来源：https://dallinwarne.com/security/getting-started-with-intrusion-detection-system-ids-bro-troubleshooting/
我发表的前三篇文章向您介绍了如何在Red Hat 7上设置Bro入侵检测系统(IDS)。您已经阅读了安装先决条件、编译和安装Bro以及第一次配置它。但是，尽管每个人都尽了最大的努力，在这个过程中还是可能会出现一些问题。你的Bro可能会掉包，撞到Bro bug，或者一个worker崩溃。本文将研究一些工具，帮助您诊断常见问题，并揭示一些与Bro相关的潜在原因和解决方案。
一、工具
1、HTop
HTop是一种很好的CLI工具可以监控系统中所有内核的CPU。它有助于了解负载是如何分布在所有核心上的。如果您通常是均匀分布的，如上面的截图所示，这是一个非常好的迹象。
2、PF_Ring
要查看PF_Ring驱动程序是否加载正确，可以运行:
dmesg | grep -i pf_ring
PF_Ring可以提供一些很好的统计数据，如:
cat /proc/net/pf_ring/info
这将打印有关网卡的一些基本设置，如插槽数。它还告诉您当前接口上的各种统计信息和设置，包括接收的数据包数量、丢弃的数据包数量、捕获方向等等。当broctl netstats从管理器运行时，它从这个文件中获取已删除的数据包统计信息。
cat /proc/net/pf_ring/<interface name>
检查其他网卡设置，你可以运行:
ethtool -k <interface>
通常人们会禁用ethtool允许的大多数网卡设置，这样更多的处理能力就不会丢失数据包。校验和也会干扰Bro的校验和，导致CUP尖峰和数据包丢失。
3、丢弃的数据包
到目前为止，你在Bro中投入的最大努力就是尽量减少数据包的丢失。包下降的来源可以是很多东西，其中一些是在这个页面上探索的。
4、CPU峰值或高CPU
有时您会看到单个核甚至多个核在处理过程中出现峰值。这些可能很难确定。
CPU峰值的其他一些可能性是:
（1）Cron作业
（2）不支持的数据包类型(即许多NIC供应商不支持MPLS流量)
（3）异常的流量模式，例如在0到最大吞吐量之间振荡
（4）混乱的通信流，例如大的丢弃或无序的数据包
（5）网卡的校验和不匹配
上面的一些问题也可能导致内存泄漏。
4、其他问题
在某些情况下，PCI总线的吞吐量不够大。如果您有一个只能处理4Gbps的PCIe 2.0插槽，那么不要期望能够处理比这更高的微脉冲流量。
网卡设置配置不当也是一个大问题。无论它是校验和，还是小环，这都是你可以优化nic的地方。
Linux默认设置没有针对高吞吐量进行优化。您需要扩展操作系统缓冲区，如http://dak1n1.com/blog/7-performance-tuning-intel-10gbe/所述。
5、
故障排除技巧
最好的方法是捕获您发送给Bro的数据包，然后看看重播这些数据包是否能够重现问题。这通常意味着第二个设备能够接收相同的流量，并且能够足够快地写入磁盘。如果您能够一致地复制问题，那么您就可以开始消除变量来跟踪源。
您还可以尝试禁用Bro中的各种协议分析器和脚本。仅禁用脚本是不够的。最好禁用两者。只需将下面的代码片段放入local.bro文件中以禁用分析程序。
event bro_init() {
Analyzer::disable_analyzer(Analyzer::ANALYZER_AYIYA);
Analyzer::disable_analyzer(Analyzer::ANALYZER_BACKDOOR);
Analyzer::disable_analyzer(Analyzer::ANALYZER_BITTORRENT);
Analyzer::disable_analyzer(Analyzer::ANALYZER_BITTORRENTTRACKER);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONNSIZE);
Analyzer::disable_analyzer(Analyzer::ANALYZER_DCE_RPC);
Analyzer::disable_analyzer(Analyzer::ANALYZER_DHCP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_DNP3_TCP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_DNP3_UDP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_DNS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_DNS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_FTP_DATA);
Analyzer::disable_analyzer(Analyzer::ANALYZER_IRC_DATA);
Analyzer::disable_analyzer(Analyzer::ANALYZER_FINGER);
Analyzer::disable_analyzer(Analyzer::ANALYZER_FTP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_FTP_ADAT);
Analyzer::disable_analyzer(Analyzer::ANALYZER_GNUTELLA);
Analyzer::disable_analyzer(Analyzer::ANALYZER_GSSAPI);
Analyzer::disable_analyzer(Analyzer::ANALYZER_GTPV1);
Analyzer::disable_analyzer(Analyzer::ANALYZER_HTTP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_ICMP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_IDENT);
Analyzer::disable_analyzer(Analyzer::ANALYZER_IMAP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_INTERCONN);
Analyzer::disable_analyzer(Analyzer::ANALYZER_IRC);
Analyzer::disable_analyzer(Analyzer::ANALYZER_KRB);
Analyzer::disable_analyzer(Analyzer::ANALYZER_KRB_TCP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_RLOGIN);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_RSH);
Analyzer::disable_analyzer(Analyzer::ANALYZER_LOGIN);
Analyzer::disable_analyzer(Analyzer::ANALYZER_NVT);
Analyzer::disable_analyzer(Analyzer::ANALYZER_RLOGIN);
Analyzer::disable_analyzer(Analyzer::ANALYZER_RSH);
Analyzer::disable_analyzer(Analyzer::ANALYZER_TELNET);
Analyzer::disable_analyzer(Analyzer::ANALYZER_MODBUS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_MYSQL);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_NCP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_NCP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_NETBIOSSSN);
Analyzer::disable_analyzer(Analyzer::ANALYZER_NETBIOSSSN);
Analyzer::disable_analyzer(Analyzer::ANALYZER_NTLM);
Analyzer::disable_analyzer(Analyzer::ANALYZER_NTP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_PIA_TCP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_PIA_UDP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_POP3);
Analyzer::disable_analyzer(Analyzer::ANALYZER_RADIUS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_RDP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_RFB);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_NFS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_RPC);
Analyzer::disable_analyzer(Analyzer::ANALYZER_NFS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_PORTMAPPER);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SIP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS_SMB);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SMB);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SMTP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SNMP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SOCKS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SSH);
Analyzer::disable_analyzer(Analyzer::ANALYZER_DTLS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SSL);
Analyzer::disable_analyzer(Analyzer::ANALYZER_STEPPINGSTONE);
Analyzer::disable_analyzer(Analyzer::ANALYZER_SYSLOG);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTLINE);
Analyzer::disable_analyzer(Analyzer::ANALYZER_CONTENTS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_TCP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_TCPSTATS);
Analyzer::disable_analyzer(Analyzer::ANALYZER_TEREDO);
Analyzer::disable_analyzer(Analyzer::ANALYZER_UDP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_XMPP);
Analyzer::disable_analyzer(Analyzer::ANALYZER_ZIP);
}
您还可以尝试禁用校验和，从而节省一些CPU周期。下面的行也可以放在local.bro中。
redef ignore_checksums = T;
在capture_loss.log文件中找到的Bro包丢失日志是一种很好的资源。Bro根据TCP会话期间可能发生的情况来估计数据包丢失。如果NIC没有报告数据包丢失，但是这个日志报告了，很可能数据包是从上游的Bro被丢弃的。
二、结论系列
本文结束了在Red Hat Linux上安装Bro的四部分系列文章。查看第一部分、第二部分或第三部分，开始了解您自己的兄弟实例。
