wich ips-rule did catch a packet shown in the log?

firebear,

you won't find specific rules for these alerts. They were generated by the Snort preprocessor http_inspect. You can recognize this by the leading "(http_inspect"). The preprocessor normalizes HTTP traffic, before it is passed to the ruleset, and occasionally logs warnings.

Regards,
Stephan

Thank you Stephan_Scholz,

but what is with other traffic is there a list or anything where i can see wich ips.rule catches wich packet ??

firebear

You can see the rule's ID as the second number in the [x.y.z] field of the message (y is the number you are looking for). This is the same ID as in "Intrusion Protection/Rules". You can also search for the alert message text. Check the "Filters" menu in "Intrusion Protection/Rules".

Regards,
Stephan

Hi Stephan,
thanks for your answer. Could you please explain what the x and the z numbers are for.

thanks
firebear

The other two numbers are mainly system-internal information. Here's the explanation:
[x, y, z]

x = internal identifier for generator of alert (1=snort engine, i.e. generated by normal rule; 119=http_inspect preprocessor, 106=spp_rpc_decode preprocessor,..)
y = ID of matching rule
z = usually contains the internal revision of the rule, i.e. the version number. Currently this information is not logged, so this is displayed as 0 for all rules.

Regards,
Stephan

Hi Stephan_Scholz,
is it possible to get a list of all or is there any ressource in the net where to get ?

thanks for your answers
firebear

Unfortunately there is no web site listing the different "generators" -> until now, because I retrieved the info for you from the source code, and you can read it here on www.astaro.org :-)

1=snort engine, i.e. generated by normal rule
2=tag
100=portscan detection preprocessor
101=minfrag preprocessor
102=http_decode preprocessor
103=defrag preprocessor
104=spade preprocessor
105=back orifice preprocessor
106=RPC decode preprocessor
107=stream2 preprocessor
108=stream3 preprocessor
109=telnet decode preprocessor
110=unicode preprocessor
111=stream4 preprocessor
112=arpspoof preprocessor
113=frag2 preprocessor
114=fnord preprocessor
115=ASN.1 preprocessor
116=snort decoder preprocessor (includes general sanity checks)
117=scan2 preprocessor
118=conv preprocessor
119=http_inspect preprocessor client
120=http_inspect preprocessor server
121=flow_portscan detection preprocessor

Regards,
Stephan

These seem to be documented by the snort people.  
I asked Google 
The first link contains most of the info, but is missing the last few.
Seems like it's not easy to find online though, Google only finds it if you know exactly what to look for.

Barry

These seem to be documented by the snort people.  
I asked Google 
The first link contains most of the info, but is missing the last few.
Seems like it's not easy to find online though, Google only finds it if you know exactly what to look for.

Barry