<html><head><meta http-equiv="Content-Type" content="text/html charset=iso-8859-1"><base href="x-msg://1835/"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space; "><div>On Nov 26, 2012, at 2:14 PM, Y M <<a href="mailto:snort@...253...3751...">snort@...3751...</a>> wrote:</div><div><div><br class="Apple-interchange-newline"><blockquote type="cite"><div class="hmmessage" style="font-size: 12pt; font-family: Calibri; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-align: -webkit-auto; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px; "><div dir="ltr">Miso,<br> <br>I use both, VRT and ET in my production systems. Pesonally, they both complement each other for greater coverability. But this comes at the cost of managing the rules, responding to alerts; while eliminating alerts of the same threat being fired by two different rulesets, in a timely fashion. Although this is doable, but it takes a lot of time, tracking and engineering of the rulesets.<br></div></div></blockquote><div><br></div><div><br></div>To be clear.  We don't enable all the rules out of the box because we believe you should tune <i>any</i> ruleset to your network.  Plus we have over 15k rules in the VRT set.  Performance would not be good if we turned them all on.  </div><div><br></div><div><br><blockquote type="cite"><div class="hmmessage" style="font-size: 12pt; font-family: Calibri; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-align: -webkit-auto; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px; "><div dir="ltr"><snip to avoid any perception of flame war><br></div></div></blockquote><br><blockquote type="cite"><div class="hmmessage" style="font-size: 12pt; font-family: Calibri; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-align: -webkit-auto; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px; "><div dir="ltr"> For almost a month, I have been watching how and when both teams update their rules. Release dates of updated rules by both teams happen at almost identical dates, give or take two or three days for both. This is not the case when using the Registered ruleset of the VRT team as it is almost a month behind the Subscriber ruleset, which is currently being discussed by Joel and Nathan in previous emails.<br></div></div></blockquote><div><br></div><div>Wait..</div><div><br></div><div>The Registered ruleset is the same exact ruleset as the Subscriber set, for free.  This is the complete ruleset, not a subset of a ruleset.  It's just 30 days behind the subscriber download.</div><div><br></div><div>What Nathan and I are referring to is a third download option.  The Community ruleset will be a separate package for Registered users (subscribers will have to do nothing) to get up to date community submitted rules + some others.  This will allow people to submit rules to the VRT ruleset, where the rules will remain under an open license without the restrictions on reuse and access that the VRT license states.</div><br><blockquote type="cite"><div class="hmmessage" style="font-size: 12pt; font-family: Calibri; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-align: -webkit-auto; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px; "><div dir="ltr"> My approach to this is completely different. The selection of which rules (.rules) to include is largely dependant on the environment and systems you run, network traffic, where your sensors are placed in the network, which rules can cover more of a particular threat, and your response methodology. I try to utilize the best of both worlds and this is an on-going process that require close attention as much as possible given that resources permit.</div></div></blockquote><br></div></div><div>Which is what we recommend.</div><div><br></div><div><span style="font-size: 12px; font-family: 'Lucida Grande'; ">--</span><br><span style="font-size: 12px; font-family: 'Lucida Grande'; "><b>Joel Esler</b></span><br><span style="font-size: 12px; font-family: 'Lucida Grande'; ">Senior Research Engineer, VRT</span><br><span style="font-size: 12px; font-family: 'Lucida Grande'; ">OpenSource Community Manager</span><br><span style="font-size: 12px; font-family: 'Lucida Grande'; ">Sourcefire</span></div></body></html>