入侵检测系统入门(IDS)Bro:故障排除（4/4）

来源：https://dallinwarne.com/security/getting-started-with-intrusion-detection-system-ids-bro-troubleshooting/

我发表的前三篇文章向您介绍了如何在Red Hat 7上设置Bro入侵检测系统(IDS)。您已经阅读了安装先决条件、编译和安装Bro以及第一次配置它。但是，尽管每个人都尽了最大的努力，在这个过程中还是可能会出现一些问题。你的Bro可能会掉包，撞到Bro bug，或者一个worker崩溃。本文将研究一些工具，帮助您诊断常见问题，并揭示一些与Bro相关的潜在原因和解决方案。

一、工具

1、HTop

HTop是一种很好的CLI工具可以监控系统中所有内核的CPU。它有助于了解负载是如何分布在所有核心上的。如果您通常是均匀分布的，如上面的截图所示，这是一个非常好的迹象。

2、PF_Ring

要查看PF_Ring驱动程序是否加载正确，可以运行:

dmesg | grep -i pf_ring

PF_Ring可以提供一些很好的统计数据，如:

cat /proc/net/pf_ring/info

这将打印有关网卡的一些基本设置，如插槽数。它还告诉您当前接口上的各种统计信息和设置，包括接收的数据包数量、丢弃的数据包数量、捕获方向等等。当broctl netstats从管理器运行时，它从这个文件中获取已删除的数据包统计信息。

cat /proc/net/pf_ring/

检查其他网卡设置，你可以运行:

ethtool -k

通常人们会禁用ethtool允许的大多数网卡设置，这样更多的处理能力就不会丢失数据包。校验和也会干扰Bro的校验和，导致CUP尖峰和数据包丢失。

3、丢弃的数据包

到目前为止，你在Bro中投入的最大努力就是尽量减少数据包的丢失。包下降的来源可以是很多东西，其中一些是在这个页面上探索的。

4、CPU峰值或高CPU

有时您会看到单个核甚至多个核在处理过程中出现峰值。这些可能很难确定。

CPU峰值的其他一些可能性是:

（1）Cron作业

（2）不支持的数据包类型(即许多NIC供应商不支持MPLS流量)

（3）异常的流量模式，例如在0到最大吞吐量之间振荡

（4）混乱的通信流，例如大的丢弃或无序的数据包

（5）网卡的校验和不匹配

上面的一些问题也可能导致内存泄漏。

4、其他问题

在某些情况下，PCI总线的吞吐量不够大。如果您有一个只能处理4Gbps的PCIe 2.0插槽，那么不要期望能够处理比这更高的微脉冲流量。

网卡设置配置不当也是一个大问题。无论它是校验和，还是小环，这都是你可以优化nic的地方。

Linux默认设置没有针对高吞吐量进行优化。您需要扩展操作系统缓冲区，如http://dak1n1.com/blog/7-performance-tuning-intel-10gbe/所述。

5、

故障排除技巧

最好的方法是捕获您发送给Bro的数据包，然后看看重播这些数据包是否能够重现问题。这通常意味着第二个设备能够接收相同的流量，并且能够足够快地写入磁盘。如果您能够一致地复制问题，那么您就可以开始消除变量来跟踪源。

您还可以尝试禁用Bro中的各种协议分析器和脚本。仅禁用脚本是不够的。最好禁用两者。只需将下面的代码片段放入local.bro文件中以禁用分析程序。

event bro_init() {

Analyzer::disable_analyzer(Analyzer::ANALYZER_AYIYA);

Analyzer::disable_analyzer(Analyzer::ANALYZER_BACKDOOR);

Analyzer::disable_analyzer(Analyzer::ANALYZER_BITTORRENT);

Analyzer::disable_analyzer(Analyzer::ANALYZER_BITTORRENTTRACKER);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONNSIZE);

Analyzer::disable_analyzer(Analyzer::ANALYZER_DCE_RPC);

Analyzer::disable_analyzer(Analyzer::ANALYZER_DHCP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_DNP3_TCP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_DNP3_UDP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_DNS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_DNS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_FTP_DATA);

Analyzer::disable_analyzer(Analyzer::ANALYZER_IRC_DATA);

Analyzer::disable_analyzer(Analyzer::ANALYZER_FINGER);

Analyzer::disable_analyzer(Analyzer::ANALYZER_FTP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_FTP_ADAT);

Analyzer::disable_analyzer(Analyzer::ANALYZER_GNUTELLA);

Analyzer::disable_analyzer(Analyzer::ANALYZER_GSSAPI);

Analyzer::disable_analyzer(Analyzer::ANALYZER_GTPV1);

Analyzer::disable_analyzer(Analyzer::ANALYZER_HTTP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_ICMP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_IDENT);

Analyzer::disable_analyzer(Analyzer::ANALYZER_IMAP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_INTERCONN);

Analyzer::disable_analyzer(Analyzer::ANALYZER_IRC);

Analyzer::disable_analyzer(Analyzer::ANALYZER_KRB);

Analyzer::disable_analyzer(Analyzer::ANALYZER_KRB_TCP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_RLOGIN);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_RSH);

Analyzer::disable_analyzer(Analyzer::ANALYZER_LOGIN);

Analyzer::disable_analyzer(Analyzer::ANALYZER_NVT);

Analyzer::disable_analyzer(Analyzer::ANALYZER_RLOGIN);

Analyzer::disable_analyzer(Analyzer::ANALYZER_RSH);

Analyzer::disable_analyzer(Analyzer::ANALYZER_TELNET);

Analyzer::disable_analyzer(Analyzer::ANALYZER_MODBUS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_MYSQL);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_NCP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_NCP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_NETBIOSSSN);

Analyzer::disable_analyzer(Analyzer::ANALYZER_NETBIOSSSN);

Analyzer::disable_analyzer(Analyzer::ANALYZER_NTLM);

Analyzer::disable_analyzer(Analyzer::ANALYZER_NTP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_PIA_TCP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_PIA_UDP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_POP3);

Analyzer::disable_analyzer(Analyzer::ANALYZER_RADIUS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_RDP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_RFB);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_NFS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_RPC);

Analyzer::disable_analyzer(Analyzer::ANALYZER_NFS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_PORTMAPPER);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SIP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_SMB);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SMB);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SMTP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SNMP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SOCKS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SSH);

Analyzer::disable_analyzer(Analyzer::ANALYZER_DTLS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SSL);

Analyzer::disable_analyzer(Analyzer::ANALYZER_STEPPINGSTONE);

Analyzer::disable_analyzer(Analyzer::ANALYZER_SYSLOG);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTLINE);

Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_TCP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_TCPSTATS);

Analyzer::disable_analyzer(Analyzer::ANALYZER_TEREDO);

Analyzer::disable_analyzer(Analyzer::ANALYZER_UDP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_XMPP);

Analyzer::disable_analyzer(Analyzer::ANALYZER_ZIP);

}

您还可以尝试禁用校验和，从而节省一些CPU周期。下面的行也可以放在local.bro中。

redef ignore_checksums = T;

在capture_loss.log文件中找到的Bro包丢失日志是一种很好的资源。Bro根据TCP会话期间可能发生的情况来估计数据包丢失。如果NIC没有报告数据包丢失，但是这个日志报告了，很可能数据包是从上游的Bro被丢弃的。

二、结论系列

本文结束了在Red Hat Linux上安装Bro的四部分系列文章。查看第一部分、第二部分或第三部分，开始了解您自己的兄弟实例。