<div dir="ltr"><span style="font-family:arial,sans-serif;font-size:13px">Hi,</span><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">I have installe suricata inline mode on centos 6.5 witj 3 nic's , 2 in bridge , 1 manage</div>
<div style="font-family:arial,sans-serif;font-size:13px">here is nic's config :</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">********************************************</div>
<div style="font-family:arial,sans-serif;font-size:13px"><div>DEVICE=br0</div><div>TYPE=Bridge</div><div>ONBOOT=yes</div><div>#USERCTL="no"</div><div>BOOTPROTO=none</div><div>PROMISC=yes</div><div>STP=yes</div></div>
<div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px"><div>DEVICE=eth1</div><div>TYPE=Ethernet</div><div>UUID=b18d50e9-c596-4c49-aae6-4adf4251fbef</div>
<div>ONBOOT=yes</div><div>NM_CONTROLLED=yes</div><div>BOOTPROTO=none</div><div>HWADDR=00:1C:C4:DE:1C:5E</div><div>IPADDR=192.168.1.251</div><div>PREFIX=24</div><div>GATEWAY=192.168.1.1</div><div>DNS1=8.8.8.8</div><div>DEFROUTE=yes</div>
<div>IPV4_FAILURE_FATAL=yes</div><div>IPV6INIT=no</div><div>NAME="System eth1 MANAGE"</div></div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">
<div>DEVICE=eth2</div><div>TYPE=Ethernet</div><div>#IPV6INIT="yes"</div><div>ONBOOT=yes</div><div>BOOTPROTO=none</div><div>#USERCTL="no"</div><div>BRIDGE=br0</div><div>PROMISC=yes</div></div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px"><div>DEVICE=eth3</div><div>TYPE=Ethernet</div><div>#IPV6INIT="yes"</div><div>ONBOOT=yes</div><div>BOOTPROTO=none</div><div>#USERCTL="no"</div>
<div>BRIDGE=br0</div><div>PROMISC=yes</div></div><div style="font-family:arial,sans-serif;font-size:13px">****************************************************</div><div style="font-family:arial,sans-serif;font-size:13px">
hardware HP DL380G5 - 8Gram , 2 CPU</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">SELINUX=enforcing<br></div><div style="font-family:arial,sans-serif;font-size:13px">
iptables conf: </div><div style="font-family:arial,sans-serif;font-size:13px">iptables -A FORWARD -j NFQUEUE --queue-balance 0:3</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">
suricata run :</div><div style="font-family:arial,sans-serif;font-size:13px"> suricata -c /etc/suricata/suricata.yaml -q 0 -q 1 -q 2 -q 3</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">
when it's running , the download speed down to ~1M from 10M<br></div><div style="font-family:arial,sans-serif;font-size:13px">when i'm stopping suricata and clearing iptables , all work good<br></div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">my suricata conf.file :</div><div style><div style><font face="arial, sans-serif">%YAML 1.1</font></div><div style><font face="arial, sans-serif">---</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Suricata configuration file. In addition to the comments describing all</font></div><div style><font face="arial, sans-serif"># options in this file, full documentation can be found at:</font></div>
<div style><font face="arial, sans-serif"># <a href="https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml">https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml</a></font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Number of packets allowed to be processed simultaneously.  Default is a</font></div>
<div style><font face="arial, sans-serif"># conservative 1024. A higher number will make sure CPU's/CPU cores will be</font></div><div style><font face="arial, sans-serif"># more easily kept busy, but may negatively impact caching.</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># If you are using the CUDA pattern matcher (mpm-algo: ac-cuda), different rules</font></div><div style><font face="arial, sans-serif"># apply. In that case try something like 60000 or more. This is because the CUDA</font></div>
<div style><font face="arial, sans-serif"># pattern matcher buffers and scans as many packets as possible in parallel.</font></div><div style><font face="arial, sans-serif">max-pending-packets: 6000</font></div><div style>
<font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Runmode the engine should use. Please check --list-runmodes to get the available</font></div><div style><font face="arial, sans-serif"># runmodes for each packet acquisition method. Defaults to "autofp" (auto flow pinned</font></div>
<div style><font face="arial, sans-serif"># load balancing).</font></div><div style><font face="arial, sans-serif">#runmode: autofp</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Specifies the kind of flow load balancer used by the flow pinned autofp mode.</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># Supported schedulers are:</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># round-robin       - Flows assigned to threads in a round robin fashion.</font></div>
<div style><font face="arial, sans-serif"># active-packets    - Flows assigned to threads that have the lowest number of</font></div><div style><font face="arial, sans-serif">#                     unprocessed packets (default).</font></div>
<div style><font face="arial, sans-serif"># hash              - Flow alloted usihng the address hash. More of a random</font></div><div style><font face="arial, sans-serif">#                     technique. Was the default in Suricata 1.2.1 and older.</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">#autofp-scheduler: active-packets</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># If suricata box is a router for the sniffed networks, set it to 'router'. If</font></div>
<div style><font face="arial, sans-serif"># it is a pure sniffing setup, set it to 'sniffer-only'.</font></div><div style><font face="arial, sans-serif"># If set to auto, the variable is internally switch to 'router' in IPS mode</font></div>
<div style><font face="arial, sans-serif"># and 'sniffer-only' in IDS mode.</font></div><div style><font face="arial, sans-serif"># This feature is currently only used by the reject* keywords.</font></div><div style>
<font face="arial, sans-serif">host-mode: auto</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Run suricata as user and group.</font></div><div style><font face="arial, sans-serif">#run-as:</font></div>
<div style><font face="arial, sans-serif">#  user: suri</font></div><div style><font face="arial, sans-serif">#  group: suri</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Default pid file.</font></div>
<div style><font face="arial, sans-serif"># Will use this file if no --pidfile in command options.</font></div><div style><font face="arial, sans-serif">#pid-file: /var/run/suricata.pid</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif"># Daemon working directory</font></div><div style><font face="arial, sans-serif"># Suricata will change directory to this one if provided</font></div><div style><font face="arial, sans-serif"># Default: "/"</font></div>
<div style><font face="arial, sans-serif">#daemon-directory: "/"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Preallocated size for packet. Default is 1514 which is the classical</font></div>
<div style><font face="arial, sans-serif"># size for pcap on ethernet. You should adjust this value to the highest</font></div><div style><font face="arial, sans-serif"># packet size (MTU + hardware header) on your system.</font></div>
<div style><font face="arial, sans-serif">#default-packet-size: 1514</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># The default logging directory.  Any log or output file will be</font></div>
<div style><font face="arial, sans-serif"># placed here if its not specified with a full path name.  This can be</font></div><div style><font face="arial, sans-serif"># overridden with the -l command line parameter.</font></div>
<div style><font face="arial, sans-serif">default-log-dir: /var/log/suricata/</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Unix command socket can be used to pass commands to suricata.</font></div>
<div style><font face="arial, sans-serif"># An external tool can then connect to get information from suricata</font></div><div style><font face="arial, sans-serif"># or trigger some modifications of the engine. Set enabled to yes</font></div>
<div style><font face="arial, sans-serif"># to activate the feature. You can use the filename variable to set</font></div><div style><font face="arial, sans-serif"># the file name of the socket.</font></div><div style><font face="arial, sans-serif">unix-command:</font></div>
<div style><font face="arial, sans-serif">  enabled: no</font></div><div style><font face="arial, sans-serif">  #filename: custom.socket</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Configure the type of alert (and other) logging you would like.</font></div>
<div style><font face="arial, sans-serif">outputs:</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # a line based alerts log similar to Snort's fast.log</font></div>
<div style><font face="arial, sans-serif">  - fast:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">      filename: fast.log</font></div><div style>
<font face="arial, sans-serif">      append: yes</font></div><div style><font face="arial, sans-serif">      #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">  # Extensible Event Format (nicknamed EVE) event log in JSON format</font></div><div style><font face="arial, sans-serif">  - eve-log:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div>
<div style><font face="arial, sans-serif">      type: file #file|syslog|unix_dgram|unix_stream</font></div><div style><font face="arial, sans-serif">      filename: eve.json</font></div><div style><font face="arial, sans-serif">      # the following are valid when type: syslog above</font></div>
<div style><font face="arial, sans-serif">      #identity: "suricata"</font></div><div style><font face="arial, sans-serif">      #facility: local5</font></div><div style><font face="arial, sans-serif">      #level: Info ## possible levels: Emergency, Alert, Critical,</font></div>
<div style><font face="arial, sans-serif">                   ## Error, Warning, Notice, Info, Debug</font></div><div style><font face="arial, sans-serif">      types:</font></div><div style><font face="arial, sans-serif">        - alert</font></div>
<div style><font face="arial, sans-serif">        - http:</font></div><div style><font face="arial, sans-serif">            extended: yes     # enable this for extended logging information</font></div><div style><font face="arial, sans-serif">        - dns</font></div>
<div style><font face="arial, sans-serif">        - tls:</font></div><div style><font face="arial, sans-serif">            extended: yes     # enable this for extended logging information</font></div><div style><font face="arial, sans-serif">        - files:</font></div>
<div style><font face="arial, sans-serif">            force-magic: no   # force logging magic on all logged files</font></div><div style><font face="arial, sans-serif">            force-md5: no     # force logging of md5 checksums</font></div>
<div style><font face="arial, sans-serif">        - drop</font></div><div style><font face="arial, sans-serif">        - ssh</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # alert output for use with Barnyard2</font></div>
<div style><font face="arial, sans-serif">  - unified2-alert:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">      filename: unified2.alert</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      # File size limit.  Can be specified in kb, mb, gb.  Just a number</font></div><div style><font face="arial, sans-serif">      # is parsed as bytes.</font></div>
<div style><font face="arial, sans-serif">      #limit: 32mb</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      # Sensor ID field of unified2 alerts.</font></div>
<div style><font face="arial, sans-serif">      #sensor-id: 0</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      # HTTP X-Forwarded-For support by adding the unified2 extra header that</font></div>
<div style><font face="arial, sans-serif">      # will contain the actual client IP address or by overwriting the source</font></div><div style><font face="arial, sans-serif">      # IP address (helpful when inspecting traffic that is being reversed</font></div>
<div style><font face="arial, sans-serif">      # proxied).</font></div><div style><font face="arial, sans-serif">      xff:</font></div><div style><font face="arial, sans-serif">        enabled: no</font></div><div style>
<font face="arial, sans-serif">        # Two operation modes are available, "extra-data" and "overwrite". Note</font></div><div style><font face="arial, sans-serif">        # that in the "overwrite" mode, if the reported IP address in the HTTP</font></div>
<div style><font face="arial, sans-serif">        # X-Forwarded-For header is of a different version of the packet</font></div><div style><font face="arial, sans-serif">        # received, it will fall-back to "extra-data" mode.</font></div>
<div style><font face="arial, sans-serif">        mode: extra-data</font></div><div style><font face="arial, sans-serif">        # Header name were the actual IP address will be reported, if more than</font></div><div style>
<font face="arial, sans-serif">        # one IP address is present, the last IP address will be the one taken</font></div><div style><font face="arial, sans-serif">        # into consideration.</font></div><div style><font face="arial, sans-serif">        header: X-Forwarded-For </font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # a line based log of HTTP requests (no alerts)</font></div><div style><font face="arial, sans-serif">  - http-log:</font></div>
<div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">      filename: http.log</font></div><div style><font face="arial, sans-serif">      append: yes</font></div>
