Hi Joesph,<br>
  Perhaps consider using a different libpcap if you are using Linux? --><a href="http://public.lanl.gov/cpw/">http://public.lanl.gov/cpw/</a><br>
<br>Cheers,<br>
<br>
_Raju<br>
<br><div><span class="gmail_quote">On 10/26/05, <b class="gmail_sendername">Joseph Nicholson</b> <<a href="mailto:wjnicholson@...11827...">wjnicholson@...11827...</a>> wrote:</span><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;">
<div>I was afraid of that.</div>
<div> </div>
<div>I have snort plugged into a Cisco 3560G Switch on a mirrored
port.  I am mirroring 10 other ports on the switch
currently.  This is my core switch and brings about 5 different
network segments together.  I am using the Official Snort Rules
and the Bleeding Snort Rules.  Snort is setup to kick out the
Alerts via Syslog.  The local Syslog function in Linux is setup to
send the Alerts to a Syslog appliance that parses all of my logs for
me.
</div>
<div> </div>
<div>For testing I setup Snort to output Alerts via unified logging and
that didn't help any.  I currently have both Tx and Rx being
mirrored to my monitoring port.  I tried just Tx and just Rx and
got the same result.  The monitor port is a Gigabit port and the
monitoring ethernet port is running at a Gigabit also.  On the
linux appliance that port is running in promiscuous mode and has no
IP.  I have a management interface on the box also that I use to
send the syslog files across and that I log into to manage the box.
</div>
<div> </div>
<div>Any thoughts or suggestions would be appreciated.  This is
the first production Sensor I have setup.  All my testing sensors
apparently didn't have enough traffic being pushed at them.<br><br> </div><div><span class="e" id="q_1072d1df2b8ae75a_1">
<div><span class="gmail_quote">On 10/26/05, <b class="gmail_sendername">Richard Bejtlich</b> <<a href="mailto:taosecurity@...11827..." target="_blank" onclick="return top.js.OpenExtLink(window,event,this)">taosecurity@...11827...
</a>> wrote:</span>
<blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0px 0px 0px 0.8ex; padding-left: 1ex;">Joseph Nicholson wrote:<br><br>>I see that snort dropped 179457 packets because it couldn't process them.
<br>> Snort received 186246 packets<br>> Analyzed: 6789(3.645%)<br>> Dropped: 179457(96.355%)<br>> My gut instinct is telling me that it dropped 179457 packets because it<br>> felt there was no threat from them and that the 6789 it analyzed looked
<br>> suspicious.<br><br>Hi Joseph,<br><br>You have a serious problem with your Snort deployment.  The packets<br>Snort dropped were never inspected, period.<br><br>Can you describe your configuration?  Are you sending Snort alerts
<br>directly to a database, without Barnyard?  Are you running any odd<br>rules?<br><br>Sincerely,<br><br>Richard<br><a href="http://www.taosecurity.com" target="_blank" onclick="return top.js.OpenExtLink(window,event,this)">
http://www.taosecurity.com</a><br></blockquote></div><br><br clear="all">
<br>-- <br></span></div><span class="sg">Joseph Nicholson 

</span></blockquote></div><br><br clear="all"><br>-- <br>May the packets be with you.