<div dir="ltr">Hi everyone, <div><br></div><div>Let's consider that we have a pcap file with 50 matches of ICMP_SEQ: $number$ using wireshark. </div><div><br></div><div>When we use suricata using the same pcap to match ICMP_SEQ:$number$ ( in a rule), it produces sometimes different, but little less than or equal to the actual 50 matches. </div>

<div><br></div><div>I mean for the first time it triggers 45 alerts, and different next time. It misses some matches! This pattern can be reproduced in different cases such as threshold rule, etc. Each time with the same rule and same pcap, I get different match or sometime same number of match. </div>

<div><br></div><div>Is this a limitation of all NIDSs? </div><div><div>--<br>Best Regards,<br>Prabhakaran Kasinathan<br></div>
</div></div>