ring Bro插件的编译与安装

既然已经编译并安装了Bro，现在是编译和安装一些Bro插件的时候了。PF_Ring插件允许Bro原生地与PF_Ring通信。另一个插件负责在非根用户试图访问NIC时可能出现的权限问题。

下载bro插件目录。参考https://github.com/bro/bro-plugins/tree/master/pf_ring。通过运行编译和运行插件:

cd bro-plugins-master/pf_ring/

./configure --bro-dist=/usr/src/bro-2.5 --with-pfring=/opt/pf_ring-6.5.0

make

make install

如果插件安装目录(如./configure输出所示)不正确，请使用-help标志查看正确配置该目录的选项。

如果在运行make时遇到错误，可能是因为在Bro中找到正确的文件的问题。您可能需要重新编译IDS(但不需要重新安装)，然后重试。

要验证插件安装正确，请导航到bro目录(本例中为/opt/bro)并运行:

./bro -N Bro::PF_RING

你应该看到这样的东西:

Bro::PF_RING – Packet acquisition via PF_RING (dynamic, version 1.0)

三、Broctl-setcap插件

作为单独的用户而不是管理员或根帐户运行Bro是一个好主意。我建议创建一个用户。然后，您需要调整文件权限，以授予他对安装在/opt/ Bro目录下的Bro的读/写/执行权限。

chown user:group -r /opt/bro

任何运行Bro的用户都需要更高的特权才能直接从NIC读取数据。Setcap插件允许您以非根用户的身份运行Bro。关于这个插件背后的原因的更多细节可以在http://mailman.icsi.berkeley.edu/pipermail/bro/2017-February/011489.html的电子邮件中找到

或者，如果您愿意，可以访问https://github.com/PingTrip/broctl-setcap并按照那里的说明操作。

这就完成了安装和配置Bro IDS的四部分系列的第2部分。