<div style><font face="arial, sans-serif">      #extended: yes     # enable this for extended logging information</font></div><div style><font face="arial, sans-serif">      #custom: yes       # enabled the custom logging format (defined by customformat)</font></div>
<div style><font face="arial, sans-serif">      #customformat: "%{%D-%H:%M:%S}t.%z %{X-Forwarded-For}i %H %m %h %u %s %B %a:%p -> %A:%P"</font></div><div style><font face="arial, sans-serif">      #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # a line based log of TLS handshake parameters (no alerts)</font></div><div style><font face="arial, sans-serif">  - tls-log:</font></div>
<div style><font face="arial, sans-serif">      enabled: no  # Log TLS connections.</font></div><div style><font face="arial, sans-serif">      filename: tls.log # File to store TLS logs.</font></div><div style><font face="arial, sans-serif">      append: yes</font></div>
<div style><font face="arial, sans-serif">      #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'</font></div><div style><font face="arial, sans-serif">      #extended: yes # Log extended information like fingerprint</font></div>
<div style><font face="arial, sans-serif">      certs-log-dir: certs # directory to store the certificates files</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # a line based log of DNS requests and/or replies (no alerts)</font></div>
<div style><font face="arial, sans-serif">  - dns-log:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">      filename: dns.log</font></div><div style>
<font face="arial, sans-serif">      append: yes</font></div><div style><font face="arial, sans-serif">      #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">  # a line based log to used with pcap file study.</font></div><div style><font face="arial, sans-serif">  # this module is dedicated to offline pcap parsing (empty output</font></div>
<div style><font face="arial, sans-serif">  # if used with another kind of input). It can interoperate with</font></div><div style><font face="arial, sans-serif">  # pcap parser like wireshark via the suriwire plugin.</font></div>
<div style><font face="arial, sans-serif">  - pcap-info:</font></div><div style><font face="arial, sans-serif">      enabled: no</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # Packet log... log packets in pcap format. 2 modes of operation: "normal"</font></div>
<div style><font face="arial, sans-serif">  # and "sguil".</font></div><div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # In normal mode a pcap file "filename" is created in the default-log-dir,</font></div>
<div style><font face="arial, sans-serif">  # or are as specified by "dir". In Sguil mode "dir" indicates the base directory.</font></div><div style><font face="arial, sans-serif">  # In this base dir the pcaps are created in th directory structure Sguil expects:</font></div>
<div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # $sguil-base-dir/YYYY-MM-DD/$filename.<timestamp></font></div><div style><font face="arial, sans-serif">  #</font></div>
<div style><font face="arial, sans-serif">  # By default all packets are logged except:</font></div><div style><font face="arial, sans-serif">  # - TCP streams beyond stream.reassembly.depth</font></div><div style><font face="arial, sans-serif">  # - encrypted streams after the key exchange</font></div>
<div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  - pcap-log:</font></div><div style><font face="arial, sans-serif">      enabled:  no</font></div><div style><font face="arial, sans-serif">      filename: log.pcap</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      # File size limit.  Can be specified in kb, mb, gb.  Just a number</font></div><div style><font face="arial, sans-serif">      # is parsed as bytes.</font></div>
<div style><font face="arial, sans-serif">      limit: 1000mb</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      # If set to a value will enable ring buffer mode. Will keep Maximum of "max-files" of size "limit"</font></div>
<div style><font face="arial, sans-serif">      max-files: 2000</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      mode: normal # normal or sguil.</font></div>
<div style><font face="arial, sans-serif">      #sguil-base-dir: /nsm_data/</font></div><div style><font face="arial, sans-serif">      #ts-format: usec # sec or usec second format (default) is filename.sec usec is filename.sec.usec</font></div>
<div style><font face="arial, sans-serif">      use-stream-depth: no #If set to "yes" packets seen after reaching stream inspection depth are ignored. "no" logs all packets</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">  # a full alerts log containing much information for signature writers</font></div><div style><font face="arial, sans-serif">  # or for investigating suspected false positives.</font></div>
<div style><font face="arial, sans-serif">  - alert-debug:</font></div><div style><font face="arial, sans-serif">      enabled: no</font></div><div style><font face="arial, sans-serif">      filename: alert-debug.log</font></div>
<div style><font face="arial, sans-serif">      append: yes</font></div><div style><font face="arial, sans-serif">      #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'</font></div><div style>
<font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # alert output to prelude (<a href="http://www.prelude-technologies.com/">http://www.prelude-technologies.com/</a>) only</font></div>
<div style><font face="arial, sans-serif">  # available if Suricata has been compiled with --enable-prelude</font></div><div style><font face="arial, sans-serif">  - alert-prelude:</font></div><div style><font face="arial, sans-serif">      enabled: no</font></div>
<div style><font face="arial, sans-serif">      profile: suricata</font></div><div style><font face="arial, sans-serif">      log-packet-content: no</font></div><div style><font face="arial, sans-serif">      log-packet-header: yes</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # Stats.log contains data from various counters of the suricata engine.</font></div><div style><font face="arial, sans-serif">  # The interval field (in seconds) tells after how long output will be written</font></div>
<div style><font face="arial, sans-serif">  # on the log file.</font></div><div style><font face="arial, sans-serif">  - stats:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div><div style>
<font face="arial, sans-serif">      filename: stats.log</font></div><div style><font face="arial, sans-serif">      interval: 8</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # a line based alerts log similar to fast.log into syslog</font></div>
<div style><font face="arial, sans-serif">  - syslog:</font></div><div style><font face="arial, sans-serif">      enabled: no</font></div><div style><font face="arial, sans-serif">      # reported identity to syslog. If ommited the program name (usually</font></div>
<div style><font face="arial, sans-serif">      # suricata) will be used.</font></div><div style><font face="arial, sans-serif">      #identity: "suricata"</font></div><div style><font face="arial, sans-serif">      facility: local5</font></div>
<div style><font face="arial, sans-serif">      #level: Info ## possible levels: Emergency, Alert, Critical,</font></div><div style><font face="arial, sans-serif">                   ## Error, Warning, Notice, Info, Debug</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # a line based information for dropped packets in IPS mode</font></div><div style><font face="arial, sans-serif">  - drop:</font></div>
<div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">      filename: drop.log</font></div><div style><font face="arial, sans-serif">      append: yes</font></div>
<div style><font face="arial, sans-serif">      #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # output module to store extracted files to disk</font></div>
<div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # The files are stored to the log-dir in a format "file.<id>" where <id> is</font></div><div style>
<font face="arial, sans-serif">  # an incrementing number starting at 1. For each file "file.<id>" a meta</font></div><div style><font face="arial, sans-serif">  # file "file.<id>.meta" is created.</font></div>
<div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # File extraction depends on a lot of things to be fully done:</font></div><div style><font face="arial, sans-serif">  # - stream reassembly depth. For optimal results, set this to 0 (unlimited)</font></div>
<div style><font face="arial, sans-serif">  # - http request / response body sizes. Again set to 0 for optimal results.</font></div><div style><font face="arial, sans-serif">  # - rules that contain the "filestore" keyword.</font></div>
<div style><font face="arial, sans-serif">  - file-store:</font></div><div style><font face="arial, sans-serif">      enabled: no       # set to yes to enable</font></div><div style><font face="arial, sans-serif">      log-dir: files    # directory to store the files</font></div>
<div style><font face="arial, sans-serif">      force-magic: no   # force logging magic on all stored files</font></div><div style><font face="arial, sans-serif">      force-md5: no     # force logging of md5 checksums</font></div>
<div style><font face="arial, sans-serif">      #waldo: file.waldo # waldo file to store the file_id across runs</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # output module to log files tracked in a easily parsable json format</font></div>
<div style><font face="arial, sans-serif">  - file-log:</font></div><div style><font face="arial, sans-serif">      enabled: no</font></div><div style><font face="arial, sans-serif">      filename: files-json.log</font></div>
<div style><font face="arial, sans-serif">      append: yes</font></div><div style><font face="arial, sans-serif">      #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'</font></div><div style>
<font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      force-magic: no   # force logging magic on all logged files</font></div><div style><font face="arial, sans-serif">      force-md5: no     # force logging of md5 checksums</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Magic file. The extension .mgc is added to the value here.</font></div><div style><font face="arial, sans-serif">#magic-file: /usr/share/file/magic</font></div>
<div style><font face="arial, sans-serif">magic-file: /usr/share/file/magic</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># When running in NFQ inline mode, it is possible to use a simulated</font></div>
<div style><font face="arial, sans-serif"># non-terminal NFQUEUE verdict.</font></div><div style><font face="arial, sans-serif"># This permit to do send all needed packet to suricata via this a rule:</font></div><div style>
<font face="arial, sans-serif">#        iptables -I FORWARD -m mark ! --mark $MARK/$MASK -j NFQUEUE</font></div><div style><font face="arial, sans-serif"># And below, you can have your standard filtering ruleset. To activate</font></div>
<div style><font face="arial, sans-serif"># this mode, you need to set mode to 'repeat'</font></div><div style><font face="arial, sans-serif"># If you want packet to be sent to another queue after an ACCEPT decision</font></div>
<div style><font face="arial, sans-serif"># set mode to 'route' and set next-queue value.</font></div><div style><font face="arial, sans-serif"># On linux >= 3.1, you can set batchcount to a value > 1 to improve performance</font></div>
<div style><font face="arial, sans-serif"># by processing several packets before sending a verdict (worker runmode only).</font></div><div style><font face="arial, sans-serif"># On linux >= 3.6, you can set the fail-open option to yes to have the kernel</font></div>
<div style><font face="arial, sans-serif"># accept the packet if suricata is not able to keep pace.</font></div><div style><font face="arial, sans-serif">nfq:</font></div><div style><font face="arial, sans-serif">#  mode: accept</font></div>
<div style><font face="arial, sans-serif">#  repeat-mark: 1</font></div><div style><font face="arial, sans-serif">#  repeat-mask: 1</font></div><div style><font face="arial, sans-serif">#  route-queue: 2</font></div><div style>
<font face="arial, sans-serif">#  batchcount: 20</font></div><div style><font face="arial, sans-serif">#  fail-open: yes</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># af-packet support</font></div>
<div style><font face="arial, sans-serif"># Set threads to > 1 to use PACKET_FANOUT support</font></div><div style><font face="arial, sans-serif">af-packet:</font></div><div style><font face="arial, sans-serif">  - interface: eth0</font></div>
<div style><font face="arial, sans-serif">    # Number of receive threads (>1 will enable experimental flow pinned</font></div><div style><font face="arial, sans-serif">    # runmode)</font></div><div style><font face="arial, sans-serif">    threads: 1</font></div>
<div style><font face="arial, sans-serif">    # Default clusterid.  AF_PACKET will load balance packets based on flow.</font></div><div style><font face="arial, sans-serif">    # All threads/processes that will participate need to have the same</font></div>
<div style><font face="arial, sans-serif">    # clusterid.</font></div><div style><font face="arial, sans-serif">    cluster-id: 99</font></div><div style><font face="arial, sans-serif">    # Default AF_PACKET cluster type. AF_PACKET can load balance per flow or per hash.</font></div>
<div style><font face="arial, sans-serif">    # This is only supported for Linux kernel > 3.1</font></div><div style><font face="arial, sans-serif">    # possible value are:</font></div><div style><font face="arial, sans-serif">    #  * cluster_round_robin: round robin load balancing</font></div>
<div style><font face="arial, sans-serif">    #  * cluster_flow: all packets of a given flow are send to the same socket</font></div><div style><font face="arial, sans-serif">    #  * cluster_cpu: all packets treated in kernel by a CPU are send to the same socket</font></div>
<div style><font face="arial, sans-serif">    cluster-type: cluster_flow</font></div><div style><font face="arial, sans-serif">    # In some fragmentation case, the hash can not be computed. If "defrag" is set</font></div>
<div style><font face="arial, sans-serif">    # to yes, the kernel will do the needed defragmentation before sending the packets.</font></div><div style><font face="arial, sans-serif">    defrag: yes</font></div><div style>
<font face="arial, sans-serif">    # To use the ring feature of AF_PACKET, set 'use-mmap' to yes</font></div><div style><font face="arial, sans-serif">    use-mmap: yes</font></div><div style><font face="arial, sans-serif">    # Ring size will be computed with respect to max_pending_packets and number</font></div>
<div style><font face="arial, sans-serif">    # of threads. You can set manually the ring size in number of packets by setting</font></div><div style><font face="arial, sans-serif">    # the following value. If you are using flow cluster-type and have really network</font></div>
<div style><font face="arial, sans-serif">    # intensive single-flow you could want to set the ring-size independantly of the number</font></div><div style><font face="arial, sans-serif">    # of threads:</font></div><div style>
<font face="arial, sans-serif">    #ring-size: 2048</font></div><div style><font face="arial, sans-serif">    # On busy system, this could help to set it to yes to recover from a packet drop</font></div><div style><font face="arial, sans-serif">    # phase. This will result in some packets (at max a ring flush) being non treated.</font></div>
<div style><font face="arial, sans-serif">    #use-emergency-flush: yes</font></div><div style><font face="arial, sans-serif">    # recv buffer size, increase value could improve performance</font></div><div style><font face="arial, sans-serif">    # buffer-size: 32768</font></div>
<div style><font face="arial, sans-serif">    # Set to yes to disable promiscuous mode</font></div><div style><font face="arial, sans-serif">    # disable-promisc: no</font></div><div style><font face="arial, sans-serif">    # Choose checksum verification mode for the interface. At the moment</font></div>
<div style><font face="arial, sans-serif">    # of the capture, some packets may be with an invalid checksum due to</font></div><div style><font face="arial, sans-serif">    # offloading to the network card of the checksum computation.</font></div>
<div style><font face="arial, sans-serif">    # Possible values are:</font></div><div style><font face="arial, sans-serif">    #  - kernel: use indication sent by kernel for each packet (default)</font></div><div style><font face="arial, sans-serif">    #  - yes: checksum validation is forced</font></div>
<div style><font face="arial, sans-serif">    #  - no: checksum validation is disabled</font></div><div style><font face="arial, sans-serif">    #  - auto: suricata uses a statistical approach to detect when</font></div><div style>
<font face="arial, sans-serif">    #  checksum off-loading is used.</font></div><div style><font face="arial, sans-serif">    # Warning: 'checksum-validation' must be set to yes to have any validation</font></div>
<div style><font face="arial, sans-serif">    #checksum-checks: kernel</font></div><div style><font face="arial, sans-serif">    # BPF filter to apply to this interface. The pcap filter syntax apply here.</font></div><div style>
<font face="arial, sans-serif">    #bpf-filter: port 80 or udp</font></div><div style><font face="arial, sans-serif">    # You can use the following variables to activate AF_PACKET tap od IPS mode.</font></div><div style>
<font face="arial, sans-serif">    # If copy-mode is set to ips or tap, the traffic coming to the current</font></div><div style><font face="arial, sans-serif">    # interface will be copied to the copy-iface interface. If 'tap' is set, the</font></div>
<div style><font face="arial, sans-serif">    # copy is complete. If 'ips' is set, the packet matching a 'drop' action</font></div><div style><font face="arial, sans-serif">    # will not be copied.</font></div>
<div style><font face="arial, sans-serif">    #copy-mode: ips</font></div><div style><font face="arial, sans-serif">    #copy-iface: eth1</font></div><div style><font face="arial, sans-serif">  - interface: eth1</font></div>
<div style><font face="arial, sans-serif">    threads: 1</font></div><div style><font face="arial, sans-serif">    cluster-id: 98</font></div><div style><font face="arial, sans-serif">    cluster-type: cluster_flow</font></div>
<div style><font face="arial, sans-serif">    defrag: yes</font></div><div style><font face="arial, sans-serif">    # buffer-size: 32768</font></div><div style><font face="arial, sans-serif">    # disable-promisc: no</font></div>
<div style><font face="arial, sans-serif">  # Put default values here</font></div><div style><font face="arial, sans-serif">  - interface: default</font></div><div style><font face="arial, sans-serif">    #threads: 2</font></div>
<div style><font face="arial, sans-serif">    #use-mmap: yes</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">legacy:</font></div><div style><font face="arial, sans-serif">  uricontent: enabled</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># You can specify a threshold config file by setting "threshold-file"</font></div><div style><font face="arial, sans-serif"># to the path of the threshold config file:</font></div>
<div style><font face="arial, sans-serif"># threshold-file: /etc/suricata/threshold.config</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># The detection engine builds internal groups of signatures. The engine</font></div>
<div style><font face="arial, sans-serif"># allow us to specify the profile to use for them, to manage memory on an</font></div><div style><font face="arial, sans-serif"># efficient way keeping a good performance. For the profile keyword you</font></div>
<div style><font face="arial, sans-serif"># can use the words "low", "medium", "high" or "custom". If you use custom</font></div><div style><font face="arial, sans-serif"># make sure to define the values at "- custom-values" as your convenience.</font></div>
<div style><font face="arial, sans-serif"># Usually you would prefer medium/high/low.</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># "sgh mpm-context", indicates how the staging should allot mpm contexts for</font></div>
<div style><font face="arial, sans-serif"># the signature groups.  "single" indicates the use of a single context for</font></div><div style><font face="arial, sans-serif"># all the signature group heads.  "full" indicates a mpm-context for each</font></div>
<div style><font face="arial, sans-serif"># group head.  "auto" lets the engine decide the distribution of contexts</font></div><div style><font face="arial, sans-serif"># based on the information the engine gathers on the patterns from each</font></div>
<div style><font face="arial, sans-serif"># group head.</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># The option inspection-recursion-limit is used to limit the recursive calls</font></div>
<div style><font face="arial, sans-serif"># in the content inspection code.  For certain payload-sig combinations, we</font></div><div style><font face="arial, sans-serif"># might end up taking too much time in the content inspection code.</font></div>
<div style><font face="arial, sans-serif"># If the argument specified is 0, the engine uses an internally defined</font></div><div style><font face="arial, sans-serif"># default limit.  On not specifying a value, we use no limits on the recursion.</font></div>
<div style><font face="arial, sans-serif">detect-engine:</font></div><div style><font face="arial, sans-serif">  - profile: medium</font></div><div style><font face="arial, sans-serif">  - custom-values:</font></div><div style>
<font face="arial, sans-serif">      toclient-src-groups: 2</font></div><div style><font face="arial, sans-serif">      toclient-dst-groups: 2</font></div><div style><font face="arial, sans-serif">      toclient-sp-groups: 2</font></div>
<div style><font face="arial, sans-serif">      toclient-dp-groups: 3</font></div><div style><font face="arial, sans-serif">      toserver-src-groups: 2</font></div><div style><font face="arial, sans-serif">      toserver-dst-groups: 4</font></div>
<div style><font face="arial, sans-serif">      toserver-sp-groups: 2</font></div><div style><font face="arial, sans-serif">      toserver-dp-groups: 25</font></div><div style><font face="arial, sans-serif">  - sgh-mpm-context: auto</font></div>
<div style><font face="arial, sans-serif">  - inspection-recursion-limit: 30000</font></div><div style><font face="arial, sans-serif">  # When rule-reload is enabled, sending a USR2 signal to the Suricata process</font></div>
<div style><font face="arial, sans-serif">  # will trigger a live rule reload. Experimental feature, use with care.</font></div><div style><font face="arial, sans-serif">  - rule-reload: true</font></div><div style><font face="arial, sans-serif">  # If set to yes, the loading of signatures will be made after the capture</font></div>
<div style><font face="arial, sans-serif">  # is started. This will limit the downtime in IPS mode.</font></div><div style><font face="arial, sans-serif">  #- delayed-detect: yes</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif"># Suricata is multi-threaded. Here the threading can be influenced.</font></div><div style><font face="arial, sans-serif">threading:</font></div><div style><font face="arial, sans-serif">  # On some cpu's/architectures it is beneficial to tie individual threads</font></div>
<div style><font face="arial, sans-serif">  # to specific CPU's/CPU cores. In this case all threads are tied to CPU0,</font></div><div style><font face="arial, sans-serif">  # and each extra CPU/core has one "detect" thread.</font></div>
<div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # On Intel Core2 and Nehalem CPU's enabling this will degrade performance.</font></div><div style><font face="arial, sans-serif">  #</font></div>
<div style><font face="arial, sans-serif">  set-cpu-affinity: no</font></div><div style><font face="arial, sans-serif">  # Tune cpu affinity of suricata threads. Each family of threads can be bound</font></div><div style>
<font face="arial, sans-serif">  # on specific CPUs.</font></div><div style><font face="arial, sans-serif">  cpu-affinity:</font></div><div style><font face="arial, sans-serif">    - management-cpu-set:</font></div><div style>
<font face="arial, sans-serif">        cpu: [ 0 ]  # include only these cpus in affinity settings</font></div><div style><font face="arial, sans-serif">    - receive-cpu-set:</font></div><div style><font face="arial, sans-serif">        cpu: [ 0 ]  # include only these cpus in affinity settings</font></div>
<div style><font face="arial, sans-serif">    - decode-cpu-set:</font></div><div style><font face="arial, sans-serif">        cpu: [ 0, 1 ]</font></div><div style><font face="arial, sans-serif">        mode: "balanced"</font></div>
<div style><font face="arial, sans-serif">    - stream-cpu-set:</font></div><div style><font face="arial, sans-serif">        cpu: [ "0-1" ]</font></div><div style><font face="arial, sans-serif">    - detect-cpu-set:</font></div>
<div style><font face="arial, sans-serif">        cpu: [ "all" ]</font></div><div style><font face="arial, sans-serif">        mode: "exclusive" # run detect threads in these cpus</font></div><div style>
<font face="arial, sans-serif">        # Use explicitely 3 threads and don't compute number by using</font></div><div style><font face="arial, sans-serif">        # detect-thread-ratio variable:</font></div><div style>
<font face="arial, sans-serif">        # threads: 3</font></div><div style><font face="arial, sans-serif">        prio:</font></div><div style><font face="arial, sans-serif">          low: [ 0 ]</font></div><div style><font face="arial, sans-serif">          medium: [ "1-2" ]</font></div>
<div style><font face="arial, sans-serif">          high: [ 3 ]</font></div><div style><font face="arial, sans-serif">          default: "medium"</font></div><div style><font face="arial, sans-serif">    - verdict-cpu-set:</font></div>
<div style><font face="arial, sans-serif">        cpu: [ 0 ]</font></div><div style><font face="arial, sans-serif">        prio:</font></div><div style><font face="arial, sans-serif">          default: "high"</font></div>
<div style><font face="arial, sans-serif">    - reject-cpu-set:</font></div><div style><font face="arial, sans-serif">        cpu: [ 0 ]</font></div><div style><font face="arial, sans-serif">        prio:</font></div><div style>
<font face="arial, sans-serif">          default: "low"</font></div><div style><font face="arial, sans-serif">    - output-cpu-set:</font></div><div style><font face="arial, sans-serif">        cpu: [ "all" ]</font></div>
<div style><font face="arial, sans-serif">        prio:</font></div><div style><font face="arial, sans-serif">           default: "medium"</font></div><div style><font face="arial, sans-serif">  #</font></div><div style>
<font face="arial, sans-serif">  # By default Suricata creates one "detect" thread per available CPU/CPU core.</font></div><div style><font face="arial, sans-serif">  # This setting allows controlling this behaviour. A ratio setting of 2 will</font></div>
<div style><font face="arial, sans-serif">  # create 2 detect threads for each CPU/CPU core. So for a dual core CPU this</font></div><div style><font face="arial, sans-serif">  # will result in 4 detect threads. If values below 1 are used, less threads</font></div>
<div style><font face="arial, sans-serif">  # are created. So on a dual core CPU a setting of 0.5 results in 1 detect</font></div><div style><font face="arial, sans-serif">  # thread being created. Regardless of the setting at a minimum 1 detect</font></div>
<div style><font face="arial, sans-serif">  # thread will always be created.</font></div><div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  detect-thread-ratio: 1.5</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Cuda configuration.</font></div><div style><font face="arial, sans-serif">cuda:</font></div><div style><font face="arial, sans-serif">  # The "mpm" profile.  On not specifying any of these parameters, the engine's</font></div>
<div style><font face="arial, sans-serif">  # internal default values are used, which are same as the ones specified in</font></div><div style><font face="arial, sans-serif">  # in the default conf file.</font></div><div style>
<font face="arial, sans-serif">  mpm:</font></div><div style><font face="arial, sans-serif">    # The minimum length required to buffer data to the gpu.</font></div><div style><font face="arial, sans-serif">    # Anything below this is MPM'ed on the CPU.</font></div>
<div style><font face="arial, sans-serif">    # Can be specified in kb, mb, gb.  Just a number indicates it's in bytes.</font></div><div style><font face="arial, sans-serif">    # A value of 0 indicates there's no limit.</font></div>
<div style><font face="arial, sans-serif">    data-buffer-size-min-limit: 0</font></div><div style><font face="arial, sans-serif">    # The maximum length for data that we would buffer to the gpu.</font></div><div style><font face="arial, sans-serif">    # Anything over this is MPM'ed on the CPU.</font></div>
<div style><font face="arial, sans-serif">    # Can be specified in kb, mb, gb.  Just a number indicates it's in bytes.</font></div><div style><font face="arial, sans-serif">    data-buffer-size-max-limit: 1500</font></div>
<div style><font face="arial, sans-serif">    # The ring buffer size used by the CudaBuffer API to buffer data.</font></div><div style><font face="arial, sans-serif">    cudabuffer-buffer-size: 500mb</font></div><div style>
<font face="arial, sans-serif">    # The max chunk size that can be sent to the gpu in a single go.</font></div><div style><font face="arial, sans-serif">    gpu-transfer-size: 50mb</font></div><div style><font face="arial, sans-serif">    # The timeout limit for batching of packets in microseconds.</font></div>
<div style><font face="arial, sans-serif">    batching-timeout: 2000</font></div><div style><font face="arial, sans-serif">    # The device to use for the mpm.  Currently we don't support load balancing</font></div><div style>
<font face="arial, sans-serif">    # on multiple gpus.  In case you have multiple devices on your system, you</font></div><div style><font face="arial, sans-serif">    # can specify the device to use, using this conf.  By default we hold 0, to</font></div>
<div style><font face="arial, sans-serif">    # specify the first device cuda sees.  To find out device-id associated with</font></div><div style><font face="arial, sans-serif">    # the card(s) on the system run "suricata --list-cuda-cards".</font></div>
<div style><font face="arial, sans-serif">    device-id: 0</font></div><div style><font face="arial, sans-serif">    # No of Cuda streams used for asynchronous processing. All values > 0 are valid.</font></div><div style>
<font face="arial, sans-serif">    # For this option you need a device with Compute Capability > 1.0.</font></div><div style><font face="arial, sans-serif">    cuda-streams: 2</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif"># Select the multi pattern algorithm you want to run for scan/search the</font></div><div style><font face="arial, sans-serif"># in the engine. The supported algorithms are b2g, b2gc, b2gm, b3g, wumanber,</font></div>
<div style><font face="arial, sans-serif"># ac and ac-gfbs.</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># The mpm you choose also decides the distribution of mpm contexts for</font></div>
<div style><font face="arial, sans-serif"># signature groups, specified by the conf - "detect-engine.sgh-mpm-context".</font></div><div style><font face="arial, sans-serif"># Selecting "ac" as the mpm would require "detect-engine.sgh-mpm-context"</font></div>
<div style><font face="arial, sans-serif"># to be set to "single", because of ac's memory requirements, unless the</font></div><div style><font face="arial, sans-serif"># ruleset is small enough to fit in one's memory, in which case one can</font></div>
<div style><font face="arial, sans-serif"># use "full" with "ac".  Rest of the mpms can be run in "full" mode.</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># There is also a CUDA pattern matcher (only available if Suricata was</font></div>
<div style><font face="arial, sans-serif"># compiled with --enable-cuda: b2g_cuda. Make sure to update your</font></div><div style><font face="arial, sans-serif"># max-pending-packets setting above as well if you use b2g_cuda.</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">mpm-algo: ac</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># The memory settings for hash size of these algorithms can vary from lowest</font></div>
<div style><font face="arial, sans-serif"># (2048) - low (4096) - medium (8192) - high (16384) - higher (32768) - max</font></div><div style><font face="arial, sans-serif"># (65536). The bloomfilter sizes of these algorithms can vary from low (512) -</font></div>
<div style><font face="arial, sans-serif"># medium (1024) - high (2048).</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># For B2g/B3g algorithms, there is a support for two different scan/search</font></div>
<div style><font face="arial, sans-serif"># algorithms. For B2g the scan algorithms are B2gScan & B2gScanBNDMq, and</font></div><div style><font face="arial, sans-serif"># search algorithms are B2gSearch & B2gSearchBNDMq. For B3g scan algorithms</font></div>
<div style><font face="arial, sans-serif"># are B3gScan & B3gScanBNDMq, and search algorithms are B3gSearch &</font></div><div style><font face="arial, sans-serif"># B3gSearchBNDMq.</font></div><div style><font face="arial, sans-serif">#</font></div>
<div style><font face="arial, sans-serif"># For B2g the different scan/search algorithms and, hash and bloom</font></div><div style><font face="arial, sans-serif"># filter size settings. For B3g the different scan/search algorithms and, hash</font></div>
<div style><font face="arial, sans-serif"># and bloom filter size settings. For wumanber the hash and bloom filter size</font></div><div style><font face="arial, sans-serif"># settings.</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">pattern-matcher:</font></div><div style><font face="arial, sans-serif">  - b2gc:</font></div><div style><font face="arial, sans-serif">      search-algo: B2gSearchBNDMq</font></div>
<div style><font face="arial, sans-serif">      hash-size: low</font></div><div style><font face="arial, sans-serif">      bf-size: medium</font></div><div style><font face="arial, sans-serif">  - b2gm:</font></div><div style>
<font face="arial, sans-serif">      search-algo: B2gSearchBNDMq</font></div><div style><font face="arial, sans-serif">      hash-size: low</font></div><div style><font face="arial, sans-serif">      bf-size: medium</font></div>
<div style><font face="arial, sans-serif">  - b2g:</font></div><div style><font face="arial, sans-serif">      search-algo: B2gSearchBNDMq</font></div><div style><font face="arial, sans-serif">      hash-size: low</font></div>
<div style><font face="arial, sans-serif">      bf-size: medium</font></div><div style><font face="arial, sans-serif">  - b3g:</font></div><div style><font face="arial, sans-serif">      search-algo: B3gSearchBNDMq</font></div>
<div style><font face="arial, sans-serif">      hash-size: low</font></div><div style><font face="arial, sans-serif">      bf-size: medium</font></div><div style><font face="arial, sans-serif">  - wumanber:</font></div><div style>
<font face="arial, sans-serif">      hash-size: low</font></div><div style><font face="arial, sans-serif">      bf-size: medium</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Defrag settings:</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">defrag:</font></div><div style><font face="arial, sans-serif">  memcap: 32mb</font></div><div style><font face="arial, sans-serif">  hash-size: 65536</font></div>
<div style><font face="arial, sans-serif">  trackers: 65535 # number of defragmented flows to follow</font></div><div style><font face="arial, sans-serif">  max-frags: 65535 # number of fragments to keep (higher than trackers)</font></div>
<div style><font face="arial, sans-serif">  prealloc: yes</font></div><div style><font face="arial, sans-serif">  timeout: 60</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Enable defrag per host settings</font></div>
<div style><font face="arial, sans-serif">#  host-config:</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">#    - dmz:</font></div><div style><font face="arial, sans-serif">#        timeout: 30</font></div>
<div style><font face="arial, sans-serif">#        address: [<a href="http://192.168.1.0/24">192.168.1.0/24</a>, <a href="http://127.0.0.0/8">127.0.0.0/8</a>, <a href="http://1.1.1.0/24">1.1.1.0/24</a>, <a href="http://2.2.2.0/24">2.2.2.0/24</a>, "1.1.1.1", "2.2.2.2", "::1"]</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">#    - lan:</font></div><div style><font face="arial, sans-serif">#        timeout: 45</font></div><div style><font face="arial, sans-serif">#        address:</font></div>
<div style><font face="arial, sans-serif">#          - <a href="http://192.168.0.0/24">192.168.0.0/24</a></font></div><div style><font face="arial, sans-serif">#          - <a href="http://192.168.10.0/24">192.168.10.0/24</a></font></div>
<div style><font face="arial, sans-serif">#          - <a href="http://172.16.14.0/24">172.16.14.0/24</a></font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Flow settings:</font></div>
<div style><font face="arial, sans-serif"># By default, the reserved memory (memcap) for flows is 32MB. This is the limit</font></div><div style><font face="arial, sans-serif"># for flow allocation inside the engine. You can change this value to allow</font></div>
<div style><font face="arial, sans-serif"># more memory usage for flows.</font></div><div style><font face="arial, sans-serif"># The hash-size determine the size of the hash used to identify flows inside</font></div><div style>
<font face="arial, sans-serif"># the engine, and by default the value is 65536.</font></div><div style><font face="arial, sans-serif"># At the startup, the engine can preallocate a number of flows, to get a better</font></div>
<div style><font face="arial, sans-serif"># performance. The number of flows preallocated is 10000 by default.</font></div><div style><font face="arial, sans-serif"># emergency-recovery is the percentage of flows that the engine need to</font></div>
<div style><font face="arial, sans-serif"># prune before unsetting the emergency state. The emergency state is activated</font></div><div style><font face="arial, sans-serif"># when the memcap limit is reached, allowing to create new flows, but</font></div>
<div style><font face="arial, sans-serif"># prunning them with the emergency timeouts (they are defined below).</font></div><div style><font face="arial, sans-serif"># If the memcap is reached, the engine will try to prune flows</font></div>
<div style><font face="arial, sans-serif"># with the default timeouts. If it doens't find a flow to prune, it will set</font></div><div style><font face="arial, sans-serif"># the emergency bit and it will try again with more agressive timeouts.</font></div>
<div style><font face="arial, sans-serif"># If that doesn't work, then it will try to kill the last time seen flows</font></div><div style><font face="arial, sans-serif"># not in use.</font></div><div style><font face="arial, sans-serif"># The memcap can be specified in kb, mb, gb.  Just a number indicates it's</font></div>
<div style><font face="arial, sans-serif"># in bytes.</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">flow:</font></div><div style><font face="arial, sans-serif">  memcap: 64mb</font></div>
<div style><font face="arial, sans-serif">  hash-size: 65536</font></div><div style><font face="arial, sans-serif">  prealloc: 10000</font></div><div style><font face="arial, sans-serif">  emergency-recovery: 30</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># This option controls the use of vlan ids in the flow (and defrag)</font></div><div style><font face="arial, sans-serif"># hashing. Normally this should be enabled, but in some (broken)</font></div>
<div style><font face="arial, sans-serif"># setups where both sides of a flow are not tagged with the same vlan</font></div><div style><font face="arial, sans-serif"># tag, we can ignore the vlan id's in the flow hashing.</font></div>
<div style><font face="arial, sans-serif">vlan:</font></div><div style><font face="arial, sans-serif">  use-for-tracking: true</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Specific timeouts for flows. Here you can specify the timeouts that the</font></div>
<div style><font face="arial, sans-serif"># active flows will wait to transit from the current state to another, on each</font></div><div style><font face="arial, sans-serif"># protocol. The value of "new" determine the seconds to wait after a hanshake or</font></div>
<div style><font face="arial, sans-serif"># stream startup before the engine free the data of that flow it doesn't</font></div><div style><font face="arial, sans-serif"># change the state to established (usually if we don't receive more packets</font></div>
<div style><font face="arial, sans-serif"># of that flow). The value of "established" is the amount of</font></div><div style><font face="arial, sans-serif"># seconds that the engine will wait to free the flow if it spend that amount</font></div>
<div style><font face="arial, sans-serif"># without receiving new packets or closing the connection. "closed" is the</font></div><div style><font face="arial, sans-serif"># amount of time to wait after a flow is closed (usually zero).</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># There's an emergency mode that will become active under attack circumstances,</font></div><div style><font face="arial, sans-serif"># making the engine to check flow status faster. This configuration variables</font></div>
<div style><font face="arial, sans-serif"># use the prefix "emergency-" and work similar as the normal ones.</font></div><div style><font face="arial, sans-serif"># Some timeouts doesn't apply to all the protocols, like "closed", for udp and</font></div>
<div style><font face="arial, sans-serif"># icmp.</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">flow-timeouts:</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">  default:</font></div><div style><font face="arial, sans-serif">    new: 30</font></div><div style><font face="arial, sans-serif">    established: 300</font></div><div style>
<font face="arial, sans-serif">    closed: 0</font></div><div style><font face="arial, sans-serif">    emergency-new: 10</font></div><div style><font face="arial, sans-serif">    emergency-established: 100</font></div><div style>
<font face="arial, sans-serif">    emergency-closed: 0</font></div><div style><font face="arial, sans-serif">  tcp:</font></div><div style><font face="arial, sans-serif">    new: 60</font></div><div style><font face="arial, sans-serif">    established: 3600</font></div>
<div style><font face="arial, sans-serif">    closed: 120</font></div><div style><font face="arial, sans-serif">    emergency-new: 10</font></div><div style><font face="arial, sans-serif">    emergency-established: 300</font></div>
<div style><font face="arial, sans-serif">    emergency-closed: 20</font></div><div style><font face="arial, sans-serif">  udp:</font></div><div style><font face="arial, sans-serif">    new: 30</font></div><div style><font face="arial, sans-serif">    established: 300</font></div>
<div style><font face="arial, sans-serif">    emergency-new: 10</font></div><div style><font face="arial, sans-serif">    emergency-established: 100</font></div><div style><font face="arial, sans-serif">  icmp:</font></div>
<div style><font face="arial, sans-serif">    new: 30</font></div><div style><font face="arial, sans-serif">    established: 300</font></div><div style><font face="arial, sans-serif">    emergency-new: 10</font></div><div style>
<font face="arial, sans-serif">    emergency-established: 100</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Stream engine settings. Here the TCP stream tracking and reassembly</font></div>
<div style><font face="arial, sans-serif"># engine is configured.</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># stream:</font></div><div style><font face="arial, sans-serif">#   memcap: 32mb                # Can be specified in kb, mb, gb.  Just a</font></div>
<div style><font face="arial, sans-serif">#                               # number indicates it's in bytes.</font></div><div style><font face="arial, sans-serif">#   checksum-validation: yes    # To validate the checksum of received</font></div>
<div style><font face="arial, sans-serif">#                               # packet. If csum validation is specified as</font></div><div style><font face="arial, sans-serif">#                               # "yes", then packet with invalid csum will not</font></div>
<div style><font face="arial, sans-serif">#                               # be processed by the engine stream/app layer.</font></div><div style><font face="arial, sans-serif">#                               # Warning: locally generated trafic can be</font></div>
<div style><font face="arial, sans-serif">#                               # generated without checksum due to hardware offload</font></div><div style><font face="arial, sans-serif">#                               # of checksum. You can control the handling of checksum</font></div>
<div style><font face="arial, sans-serif">#                               # on a per-interface basis via the 'checksum-checks'</font></div><div style><font face="arial, sans-serif">#                               # option</font></div>
<div style><font face="arial, sans-serif">#   prealloc-sessions: 2k       # 2k sessions prealloc'd per stream thread</font></div><div style><font face="arial, sans-serif">#   midstream: false            # don't allow midstream session pickups</font></div>
<div style><font face="arial, sans-serif">#   async-oneside: false        # don't enable async stream handling</font></div><div style><font face="arial, sans-serif">#   inline: no                  # stream inline mode</font></div>
<div style><font face="arial, sans-serif">#   max-synack-queued: 5        # Max different SYN/ACKs to queue</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">#   reassembly:</font></div>
<div style><font face="arial, sans-serif">#     memcap: 64mb              # Can be specified in kb, mb, gb.  Just a number</font></div><div style><font face="arial, sans-serif">#                               # indicates it's in bytes.</font></div>
<div style><font face="arial, sans-serif">#     depth: 1mb                # Can be specified in kb, mb, gb.  Just a number</font></div><div style><font face="arial, sans-serif">#                               # indicates it's in bytes.</font></div>
<div style><font face="arial, sans-serif">#     toserver-chunk-size: 2560 # inspect raw stream in chunks of at least</font></div><div style><font face="arial, sans-serif">#                               # this size.  Can be specified in kb, mb,</font></div>
<div style><font face="arial, sans-serif">#                               # gb.  Just a number indicates it's in bytes.</font></div><div style><font face="arial, sans-serif">#                               # The max acceptable size is 4024 bytes.</font></div>
<div style><font face="arial, sans-serif">#     toclient-chunk-size: 2560 # inspect raw stream in chunks of at least</font></div><div style><font face="arial, sans-serif">#                               # this size.  Can be specified in kb, mb,</font></div>
<div style><font face="arial, sans-serif">#                               # gb.  Just a number indicates it's in bytes.</font></div><div style><font face="arial, sans-serif">#                               # The max acceptable size is 4024 bytes.</font></div>
<div style><font face="arial, sans-serif">#     randomize-chunk-size: yes # Take a random value for chunk size around the specified value.</font></div><div style><font face="arial, sans-serif">#                               # This lower the risk of some evasion technics but could lead</font></div>
<div style><font face="arial, sans-serif">#                               # detection change between runs. It is set to 'yes' by default.</font></div><div style><font face="arial, sans-serif">#     randomize-chunk-range: 10 # If randomize-chunk-size is active, the value of chunk-size is</font></div>
<div style><font face="arial, sans-serif">#                               # a random value between (1 - randomize-chunk-range/100)*randomize-chunk-size</font></div><div style><font face="arial, sans-serif">#                               # and (1 + randomize-chunk-range/100)*randomize-chunk-size. Default value</font></div>
<div style><font face="arial, sans-serif">#                               # of randomize-chunk-range is 10.</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">#     raw: yes                  # 'Raw' reassembly enabled or disabled.</font></div>
<div style><font face="arial, sans-serif">#                               # raw is for content inspection by detection</font></div><div style><font face="arial, sans-serif">#                               # engine.</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">#     chunk-prealloc: 250       # Number of preallocated stream chunks. These</font></div><div style><font face="arial, sans-serif">#                               # are used during stream inspection (raw).</font></div>
<div style><font face="arial, sans-serif">#     segments:                 # Settings for reassembly segment pool.</font></div><div style><font face="arial, sans-serif">#       - size: 4               # Size of the (data)segment for a pool</font></div>
<div style><font face="arial, sans-serif">#         prealloc: 256         # Number of segments to prealloc and keep</font></div><div style><font face="arial, sans-serif">#                               # in the pool.</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">stream:</font></div><div style><font face="arial, sans-serif">  memcap: 32mb</font></div><div style><font face="arial, sans-serif">  checksum-validation: yes      # reject wrong csums</font></div>
<div style><font face="arial, sans-serif">  inline: auto                  # auto will use inline mode in IPS mode, yes or no set it statically</font></div><div style><font face="arial, sans-serif">  reassembly:</font></div>
<div style><font face="arial, sans-serif">    memcap: 128mb</font></div><div style><font face="arial, sans-serif">    depth: 1mb                  # reassemble 1mb into a stream</font></div><div style><font face="arial, sans-serif">    toserver-chunk-size: 2560</font></div>
<div style><font face="arial, sans-serif">    toclient-chunk-size: 2560</font></div><div style><font face="arial, sans-serif">    randomize-chunk-size: yes</font></div><div style><font face="arial, sans-serif">    #randomize-chunk-range: 10</font></div>
<div style><font face="arial, sans-serif">    #raw: yes</font></div><div style><font face="arial, sans-serif">    #chunk-prealloc: 250</font></div><div style><font face="arial, sans-serif">    #segments:</font></div><div style>
<font face="arial, sans-serif">    #  - size: 4</font></div><div style><font face="arial, sans-serif">    #    prealloc: 256</font></div><div style><font face="arial, sans-serif">    #  - size: 16</font></div><div style><font face="arial, sans-serif">    #    prealloc: 512</font></div>
<div style><font face="arial, sans-serif">    #  - size: 112</font></div><div style><font face="arial, sans-serif">    #    prealloc: 512</font></div><div style><font face="arial, sans-serif">    #  - size: 248</font></div>
<div style><font face="arial, sans-serif">    #    prealloc: 512</font></div><div style><font face="arial, sans-serif">    #  - size: 512</font></div><div style><font face="arial, sans-serif">    #    prealloc: 512</font></div>
<div style><font face="arial, sans-serif">    #  - size: 768</font></div><div style><font face="arial, sans-serif">    #    prealloc: 1024</font></div><div style><font face="arial, sans-serif">    #  - size: 1448</font></div>
<div style><font face="arial, sans-serif">    #    prealloc: 1024</font></div><div style><font face="arial, sans-serif">    #  - size: 65535</font></div><div style><font face="arial, sans-serif">    #    prealloc: 128</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Host table:</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># Host table is used by tagging and per host thresholding subsystems.</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">host:</font></div><div style><font face="arial, sans-serif">  hash-size: 4096</font></div><div style><font face="arial, sans-serif">  prealloc: 1000</font></div>
<div style><font face="arial, sans-serif">  memcap: 16777216</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Logging configuration.  This is not about logging IDS alerts, but</font></div>
<div style><font face="arial, sans-serif"># IDS output about what its doing, errors, etc.</font></div><div style><font face="arial, sans-serif">logging:</font></div><div style><font face="arial, sans-serif"><br></font></div>
<div style><font face="arial, sans-serif">  # The default log level, can be overridden in an output section.</font></div><div style><font face="arial, sans-serif">  # Note that debug level logging will only be emitted if Suricata was</font></div>
<div style><font face="arial, sans-serif">  # compiled with the --enable-debug configure option.</font></div><div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # This value is overriden by the SC_LOG_LEVEL env var.</font></div>
<div style><font face="arial, sans-serif">  default-log-level: notice</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # The default output format.  Optional parameter, should default to</font></div>
<div style><font face="arial, sans-serif">  # something reasonable if not provided.  Can be overriden in an</font></div><div style><font face="arial, sans-serif">  # output section.  You can leave this out to get the default.</font></div>
<div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # This value is overriden by the SC_LOG_FORMAT env var.</font></div><div style><font face="arial, sans-serif">  #default-log-format: "[%i] %t - (%f:%l) <%d> (%n) -- "</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # A regex to filter output.  Can be overridden in an output section.</font></div><div style><font face="arial, sans-serif">  # Defaults to empty (no filter).</font></div>
<div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # This value is overriden by the SC_LOG_OP_FILTER env var.</font></div><div style><font face="arial, sans-serif">  default-output-filter:</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # Define your logging outputs.  If none are defined, or they are all</font></div><div style><font face="arial, sans-serif">  # disabled you will get the default - console output.</font></div>
<div style><font face="arial, sans-serif">  outputs:</font></div><div style><font face="arial, sans-serif">  - console:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">  - file:</font></div>
<div style><font face="arial, sans-serif">      enabled: no</font></div><div style><font face="arial, sans-serif">      filename: /var/log/suricata.log</font></div><div style><font face="arial, sans-serif">  - syslog:</font></div>
<div style><font face="arial, sans-serif">      enabled: no</font></div><div style><font face="arial, sans-serif">      facility: local5</font></div><div style><font face="arial, sans-serif">      format: "[%i] <%d> -- "</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Tilera mpipe configuration. for use on Tilera TILE-Gx.</font></div><div style><font face="arial, sans-serif">mpipe:</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # Load balancing modes: "static", "dynamic", "sticky", or "round-robin".</font></div>
<div style><font face="arial, sans-serif">  load-balance: dynamic</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # Number of Packets in each ingress packet queue. Must be 128, 512, 2028 or 65536</font></div>
<div style><font face="arial, sans-serif">  iqueue-packets: 2048</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # List of interfaces we will listen on.</font></div>
<div style><font face="arial, sans-serif">  inputs:</font></div><div style><font face="arial, sans-serif">  - interface: xgbe2</font></div><div style><font face="arial, sans-serif">  - interface: xgbe3</font></div><div style>
<font face="arial, sans-serif">  - interface: xgbe4</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # Relative weight of memory for packets of each mPipe buffer size.</font></div>
<div style><font face="arial, sans-serif">  stack:</font></div><div style><font face="arial, sans-serif">    size128: 0</font></div><div style><font face="arial, sans-serif">    size256: 9</font></div><div style><font face="arial, sans-serif">    size512: 0</font></div>
<div style><font face="arial, sans-serif">    size1024: 0</font></div><div style><font face="arial, sans-serif">    size1664: 7</font></div><div style><font face="arial, sans-serif">    size4096: 0</font></div><div style>
<font face="arial, sans-serif">    size10386: 0</font></div><div style><font face="arial, sans-serif">    size16384: 0</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># PF_RING configuration. for use with native PF_RING support</font></div>
<div style><font face="arial, sans-serif"># for more info see <a href="http://www.ntop.org/PF_RING.html">http://www.ntop.org/PF_RING.html</a></font></div><div style><font face="arial, sans-serif">pfring:</font></div><div style>
<font face="arial, sans-serif">  - interface: eth0</font></div><div style><font face="arial, sans-serif">    # Number of receive threads (>1 will enable experimental flow pinned</font></div><div style><font face="arial, sans-serif">    # runmode)</font></div>
<div style><font face="arial, sans-serif">    threads: 1</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    # Default clusterid.  PF_RING will load balance packets based on flow.</font></div>
<div style><font face="arial, sans-serif">    # All threads/processes that will participate need to have the same</font></div><div style><font face="arial, sans-serif">    # clusterid.</font></div><div style><font face="arial, sans-serif">    cluster-id: 99</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    # Default PF_RING cluster type. PF_RING can load balance per flow or per hash.</font></div><div style><font face="arial, sans-serif">    # This is only supported in versions of PF_RING > 4.1.1.</font></div>
<div style><font face="arial, sans-serif">    cluster-type: cluster_flow</font></div><div style><font face="arial, sans-serif">    # bpf filter for this interface</font></div><div style><font face="arial, sans-serif">    #bpf-filter: tcp</font></div>
<div style><font face="arial, sans-serif">    # Choose checksum verification mode for the interface. At the moment</font></div><div style><font face="arial, sans-serif">    # of the capture, some packets may be with an invalid checksum due to</font></div>
<div style><font face="arial, sans-serif">    # offloading to the network card of the checksum computation.</font></div><div style><font face="arial, sans-serif">    # Possible values are:</font></div><div style><font face="arial, sans-serif">    #  - rxonly: only compute checksum for packets received by network card.</font></div>
<div style><font face="arial, sans-serif">    #  - yes: checksum validation is forced</font></div><div style><font face="arial, sans-serif">    #  - no: checksum validation is disabled</font></div><div style><font face="arial, sans-serif">    #  - auto: suricata uses a statistical approach to detect when</font></div>
<div style><font face="arial, sans-serif">    #  checksum off-loading is used. (default)</font></div><div style><font face="arial, sans-serif">    # Warning: 'checksum-validation' must be set to yes to have any validation</font></div>
<div style><font face="arial, sans-serif">    #checksum-checks: auto</font></div><div style><font face="arial, sans-serif">  # Second interface</font></div><div style><font face="arial, sans-serif">  #- interface: eth1</font></div>
<div style><font face="arial, sans-serif">  #  threads: 3</font></div><div style><font face="arial, sans-serif">  #  cluster-id: 93</font></div><div style><font face="arial, sans-serif">  #  cluster-type: cluster_flow</font></div>
<div style><font face="arial, sans-serif">  # Put default values here</font></div><div style><font face="arial, sans-serif">  - interface: default</font></div><div style><font face="arial, sans-serif">    #threads: 2</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">pcap:</font></div><div style><font face="arial, sans-serif">  - interface: eth0</font></div><div style><font face="arial, sans-serif">    # On Linux, pcap will try to use mmaped capture and will use buffer-size</font></div>
<div style><font face="arial, sans-serif">    # as total of memory used by the ring. So set this to something bigger</font></div><div style><font face="arial, sans-serif">    # than 1% of your bandwidth.</font></div><div style>
<font face="arial, sans-serif">    #buffer-size: 16777216</font></div><div style><font face="arial, sans-serif">    #bpf-filter: "tcp and port 25"</font></div><div style><font face="arial, sans-serif">    # Choose checksum verification mode for the interface. At the moment</font></div>
<div style><font face="arial, sans-serif">    # of the capture, some packets may be with an invalid checksum due to</font></div><div style><font face="arial, sans-serif">    # offloading to the network card of the checksum computation.</font></div>
<div style><font face="arial, sans-serif">    # Possible values are:</font></div><div style><font face="arial, sans-serif">    #  - yes: checksum validation is forced</font></div><div style><font face="arial, sans-serif">    #  - no: checksum validation is disabled</font></div>
<div style><font face="arial, sans-serif">    #  - auto: suricata uses a statistical approach to detect when</font></div><div style><font face="arial, sans-serif">    #  checksum off-loading is used. (default)</font></div>
<div style><font face="arial, sans-serif">    # Warning: 'checksum-validation' must be set to yes to have any validation</font></div><div style><font face="arial, sans-serif">    #checksum-checks: auto</font></div>
<div style><font face="arial, sans-serif">    # With some accelerator cards using a modified libpcap (like myricom), you</font></div><div style><font face="arial, sans-serif">    # may want to have the same number of capture threads as the number of capture</font></div>
<div style><font face="arial, sans-serif">    # rings. In this case, set up the threads variable to N to start N threads</font></div><div style><font face="arial, sans-serif">    # listening on the same interface.</font></div>
<div style><font face="arial, sans-serif">    #threads: 16</font></div><div style><font face="arial, sans-serif">    # set to no to disable promiscuous mode:</font></div><div style><font face="arial, sans-serif">    #promisc: no</font></div>
<div style><font face="arial, sans-serif">    # set snaplen, if not set it defaults to MTU if MTU can be known</font></div><div style><font face="arial, sans-serif">    # via ioctl call and to full capture if not.</font></div>
<div style><font face="arial, sans-serif">    #snaplen: 1518</font></div><div style><font face="arial, sans-serif">  # Put default values here</font></div><div style><font face="arial, sans-serif">  - interface: default</font></div>
<div style><font face="arial, sans-serif">    #checksum-checks: auto</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">pcap-file:</font></div><div style><font face="arial, sans-serif">  # Possible values are:</font></div>
<div style><font face="arial, sans-serif">  #  - yes: checksum validation is forced</font></div><div style><font face="arial, sans-serif">  #  - no: checksum validation is disabled</font></div><div style><font face="arial, sans-serif">  #  - auto: suricata uses a statistical approach to detect when</font></div>
<div style><font face="arial, sans-serif">  #  checksum off-loading is used. (default)</font></div><div style><font face="arial, sans-serif">  # Warning: 'checksum-validation' must be set to yes to have checksum tested</font></div>
<div style><font face="arial, sans-serif">  checksum-checks: auto</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># For FreeBSD ipfw(8) divert(4) support.</font></div>
<div style><font face="arial, sans-serif"># Please make sure you have ipfw_load="YES" and ipdivert_load="YES"</font></div><div style><font face="arial, sans-serif"># in /etc/loader.conf or kldload'ing the appropriate kernel modules.</font></div>
<div style><font face="arial, sans-serif"># Additionally, you need to have an ipfw rule for the engine to see</font></div><div style><font face="arial, sans-serif"># the packets from ipfw.  For Example:</font></div><div style>
<font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">#   ipfw add 100 divert 8000 ip from any to any</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif"># The 8000 above should be the same number you passed on the command</font></div>
<div style><font face="arial, sans-serif"># line, i.e. -d 8000</font></div><div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">ipfw:</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">  # Reinject packets at the specified ipfw rule number.  This config</font></div><div style><font face="arial, sans-serif">  # option is the ipfw rule number AT WHICH rule processing continues</font></div>
<div style><font face="arial, sans-serif">  # in the ipfw processing system after the engine has finished</font></div><div style><font face="arial, sans-serif">  # inspecting the packet for acceptance.  If no rule number is specified,</font></div>
<div style><font face="arial, sans-serif">  # accepted packets are reinjected at the divert rule which they entered</font></div><div style><font face="arial, sans-serif">  # and IPFW rule processing continues.  No check is done to verify</font></div>
<div style><font face="arial, sans-serif">  # this will rule makes sense so care must be taken to avoid loops in ipfw.</font></div><div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  ## The following example tells the engine to reinject packets</font></div>
<div style><font face="arial, sans-serif">  # back into the ipfw firewall AT rule number 5500:</font></div><div style><font face="arial, sans-serif">  #</font></div><div style><font face="arial, sans-serif">  # ipfw-reinjection-rule-number: 5500</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Set the default rule path here to search for the files.</font></div><div style><font face="arial, sans-serif"># if not set, it will look at the current working dir</font></div>
<div style><font face="arial, sans-serif">default-rule-path: /etc/suricata/rules</font></div><div style><font face="arial, sans-serif">rule-files:</font></div><div style><font face="arial, sans-serif"> - botcc.rules</font></div>
<div style><font face="arial, sans-serif"> - ciarmy.rules</font></div><div style><font face="arial, sans-serif"> - compromised.rules</font></div><div style><font face="arial, sans-serif"> - drop.rules</font></div><div style>
<font face="arial, sans-serif"> - dshield.rules</font></div><div style><font face="arial, sans-serif"> - emerging-activex.rules</font></div><div style><font face="arial, sans-serif"> - emerging-attack_response.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-chat.rules</font></div><div style><font face="arial, sans-serif"> - emerging-current_events.rules</font></div><div style><font face="arial, sans-serif"> - emerging-dns.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-dos.rules</font></div><div style><font face="arial, sans-serif"> - emerging-exploit.rules</font></div><div style><font face="arial, sans-serif"> - emerging-ftp.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-games.rules</font></div><div style><font face="arial, sans-serif"> - emerging-icmp_info.rules</font></div><div style><font face="arial, sans-serif"># - emerging-icmp.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-imap.rules</font></div><div style><font face="arial, sans-serif"> - emerging-inappropriate.rules</font></div><div style><font face="arial, sans-serif"> - emerging-malware.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-misc.rules</font></div><div style><font face="arial, sans-serif"> - emerging-mobile_malware.rules</font></div><div style><font face="arial, sans-serif"> - emerging-netbios.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-p2p.rules</font></div><div style><font face="arial, sans-serif"> - emerging-policy.rules</font></div><div style><font face="arial, sans-serif"> - emerging-pop3.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-rpc.rules</font></div><div style><font face="arial, sans-serif"> - emerging-scada.rules</font></div><div style><font face="arial, sans-serif"> - emerging-scan.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-shellcode.rules</font></div><div style><font face="arial, sans-serif"> - emerging-smtp.rules</font></div><div style><font face="arial, sans-serif"> - emerging-snmp.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-sql.rules</font></div><div style><font face="arial, sans-serif"> - emerging-telnet.rules</font></div><div style><font face="arial, sans-serif"> - emerging-tftp.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-trojan.rules</font></div><div style><font face="arial, sans-serif"> - emerging-user_agents.rules</font></div><div style><font face="arial, sans-serif"> - emerging-voip.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-web_client.rules</font></div><div style><font face="arial, sans-serif"> - emerging-web_server.rules</font></div><div style><font face="arial, sans-serif"> - emerging-web_specific_apps.rules</font></div>
