snort regla duda

[Alfon]

Para eso creo que es mejor usar windump. Con los parámetros adecuados te creará un archivo con las direcciones de los servidores que estais usando.

Por ejemplo con "dst port 25". si quiere que el log tenga la mínima información posible para tener solo las direcciones:

- n (para que no resuelva los nombre de host)
- t (elimina las marcas de tiempo)
- q (salida rápida con la informción más básica)

De esta forma yo lo haría de esta forma

c:\windump -i(interface) -qtn dst port 25 > salida.txt


Sobre tu duda te diré que no es necesario especificar el puerto en origen.