<div dir="ltr">Hello,<div><br></div><div>While working with Snort3 (build 240), I have found some issues, and have a few questions and requests. I am happy to submit these through Github if you'd like.</div><div><br></div><div>1.  What is the difference between <b>ips.include</b> and <b>ips.rules</b>?  From the manual and examples, it looks like ips.include is for legacy rules (although snort3 community rules load fine), while ips.rules is for local rules in the same file.  can you clarify?</div><div>2.  For best practices, are you expecting people to set <b>$RULE_HOME</b> in <b>snort_defaults.lua</b>, or should this be overwritten in <b>snort.lua</b>?  Should this be moved to snort.lua, since the word 'defaults' seems to indicate something the user shouldn't change.</div><div>3.  If $RULE_HOME is set, when referencing rule files, you are now required to have all rules under that folder (with no explicit paths to other locations). This seems like a bug.  It would be nice if relative files would use the $RULES_HOME directory, while full paths to rule files would not use $RULE_HOME.</div><div>4.  When using <b>ips.include</b> with a file that lists all rule files (example below), the file paths don't seem to be relative to $RULE_HOME, but are relative to the snort.lua file, which seems odd.</div><div>5.  It would be nice to be able to specify multiple rule files in your snort.lua, rather than listing them all in ips.include (or whatever). The current method of lincluding a list of rule files in a text file referenced from <b>ips.include </b>seems like a kludge and adds an extra layer of work and increases the chance of an issue when configuring your rules.  A comma-seperated list of files (relative to $RULE_HOME or full paths) would be helpful.</div><div>6.  Not sure if this is an issue or not, but if you specify the GID keyword in a rule loaded with <b>ips.include</b>, snort3 will segfault.</div><div><br></div><div>Thank you,</div><div>Noah</div><div><br></div><div><br></div><div>Here is how my system is configured for the above questions (relevant sections only):</div><div><br></div><div><b><u>/etc/snort/snort_defaults.lua:</u></b></div><div><div>RULE_PATH = '/etc/snort/rules'</div></div><div><br></div><div><b><u>/etc/snort/</u></b><b><u>snort.lua</u></b></div><div><div>ips =</div><div>{</div><div>    enable_builtin_rules = true,<br></div><div>    include = RULE_PATH .. '/ips.include',<br></div><div>}</div></div><div><br></div><div><b><u>/etc/snort/rules/ips.include</u></b><br></div><div><div>include rules/snort3-community.rules</div><div>include rules/local.rules</div><div style="text-decoration-line:underline;font-weight:bold"><br></div></div><div style="text-decoration-line:underline;font-weight:bold">ls -l /etc/snort/rules</div><div><div>-rw-r--r-- 1 root root      64 Nov 19 09:33              ips.include<br></div><div>-rw-r--r-- 1 root root    1389 Nov 19 09:36            local.rules</div><div>-rw-r--r-- 1 root root  376241 Nov 18 13:42          sid-msg.map</div><div>-rw-r--r-- 1 root root 1504089 Nov 18 13:36         snort3-community.rules</div><div style="text-decoration-line:underline;font-weight:bold"><br></div><div style=""><b style=""><u><br></u></b></div><div><div><b><u>noah@snort3:/etc/snort$ /bin/snort -V</u></b></div><div><br></div><div>   ,,_     -*> Snort++ <*-</div><div>  o"  )~   Version 3.0.0 (Build 240) from 2.9.8-383</div><div>   ''''    By Martin Roesch & The Snort Team</div><div>           <a href="http://snort.org/contact#team">http://snort.org/contact#team</a></div><div>           Copyright (C) 2014-2017 Cisco and/or its affiliates. All rights reserved.</div><div>           Copyright (C) 1998-2013 Sourcefire, Inc., et al.</div><div>           Using DAQ version 2.2.2</div><div>           Using LuaJIT version 2.0.4</div><div>           Using OpenSSL 1.0.2g  1 Mar 2016</div><div>           Using libpcap version 1.7.4</div><div>           Using PCRE version 8.38 2015-11-23</div><div>           Using ZLIB version 1.2.8</div><div>           Using FlatBuffers 1.7.0</div><div>           Using Hyperscan version 4.6.0 2017-11-18</div><div>           Using LZMA version 5.1.0alpha</div><div style="font-weight:bold;text-decoration-line:underline"><br></div></div><div style="text-decoration-line:underline;font-weight:bold"><br></div></div></div>