<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv=Content-Type content="text/html; charset=us-ascii"><meta name=Generator content="Microsoft Word 14 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0in;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri","sans-serif";}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
span.EmailStyle17
        {mso-style-type:personal-compose;
        font-family:"Calibri","sans-serif";
        color:windowtext;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri","sans-serif";}
@page WordSection1
        {size:8.5in 11.0in;
        margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]--></head><body lang=EN-US link=blue vlink=purple><div class=WordSection1><p class=MsoNormal>So yea…..I’m sure you all saw this coming ;)<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>Now that I have unified2 output, the long and short is:  what can I do with it?  I don’t want to run barnyard and pipe to a db…I just want to see the packets command line.  My research/results so far:<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>Cerberus:  Old, slow, shareware<o:p></o:p></p><p class=MsoNormal>U2boat:  errors with no packets output:<o:p></o:p></p><p class=MsoNormal style='text-indent:.5in'>[08:10:56:~/log$] u2boat snort-unified.1303847056 ~/test.pcap<o:p></o:p></p><p class=MsoNormal style='text-indent:.5in'>Defaulting to pcap output.<o:p></o:p></p><p class=MsoNormal style='text-indent:.5in'>Error: incomplete record. 662559 of 1073741824 bytes read.<o:p></o:p></p><p class=MsoNormal style='text-indent:.5in'>[08:11:01:~/log$] ls -l ~/test.pcap<o:p></o:p></p><p class=MsoNormal style='text-indent:.5in'>-rw------- 1  0 2011-04-27 08:11 //test.pcap<o:p></o:p></p><p class=MsoNormal>U2spewfoo: errors with no results:<o:p></o:p></p><p class=MsoNormal>                [08:15:06 :~/log$] u2spewfoo snort-unified.1303847056<o:p></o:p></p><p class=MsoNormal style='text-indent:.5in'>get_record: (2) Failed to read all of record data.<o:p></o:p></p><p class=MsoNormal style='margin-left:.5in'>Read 662559 of 1073741824 bytes<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>I looked at mudpit as well, but again, it seems to be just a data spooler/redirector.  My process for handling snort alerts is:<o:p></o:p></p><p class=MsoNormal>                See the alert in the logs<o:p></o:p></p><p class=MsoNormal>                Do a whois on the remote IP<o:p></o:p></p><p class=MsoNormal>                tshark –X the current snort.pcap file matching the remote IP to see the raw packet caught<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>How does unified2 output fit into this type of response?  Thanks for any help all.<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>James<o:p></o:p></p></div></body></html>