<html>
<head>
<style><!--
.hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 12pt;
font-family:Calibri
}
--></style></head>
<body class='hmmessage'><div dir='ltr'><br><br><div>> From: Avery.Rozar@...16118...<br>> To: snort-users@lists.sourceforge.net<br>> Date: Mon, 10 Nov 2014 17:37:06 +0000<br>> Subject: [Snort-users] How can I remove redundant entries from the database?<br>> <br>> Iím using Barnyard2 to send alerts to a PostgreSQL database. As you all know one alert could actually be hundreds, or even thousands of events in the database. Is there a script available that removes redundant alerts from the database based on iphdr.ip_src, iphdr.ip_dst and event.sid, event.signature and leaves the original based on event.cid?<br><br></div><div>I do not know of any "direct" method. The problem stems (in my opinion) from the fact that referential integrity is not enforced into the database schema, due to performance preference, i.e., referential integrity makes insertions a bit slower while increasing the performance of deletions and vice versa. In this case insertions are more important than deletions.</div><div><br></div><div>The last time I tried to do that was a while back and I ended up with a pretty long SQL query that did not even complete after 24 hours, eventually I gave up on it and used the archive database to have historical data while the "live" database was fully truncated periodically.</div><div><br></div><div>YM</div><div><br></div><div>> <br>> <br>> Thanks,<br>> Avery<br>> <br>> ------------------------------------------------------------------------------<br>> _______________________________________________<br>> Snort-users mailing list<br>> Snort-users@lists.sourceforge.net<br>> Go to this URL to change user options or unsubscribe:<br>> https://lists.sourceforge.net/lists/listinfo/snort-users<br>> Snort-users list archive:<br>> http://sourceforge.net/mailarchive/forum.php?forum_name=snort-users<br>> <br>> Please visit http://blog.snort.org to stay current on all the latest Snort news!<br></div>                                         </div></body>
</html>