<div style><font face="arial, sans-serif"> - emerging-worm.rules</font></div><div style><font face="arial, sans-serif"> - tor.rules</font></div><div style><font face="arial, sans-serif"> - Feodo-Tracker.rules</font></div>
<div style><font face="arial, sans-serif"> - decoder-events.rules # available in suricata sources under rules dir</font></div><div style><font face="arial, sans-serif"> - stream-events.rules  # available in suricata sources under rules dir</font></div>
<div style><font face="arial, sans-serif"> - http-events.rules    # available in suricata sources under rules dir</font></div><div style><font face="arial, sans-serif"> - smtp-events.rules    # available in suricata sources under rules dir</font></div>
<div style><font face="arial, sans-serif"> - dns-events.rules     # available in suricata sources under rules dir</font></div><div style><font face="arial, sans-serif"> - tls-events.rules     # available in suricata sources under rules dir</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">classification-file: /etc/suricata/classification.config</font></div><div style><font face="arial, sans-serif">reference-config-file: /etc/suricata/reference.config</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Holds variables that would be used by the engine.</font></div><div style><font face="arial, sans-serif">vars:</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # Holds the address group vars that would be passed in a Signature.</font></div><div style><font face="arial, sans-serif">  # These would be retrieved during the Signature address parsing stage.</font></div>
<div style><font face="arial, sans-serif">  address-groups:</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    HOME_NET: "[x.x.x.x/xx]"</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    EXTERNAL_NET: "!$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">    HTTP_SERVERS: "$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    SMTP_SERVERS: "$HOME_NET"</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    SQL_SERVERS: "$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">    DNS_SERVERS: "$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    TELNET_SERVERS: "$HOME_NET"</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    AIM_SERVERS: "$EXTERNAL_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">    DNP3_SERVER: "$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    DNP3_CLIENT: "$HOME_NET"</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    MODBUS_CLIENT: "$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">    MODBUS_SERVER: "$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    ENIP_CLIENT: "$HOME_NET"</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    ENIP_SERVER: "$HOME_NET"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">  # Holds the port group vars that would be passed in a Signature.</font></div><div style><font face="arial, sans-serif">  # These would be retrieved during the Signature port parsing stage.</font></div>
<div style><font face="arial, sans-serif">  port-groups:</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    HTTP_PORTS: "80"</font></div><div style>
<font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    SHELLCODE_PORTS: "!80"</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    ORACLE_PORTS: 1521</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    SSH_PORTS: 22</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    DNP3_PORTS: 20000</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Set the order of alerts bassed on actions</font></div><div style><font face="arial, sans-serif"># The default order is pass, drop, reject, alert</font></div>
<div style><font face="arial, sans-serif">action-order:</font></div><div style><font face="arial, sans-serif">  - pass</font></div><div style><font face="arial, sans-serif">  - drop</font></div><div style><font face="arial, sans-serif">  - reject</font></div>
<div style><font face="arial, sans-serif">  - alert</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># IP Reputation</font></div><div style><font face="arial, sans-serif">#reputation-categories-file: /etc/suricata/iprep/categories.txt</font></div>
<div style><font face="arial, sans-serif">#default-reputation-path: /etc/suricata/iprep</font></div><div style><font face="arial, sans-serif">#reputation-files:</font></div><div style><font face="arial, sans-serif"># - reputation.list</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Host specific policies for defragmentation and TCP stream</font></div><div style><font face="arial, sans-serif"># reassembly.  The host OS lookup is done using a radix tree, just</font></div>
<div style><font face="arial, sans-serif"># like a routing table so the most specific entry matches.</font></div><div style><font face="arial, sans-serif">host-os-policy:</font></div><div style><font face="arial, sans-serif">  # Make the default policy windows.</font></div>
<div style><font face="arial, sans-serif">  windows: [<a href="http://0.0.0.0/0">0.0.0.0/0</a>]</font></div><div style><font face="arial, sans-serif">  bsd: []</font></div><div style><font face="arial, sans-serif">  bsd-right: []</font></div>
<div style><font face="arial, sans-serif">  old-linux: []</font></div><div style><font face="arial, sans-serif">  linux: [<a href="http://10.0.0.0/8">10.0.0.0/8</a>, 192.168.1.100, "8762:2352:6241:7245:E000:0000:0000:0000"]</font></div>
<div style><font face="arial, sans-serif">  old-solaris: []</font></div><div style><font face="arial, sans-serif">  solaris: ["::1"]</font></div><div style><font face="arial, sans-serif">  hpux10: []</font></div>
<div style><font face="arial, sans-serif">  hpux11: []</font></div><div style><font face="arial, sans-serif">  irix: []</font></div><div style><font face="arial, sans-serif">  macos: []</font></div><div style><font face="arial, sans-serif">  vista: []</font></div>
<div style><font face="arial, sans-serif">  windows2k3: []</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Limit for the maximum number of asn1 frames to decode (default 256)</font></div>
<div style><font face="arial, sans-serif">asn1-max-frames: 256</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># When run with the option --engine-analysis, the engine will read each of</font></div>
<div style><font face="arial, sans-serif"># the parameters below, and print reports for each of the enabled sections</font></div><div style><font face="arial, sans-serif"># and exit.  The reports are printed to a file in the default log dir</font></div>
<div style><font face="arial, sans-serif"># given by the parameter "default-log-dir", with engine reporting</font></div><div style><font face="arial, sans-serif"># subsection below printing reports in its own report file.</font></div>
<div style><font face="arial, sans-serif">engine-analysis:</font></div><div style><font face="arial, sans-serif">  # enables printing reports for fast-pattern for every rule.</font></div><div style><font face="arial, sans-serif">  rules-fast-pattern: yes</font></div>
<div style><font face="arial, sans-serif">  # enables printing reports for each rule</font></div><div style><font face="arial, sans-serif">  rules: yes</font></div><div style><font face="arial, sans-serif"><br></font></div>
<div style><font face="arial, sans-serif">#recursion and match limits for PCRE where supported</font></div><div style><font face="arial, sans-serif">pcre:</font></div><div style><font face="arial, sans-serif">  match-limit: 3500</font></div>
<div style><font face="arial, sans-serif">  match-limit-recursion: 1500</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Holds details on the app-layer. The protocols section details each protocol.</font></div>
<div style><font face="arial, sans-serif"># Under each protocol, the default value for detection-enabled and "</font></div><div style><font face="arial, sans-serif"># parsed-enabled is yes, unless specified otherwise.</font></div>
<div style><font face="arial, sans-serif"># Each protocol covers enabling/disabling parsers for all ipprotos</font></div><div style><font face="arial, sans-serif"># the app-layer protocol runs on.  For example "dcerpc" refers to the tcp</font></div>
<div style><font face="arial, sans-serif"># version of the protocol as well as the udp version of the protocol.</font></div><div style><font face="arial, sans-serif"># The option "enabled" takes 3 values - "yes", "no", "detection-only".</font></div>
<div style><font face="arial, sans-serif"># "yes" enables both detection and the parser, "no" disables both, and</font></div><div style><font face="arial, sans-serif"># "detection-only" enables detection only(parser disabled).</font></div>
<div style><font face="arial, sans-serif">app-layer:</font></div><div style><font face="arial, sans-serif">  protocols:</font></div><div style><font face="arial, sans-serif">    tls:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div>
<div style><font face="arial, sans-serif">      detection-ports:</font></div><div style><font face="arial, sans-serif">        toserver: 443</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">      #no-reassemble: yes</font></div><div style><font face="arial, sans-serif">    dcerpc:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">    ftp:</font></div>
<div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">    ssh:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">    smtp:</font></div>
<div style><font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">    imap:</font></div><div style><font face="arial, sans-serif">      enabled: detection-only</font></div>
<div style><font face="arial, sans-serif">    msn:</font></div><div style><font face="arial, sans-serif">      enabled: detection-only</font></div><div style><font face="arial, sans-serif">    smb:</font></div><div style>
<font face="arial, sans-serif">      enabled: yes</font></div><div style><font face="arial, sans-serif">      detection-ports:</font></div><div style><font face="arial, sans-serif">        toserver: 139</font></div><div style>
<font face="arial, sans-serif">    # smb2 detection is disabled internally inside the engine.</font></div><div style><font face="arial, sans-serif">    #smb2:</font></div><div style><font face="arial, sans-serif">    #  enabled: yes</font></div>
<div style><font face="arial, sans-serif">    dns:</font></div><div style><font face="arial, sans-serif">      # memcaps. Globally and per flow/state.</font></div><div style><font face="arial, sans-serif">      #global-memcap: 16mb</font></div>
<div style><font face="arial, sans-serif">      #state-memcap: 512kb</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      # How many unreplied DNS requests are considered a flood.</font></div>
<div style><font face="arial, sans-serif">      # If the limit is reached, app-layer-event:dns.flooded; will match.</font></div><div style><font face="arial, sans-serif">      #request-flood: 500</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">      tcp:</font></div><div style><font face="arial, sans-serif">        enabled: yes</font></div><div style><font face="arial, sans-serif">        detection-ports:</font></div>
<div style><font face="arial, sans-serif">          toserver: 53</font></div><div style><font face="arial, sans-serif">      udp:</font></div><div style><font face="arial, sans-serif">        enabled: yes</font></div><div style>
<font face="arial, sans-serif">        detection-ports:</font></div><div style><font face="arial, sans-serif">          toserver: 53</font></div><div style><font face="arial, sans-serif">    http:</font></div><div style><font face="arial, sans-serif">      enabled: yes</font></div>
<div style><font face="arial, sans-serif">      # memcap: 64mb</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      ###########################################################################</font></div>
<div style><font face="arial, sans-serif">      # Configure libhtp.</font></div><div style><font face="arial, sans-serif">      #</font></div><div style><font face="arial, sans-serif">      #</font></div><div style><font face="arial, sans-serif">      # default-config:           Used when no server-config matches</font></div>
<div style><font face="arial, sans-serif">      #   personality:            List of personalities used by default</font></div><div style><font face="arial, sans-serif">      #   request-body-limit:     Limit reassembly of request body for inspection</font></div>
