Привіт, є декілька запитань по Suricata, якщо хтось має досвід - 1. чи можна якось обмежити інформацію, що пишеться в EVE, алертами з severity < 3 ? Бо інакше файл росте в розмірі як на дріжджах, а, чесно кажучи, таке - --- vvvvv 1146 "signature": "ET HUNTING Telegram API Domain in DNS Lookup", 1230 "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Request)", 2390 "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Request On Non-Standard High Port)", 1230 "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Response)" 11 "signature": "SURICATA STREAM CLOSEWAIT FIN out of window", 235 "signature": "SURICATA STREAM ESTABLISHED invalid ack", 77 "signature": "SURICATA STREAM excessive retransmissions", 5 "signature": "SURICATA STREAM FIN out of window", 235 "signature": "SURICATA STREAM Packet with invalid ack", 15 "signature": "SURICATA STREAM reassembly overlap with different data", 257 "signature": "SURICATA STREAM TIMEWAIT ACK with wrong seq", --- ^^^^^ може бути не цікавим. 2. наприклад, у сурікати є правила, що контролюють files downloads типу "ET POLICY PE EXE or DLL Windows file download HTTP". В цілому, правило файне, але якщо це завантаження з *.microsoft.com, то його можна ігнорувати (життя windows своє й як там майкрософт завантажує свої апдейти - то їх справа). Питання - чи можна вказати сурікаті, що певні правила не треба аплаїти до певних доменів? 3. оскільки правила завантажуються batch'ем (ну типу по кронтабу раз на добу suricata-update), то можна якось написати, що певні правила тупо ігнорувати. Ясно, що завантаження правил можна пропускати через фільтр й коментувати правила, які хочеться подізейблити, але може можна це зробити більш цивільно? :) Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison