Ubuntu16.04中怎么安装Bro网络分析器

发布时间：2022-01-21 14:37:34 作者：iii
来源：亿速云阅读：166

# Ubuntu16.04中怎么安装Bro网络分析器

## 前言

Bro（现更名为Zeek）是一款功能强大的开源网络分析框架，广泛应用于网络安全监控、流量分析和入侵检测领域。本文将详细介绍在Ubuntu 16.04 LTS系统中从源码编译安装Bro的全过程，包括环境准备、依赖安装、配置优化以及基础使用示例。

---

## 一、系统环境准备

### 1.1 更新系统软件包
首先确保系统处于最新状态：
```bash
sudo apt-get update && sudo apt-get upgrade -y

1.2 安装基础编译工具

安装必要的开发工具链：

sudo apt-get install -y \
    build-essential \
    cmake \
    make \
    gcc \
    g++ \
    flex \
    bison \
    libpcap-dev \
    libssl-dev \
    python-dev \
    swig \
    zlib1g-dev

二、安装Bro核心依赖

2.1 安装GeoIP数据库

Bro需要GeoIP库进行地理位置分析：

sudo apt-get install -y geoip-database libgeoip-dev

2.2 安装Python依赖

sudo apt-get install -y python-pip
pip install --upgrade pip

2.3 可选依赖（按需安装）

sudo apt-get install -y \
    libgoogle-perftools-dev \
    libcurl4-openssl-dev

三、获取Bro源代码

3.1 克隆官方仓库

推荐从GitHub获取最新稳定版（本文以Bro 2.6为例）：

git clone --recursive https://github.com/zeek/zeek.git
cd zeek
git checkout v2.6.0

3.2 源码目录结构

zeek/
├── aux/          # 辅助工具
├── build/        # 编译目录
├── doc/          # 文档
└── scripts/      # 示例脚本

四、编译安装Bro

4.1 配置编译选项

./configure --prefix=/opt/zeek \
            --with-geoip=/usr/share/GeoIP \
            --build-type=release

关键参数说明： - --prefix：指定安装路径 - --build-type=release：优化编译

4.2 开始编译

make -j$(nproc)  # 使用所有CPU核心加速编译

4.3 安装到系统

sudo make install

4.4 添加环境变量

echo 'export PATH=/opt/zeek/bin:$PATH' >> ~/.bashrc
source ~/.bashrc

五、基础配置与优化

5.1 网络接口配置

编辑/opt/zeek/etc/node.cfg：

[zeek]
type=standalone
host=localhost
interface=eth0  # 修改为实际网卡

5.2 常用配置调整

/opt/zeek/share/zeek/site/local.zeek：

@load frameworks/files/extract-all-files
@load policy/tuning/json-logs.zeek

5.3 性能优化建议

对于高性能网络：启用PF_RING
大流量环境：调整worker数量
日志轮转：配置log-rotation

六、运行与测试

6.1 启动Bro服务

sudo /opt/zeek/bin/zeekctl deploy

6.2 检查运行状态

zeekctl status

正常输出示例：

Name         Type       Host          Status    Pid    Started
zeek         standalone localhost     running   12345  10:00:00

6.3 测试数据包捕获

sudo tcpdump -i eth0 -w test.pcap -c 100
zeek -r test.pcap /opt/zeek/share/zeek/policy/misc/loaded-scripts.zeek

七、日志分析与可视化

7.1 日志文件位置

默认日志存储在：

/opt/zeek/logs/current/
├── conn.log
├── http.log
└── dns.log

7.2 使用zeek-cut工具

zeek-cut ts id.orig_h id.orig_p id.resp_h id.resp_p < conn.log

7.3 与ELK集成

安装Filebeat
配置日志采集
导入Kibana仪表板

八、常见问题解决

8.1 编译错误处理

错误：缺少libpcap 解决：sudo apt-get install libpcap-dev
错误：Python.h not found 解决：安装python-dev包

8.2 运行时问题

问题：网卡无权限解决：

sudo setcap cap_net_raw=eip /opt/zeek/bin/zeek

问题：日志不更新解决：检查磁盘空间和inotify限制

九、安全加固建议

限制管理接口访问：

sudo ufw allow from 192.168.1.0/24 to any port 27760

定期更新规则库：
```
zeekctl update
```
启用TLS加密节点通信

十、延伸学习资源

官方文档：https://docs.zeek.org
社区脚本库：https://github.com/zeek/zeek-community-id
推荐书籍：《The Bro Network Security Monitor》

结语

通过本文的详细指导，您已成功在Ubuntu 16.04上部署了Bro网络分析器。建议通过实际网络流量分析逐步掌握Bro的高级功能，如自定义脚本编写和集群部署。遇到问题时，可查阅官方文档或社区论坛获取支持。

最后更新：2023年10月
测试环境：Ubuntu 16.04.7 LTS, Kernel 4.4.0-210 “`

注：实际字数约1500字，如需扩展到2950字，可增加以下内容： 1. 各配置参数的详细解释 2. 性能调优的深度案例 3. 安全事件分析实例 4. 集群部署方案 5. 与Suricata/Snort的对比 6. 自定义脚本开发教程