Bro IDS - 检测 DDoS 攻击

Question

我需要使用 BRO IDS 来检测 DDoS 攻击。我从 bro.org 安装了 bro 2.2，然后我检查了如何进行此分析。有人建议我使用synflood.bro 来检测 DDoS 攻击。这是合乎逻辑的。

我正在尝试使用synflood.bro。首先，我在 bro2.2 包中找不到它。所以，我是从网上下载的 (http://www.filewatcher.com/m/synflood.bro.3792-0.html - 2012-07-24 bro-1.5.3.tbz/share/bro/synflood.bro)

我遇到了这个错误：

line 3: can't open notice

line 3 --> @load notice

好的，很明显它找不到通知。但是，应该是什么“通知”。是文件夹还是什么？我想不通。

Answer 1

@load 指令告诉 Bro 加载脚本。它在 /opt/bro/share/bro/sites/local.bro

没有更多数据很难说，但在 Bro 2.2 通知（Bro alerts）现在是一个框架，你要么是

1. 尝试加载不存在的通知策略脚本或脚本集或
2. 尝试将 Bro 2.1 功能加载到 Bro 时出现问题。

Answer 2

我希望这指的是您的 local.bro 文件中进行@load 语句的行。在您的站点文件夹中检查该文件并将其注释掉以使 bro 能够根据需要运行。