Limpiando salidas de SNORT

[alexbariv]

Hola a todos!

Actualmente estoy haciendo un estudio de SNORT, y he logrado atrapar paquetes con la siguiente forma:

Código:

TCP TTL:103 TOS:0x0 ID:42138 IpLen:20 DgmLen:60 DF
***AP*** Seq: 0xD1CA2459  Ack: 0xF6A5391D  Win: 0xFCE0  TcpLen: 32
TCP Options (3) => NOP NOP TS: 57999506 13227790

Quisiera saber, como puedo hacer que SNORT solo me muestre los paquetes que contengan esta flag:

Código:

Win: 0xFCE0

Es decir, que solo muestre por pantalla el paquete que contenga esa información.

He estado revisando el manual de SNORT y no veo cual expresión me pudiera permitir lograr este efecto.

Gracias de antemano!

Saludos!

[dogduck]

Pues no lo sé.
Pero hay un par de links que creo te ayudarán:
http://www.maestrosdelweb.com/editorial/snort/
Y este muy bueno:
http://www.wikilearning.com/creacion...cp-4735-14.htm

salu2