Ubuntu16.04中怎么使用Bro

发布时间：2022-01-24 14:29:51 作者：iii
来源：亿速云阅读：200

# Ubuntu16.04中怎么使用Bro

## 前言

Bro（现更名为Zeek）是一款功能强大的开源网络分析框架，主要用于网络安全监控和流量分析。它能够对网络流量进行深度检测，并生成详细的日志文件，帮助管理员识别潜在的安全威胁。本文将详细介绍在Ubuntu16.04系统中安装、配置和使用Bro的完整流程。

---

## 1. Bro简介

### 1.1 什么是Bro？
Bro（Zeek）是一个被动的开源网络流量分析器，主要用于：
- 实时网络监控
- 异常检测
- 生成详细的网络活动日志

### 1.2 核心功能
- **协议分析**：支持HTTP、DNS、SSH等常见协议
- **脚本自定义**：通过Bro脚本实现灵活的策略配置
- **日志生成**：输出结构化日志便于后续分析

---

## 2. 环境准备

### 2.1 系统要求
- Ubuntu 16.04 LTS（64位）
- 至少2GB内存（推荐4GB+）
- 10GB可用磁盘空间

### 2.2 更新系统
```bash
sudo apt-get update && sudo apt-get upgrade -y

3. 安装Bro

3.1 安装依赖项

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev

3.2 通过源码安装（推荐）

wget https://download.zeek.org/zeek-3.0.0.tar.gz
tar -xzvf zeek-3.0.0.tar.gz
cd zeek-3.0.0
./configure
make
sudo make install

3.3 验证安装

bro --version
# 应显示类似：zeek version 3.0.0

4. 基础配置

4.1 网络接口配置

编辑/usr/local/zeek/etc/node.cfg：

[zeek]
type=standalone
host=localhost
interface=eth0  # 替换为实际网卡名

4.2 启动Bro

sudo /usr/local/zeek/bin/zeekctl deploy

4.3 检查状态

sudo /usr/local/zeek/bin/zeekctl status

5. 使用Bro分析流量

5.1 实时监控

sudo /usr/local/zeek/bin/zeek -i eth0 local

5.2 查看日志文件

默认日志路径：

/usr/local/zeek/logs/current/

关键日志文件： - conn.log：连接记录 - http.log：HTTP请求 - dns.log：DNS查询

5.3 使用Bro脚本示例

创建自定义脚本/usr/local/zeek/share/zeek/site/local.zeek：

event connection_established(c: connection)
{
    print fmt("New connection: %s -> %s", c$id$orig_h, c$id$resp_h);
}

6. 高级功能

6.1 负载均衡配置

修改node.cfg实现多节点部署：

[worker-1]
type=worker
host=192.168.1.10
interface=eth0

[worker-2]
type=worker
host=192.168.1.11
interface=eth0

6.2 与ELK集成

安装Filebeat收集Bro日志
配置Logstash解析字段
在Kibana中创建可视化仪表板

7. 常见问题解决

7.1 缺少libpcap错误

sudo apt-get install libpcap0.8-dev

7.2 性能优化建议

增加Config::max_pending_packets值
使用PF_RING或AF_PACKET驱动

7.3 日志轮转配置

编辑/usr/local/zeek/etc/zeekctl.cfg：

LogRotationInterval = 3600

8. 安全注意事项

最小权限原则：使用专用用户运行Bro

sudo useradd -r zeek
sudo chown -R zeek:zeek /usr/local/zeek

日志加密：配置SSL/TLS传输日志
定期更新：关注Zeek安全公告

9. 替代方案对比

工具	优势	劣势
Bro/Zeek	深度协议分析,脚本灵活	学习曲线陡峭
Snort	实时入侵检测	协议分析能力较弱
Suricata	多线程架构	资源消耗较大

10. 总结

本文详细介绍了在Ubuntu16.04上部署Bro/Zeek的全过程，包括： 1. 通过源码编译安装 2. 基础网络监控配置 3. 自定义脚本开发 4. 性能优化与故障排除

建议通过官方文档进一步学习高级功能，如集群部署和插件开发。

附录

A. 常用命令速查

命令	功能
`zeekctl deploy`	启动所有服务
`zeekctl stop`	停止服务
`zeek -C -r packet.pcap`	分析pcap文件

B. 推荐阅读

《The Bro Network Security Monitor》
Zeek官方培训视频（YouTube）

”`

注：实际使用时请： 1. 将eth0替换为你的实际网卡名 2. 根据网络环境调整配置参数 3. 生产环境建议使用最新LTS版本（Ubuntu 20.04/22.04）