Привіт, є декілька запитань по Suricata, якщо хтось має досвід - 1. чи можна якось обмежити інформацію, що пишеться в EVE, алертами з severity < 3 ? Бо інакше файл росте в розмірі як на дріжджах, а, чесно кажучи, таке - --- vvvvv    1146     "signature": "ET HUNTING Telegram API Domain in DNS Lookup",    1230     "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Request)",    2390     "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Request On Non-Standard High Port)",    1230     "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Response)"      11     "signature": "SURICATA STREAM CLOSEWAIT FIN out of window",     235     "signature": "SURICATA STREAM ESTABLISHED invalid ack",      77     "signature": "SURICATA STREAM excessive retransmissions",       5     "signature": "SURICATA STREAM FIN out of window",     235     "signature": "SURICATA STREAM Packet with invalid ack",      15     "signature": "SURICATA STREAM reassembly overlap with different data",     257     "signature": "SURICATA STREAM TIMEWAIT ACK with wrong seq", --- ^^^^^ може бути не цікавим. 2. наприклад, у сурікати є правила, що контролюють files downloads типу "ET POLICY PE EXE or DLL Windows file download HTTP". В цілому, правило файне, але якщо це завантаження з *.microsoft.com, то його можна ігнорувати (життя windows своє й як там майкрософт завантажує свої апдейти - то їх справа). Питання - чи можна вказати сурікаті, що певні правила не треба аплаїти до певних доменів? 3. оскільки правила завантажуються batch'ем (ну типу по кронтабу раз на добу suricata-update), то можна якось написати, що певні правила тупо ігнорувати. Ясно, що завантаження правил можна пропускати через фільтр й коментувати правила, які хочеться подізейблити, але може можна це зробити більш цивільно? :) Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison