Zeek IDS install - duckwed/my-learning-road-of-security GitHub Wiki

本次实战为测试环境，安装过程使用root，若生产环境，请使用非root账户！

一.系统环境 Linux 4.4.0-170-generic #199-Ubuntu SMP Thu Nov 14 01:45:04 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux 16.04 LTS

二.初步更新系统

  1. sudo su
  2. apt-get update -y
  3. apt-get upgrade -y
  4. apt-get dist-upgrade -y
  5. reboot
  6. sudo apt-mark hold linux-image-generic linux-headers-generic

三.安装pf_ring 网卡需要该功能，用于高流量的抓包，我这里使用源代码编译安装

  1. apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev libgeoip-dev build-essential libelf-dev gdb sendmail -y

  2. cd /opt

  3. git clone https://github.com/ntop/PF_RING.git

  4. cd PF_RING/kernel

  5. make

  6. insmod ./pf_ring.ko

  7. cd ../userland

  8. make

  9. cd lib

  10. ./configure –prefix=/opt/PF_RING[/shell]

  11. make install

  12. cd ../libpcap

  13. ./configure --prefix=/opt/PF_RING/

  14. make install

  15. cd ../tcpdump-*

  16. ./configure --prefix=/opt/PF_RING/

  17. make install

  18. cd ../../kernel

  19. make

  20. make install

  21. echo "pf_ring" >> /etc/modules

  22. reboot

  23. lsmod | grep pf_ring 查看是否加载成功

四.源代码安装Zeek/Bro

  1. sudo su
  2. apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev git -y
  3. cd /tmp
  4. git clone --recursive https://github.com/zeek/zeek
  5. cd zeek
  6. ./configure --with-pcap=/opt/PF_RING --prefix=/opt/bro/
  7. make
  8. make install
  9. echo "$PATH:/opt/bro/bin" >/etc/environment
  10. export PATH=/opt/bro/bin:$PATH

备注：在安装zeek过程中遇到gcc默认的版本过低，需要升级，具体升级步骤请看本文档最后部分

五.与ZeekControl管理zeek 本文档实战主要以单台实例为准，若是安装集群版本，请至官网查看； 编辑安装后文件目录在/opt/bro/...

zeek运行需要3个配置文件，node.cfg，networks.cfg，zeekctl.cfg node.cfg 里设置正确监听的网卡，以及监听的进程数量； networks.cfg 里设置本地监听的网段，也就是生产内网或局域网内的网段； zeekctl.cfg 内定义了日志、邮件等目录，可以不做调整。

各类可执行工具的目录所在为/opt/bro/bin 配置文件在/opt/bro/etc

1.cd /opt/bro/bin

2../zeekctl [ZeekControl] > check [ZeekControl] > install [ZeekControl] > start 然后自动启动