<html>
<head>
<style><!--
.hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 12pt;
font-family:Calibri
}
--></style></head>
<body class='hmmessage'><div dir='ltr'>Hi Robert,<br><br>Changing a rules action from "alert" to "drop" is better handled in dropsid.conf rather than "modifysid.conf". That said, to change all rules from "alert tcp" to "drop tcp", you can do something like, In dropsid.conf, add the following line:<br><br>pcre:alert tcp<br><br>Not much luck with adding the string "react:msg;" though. I attempted with pcre in modifysid.conf but no good. May be someone else can chime in.<br><br>YM<br><div><hr id="stopSpelling">Date: Thu, 28 May 2015 13:50:49 +0200<br>From: wrkilu@...3879...<br>To: snort-users@lists.sourceforge.net<br>Subject: [Snort-users] Pulledpork and changing rules in modifysid.conf<br><br><style><!--
.ExternalClass blockquote {
padding-left:1ex;
border-left:#cccccc 1px solid;
}

.ExternalClass p {
padding:0px;
}
--></style>
Hi,<br><br>We need to change rules but I don't know how to do this by this file because I have difficult case.<BR>
 <BR>
The goal is: changing in every rule with "alert tcp" to "drop tcp" AND add string "react: msg; "<BR>
 <BR>
Thanks,<BR>
Robert<BR>
 <BR>
 <BR><br>



<br>------------------------------------------------------------------------------<br>_______________________________________________
Snort-users mailing list
Snort-users@lists.sourceforge.net
Go to this URL to change user options or unsubscribe:
https://lists.sourceforge.net/lists/listinfo/snort-users
Snort-users list archive:
http://sourceforge.net/mailarchive/forum.php?forum_name=snort-users

Please visit http://blog.snort.org to stay current on all the latest Snort news!</div>                                      </div></body>
</html>