<div style><font face="arial, sans-serif">      #                           by http_client_body & pcre /P option.</font></div><div style><font face="arial, sans-serif">      #   response-body-limit:    Limit reassembly of response body for inspection</font></div>
<div style><font face="arial, sans-serif">      #                           by file_data, http_server_body & pcre /Q option.</font></div><div style><font face="arial, sans-serif">      #   double-decode-path:     Double decode path section of the URI</font></div>
<div style><font face="arial, sans-serif">      #   double-decode-query:    Double decode query section of the URI</font></div><div style><font face="arial, sans-serif">      #</font></div><div style><font face="arial, sans-serif">      # server-config:            List of server configurations to use if address matches</font></div>
<div style><font face="arial, sans-serif">      #   address:                List of ip addresses or networks for this block</font></div><div style><font face="arial, sans-serif">      #   personalitiy:           List of personalities used by this block</font></div>
<div style><font face="arial, sans-serif">      #   request-body-limit:     Limit reassembly of request body for inspection</font></div><div style><font face="arial, sans-serif">      #                           by http_client_body & pcre /P option.</font></div>
<div style><font face="arial, sans-serif">      #   response-body-limit:    Limit reassembly of response body for inspection</font></div><div style><font face="arial, sans-serif">      #                           by file_data, http_server_body & pcre /Q option.</font></div>
<div style><font face="arial, sans-serif">      #   double-decode-path:     Double decode path section of the URI</font></div><div style><font face="arial, sans-serif">      #   double-decode-query:    Double decode query section of the URI</font></div>
<div style><font face="arial, sans-serif">      #</font></div><div style><font face="arial, sans-serif">      #   uri-include-all:        Include all parts of the URI. By default the</font></div><div style><font face="arial, sans-serif">      #                           'scheme', username/password, hostname and port</font></div>
<div style><font face="arial, sans-serif">      #                           are excluded. Setting this option to true adds</font></div><div style><font face="arial, sans-serif">      #                           all of them to the normalized uri as inspected</font></div>
<div style><font face="arial, sans-serif">      #                           by http_uri, urilen, pcre with /U and the other</font></div><div style><font face="arial, sans-serif">      #                           keywords that inspect the normalized uri.</font></div>
<div style><font face="arial, sans-serif">      #                           Note that this does not affect http_raw_uri.</font></div><div style><font face="arial, sans-serif">      #                           Also, note that including all was the default in</font></div>
<div style><font face="arial, sans-serif">      #                           1.4 and 2.0beta1.</font></div><div style><font face="arial, sans-serif">      #</font></div><div style><font face="arial, sans-serif">      #   meta-field-limit:       Hard size limit for request and response size</font></div>
<div style><font face="arial, sans-serif">      #                           limits. Applies to request line and headers,</font></div><div style><font face="arial, sans-serif">      #                           response line and headers. Does not apply to</font></div>
<div style><font face="arial, sans-serif">      #                           request or response bodies. Default is 18k.</font></div><div style><font face="arial, sans-serif">      #                           If this limit is reached an event is raised.</font></div>
<div style><font face="arial, sans-serif">      #</font></div><div style><font face="arial, sans-serif">      # Currently Available Personalities:</font></div><div style><font face="arial, sans-serif">      #   Minimal</font></div>
<div style><font face="arial, sans-serif">      #   Generic</font></div><div style><font face="arial, sans-serif">      #   IDS (default)</font></div><div style><font face="arial, sans-serif">      #   IIS_4_0</font></div>
<div style><font face="arial, sans-serif">      #   IIS_5_0</font></div><div style><font face="arial, sans-serif">      #   IIS_5_1</font></div><div style><font face="arial, sans-serif">      #   IIS_6_0</font></div><div style>
<font face="arial, sans-serif">      #   IIS_7_0</font></div><div style><font face="arial, sans-serif">      #   IIS_7_5</font></div><div style><font face="arial, sans-serif">      #   Apache_2</font></div><div style><font face="arial, sans-serif">      ###########################################################################</font></div>
<div style><font face="arial, sans-serif">      libhtp:</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">         default-config:</font></div><div style><font face="arial, sans-serif">           personality: IDS</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">           # Can be specified in kb, mb, gb.  Just a number indicates</font></div><div style><font face="arial, sans-serif">           # it's in bytes.</font></div>
<div style><font face="arial, sans-serif">           request-body-limit: 3072</font></div><div style><font face="arial, sans-serif">           response-body-limit: 3072</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">           # inspection limits</font></div><div style><font face="arial, sans-serif">           request-body-minimal-inspect-size: 32kb</font></div><div style><font face="arial, sans-serif">           request-body-inspect-window: 4kb</font></div>
<div style><font face="arial, sans-serif">           response-body-minimal-inspect-size: 32kb</font></div><div style><font face="arial, sans-serif">           response-body-inspect-window: 4kb</font></div><div style><font face="arial, sans-serif">           # Take a random value for inspection sizes around the specified value.</font></div>
<div style><font face="arial, sans-serif">           # This lower the risk of some evasion technics but could lead</font></div><div style><font face="arial, sans-serif">           # detection change between runs. It is set to 'yes' by default.</font></div>
<div style><font face="arial, sans-serif">           #randomize-inspection-sizes: yes</font></div><div style><font face="arial, sans-serif">           # If randomize-inspection-sizes is active, the value of various</font></div>
<div style><font face="arial, sans-serif">           # inspection size will be choosen in the [1 - range%, 1 + range%]</font></div><div style><font face="arial, sans-serif">           # range</font></div><div style><font face="arial, sans-serif">           # Default value of randomize-inspection-range is 10.</font></div>
<div style><font face="arial, sans-serif">           #randomize-inspection-range: 10</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">           # decoding</font></div>
<div style><font face="arial, sans-serif">           double-decode-path: no</font></div><div style><font face="arial, sans-serif">           double-decode-query: no</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">         server-config:</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">           #- apache:</font></div>
<div style><font face="arial, sans-serif">           #    address: [<a href="http://192.168.1.0/24">192.168.1.0/24</a>, <a href="http://127.0.0.0/8">127.0.0.0/8</a>, "::1"]</font></div><div style><font face="arial, sans-serif">           #    personality: Apache_2</font></div>
<div style><font face="arial, sans-serif">           #    # Can be specified in kb, mb, gb.  Just a number indicates</font></div><div style><font face="arial, sans-serif">           #    # it's in bytes.</font></div><div style>
<font face="arial, sans-serif">           #    request-body-limit: 4096</font></div><div style><font face="arial, sans-serif">           #    response-body-limit: 4096</font></div><div style><font face="arial, sans-serif">           #    double-decode-path: no</font></div>
<div style><font face="arial, sans-serif">           #    double-decode-query: no</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">           #- iis7:</font></div>
<div style><font face="arial, sans-serif">           #    address:</font></div><div style><font face="arial, sans-serif">           #      - <a href="http://192.168.0.0/24">192.168.0.0/24</a></font></div><div style><font face="arial, sans-serif">           #      - <a href="http://192.168.10.0/24">192.168.10.0/24</a></font></div>
<div style><font face="arial, sans-serif">           #    personality: IIS_7_0</font></div><div style><font face="arial, sans-serif">           #    # Can be specified in kb, mb, gb.  Just a number indicates</font></div><div style>
<font face="arial, sans-serif">           #    # it's in bytes.</font></div><div style><font face="arial, sans-serif">           #    request-body-limit: 4096</font></div><div style><font face="arial, sans-serif">           #    response-body-limit: 4096</font></div>
<div style><font face="arial, sans-serif">           #    double-decode-path: no</font></div><div style><font face="arial, sans-serif">           #    double-decode-query: no</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif"># Profiling settings. Only effective if Suricata has been built with the</font></div><div style><font face="arial, sans-serif"># the --enable-profiling configure flag.</font></div>
<div style><font face="arial, sans-serif">#</font></div><div style><font face="arial, sans-serif">profiling:</font></div><div style><font face="arial, sans-serif">  # Run profiling for every xth packet. The default is 1, which means we</font></div>
<div style><font face="arial, sans-serif">  # profile every packet. If set to 1000, one packet is profiled for every</font></div><div style><font face="arial, sans-serif">  # 1000 received.</font></div><div style><font face="arial, sans-serif">  #sample-rate: 1000</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # rule profiling</font></div><div style><font face="arial, sans-serif">  rules:</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">    # Profiling can be disabled here, but it will still have a</font></div><div style><font face="arial, sans-serif">    # performance impact if compiled in.</font></div>
<div style><font face="arial, sans-serif">    enabled: yes</font></div><div style><font face="arial, sans-serif">    filename: rule_perf.log</font></div><div style><font face="arial, sans-serif">    append: yes</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    # Sort options: ticks, avgticks, checks, matches, maxticks</font></div><div style><font face="arial, sans-serif">    sort: avgticks</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    # Limit the number of items printed at exit.</font></div><div style><font face="arial, sans-serif">    limit: 100</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # per keyword profiling</font></div><div style><font face="arial, sans-serif">  keywords:</font></div><div style><font face="arial, sans-serif">    enabled: yes</font></div>
<div style><font face="arial, sans-serif">    filename: keyword_perf.log</font></div><div style><font face="arial, sans-serif">    append: yes</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">  # packet profiling</font></div><div style><font face="arial, sans-serif">  packets:</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    # Profiling can be disabled here, but it will still have a</font></div>
<div style><font face="arial, sans-serif">    # performance impact if compiled in.</font></div><div style><font face="arial, sans-serif">    enabled: yes</font></div><div style><font face="arial, sans-serif">    filename: packet_stats.log</font></div>
<div style><font face="arial, sans-serif">    append: yes</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">    # per packet csv output</font></div><div style>
<font face="arial, sans-serif">    csv:</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">      # Output can be disabled here, but it will still have a</font></div>
<div style><font face="arial, sans-serif">      # performance impact if compiled in.</font></div><div style><font face="arial, sans-serif">      enabled: no</font></div><div style><font face="arial, sans-serif">      filename: packet_stats.csv</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">  # profiling of locking. Only available when Suricata was built with</font></div><div style><font face="arial, sans-serif">  # --enable-profiling-locks.</font></div>
<div style><font face="arial, sans-serif">  locks:</font></div><div style><font face="arial, sans-serif">    enabled: no</font></div><div style><font face="arial, sans-serif">    filename: lock_stats.log</font></div><div style>
<font face="arial, sans-serif">    append: yes</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif"># Suricata core dump configuration. Limits the size of the core dump file to</font></div>
<div style><font face="arial, sans-serif"># approximately max-dump. The actual core dump size will be a multiple of the</font></div><div style><font face="arial, sans-serif"># page size. Core dumps that would be larger than max-dump are truncated. On</font></div>
<div style><font face="arial, sans-serif"># Linux, the actual core dump size may be a few pages larger than max-dump.</font></div><div style><font face="arial, sans-serif"># Setting max-dump to 0 disables core dumping.</font></div>
<div style><font face="arial, sans-serif"># Setting max-dump to 'unlimited' will give the full core dump file.</font></div><div style><font face="arial, sans-serif"># On 32-bit Linux, a max-dump value >= ULONG_MAX may cause the core dump size</font></div>
<div style><font face="arial, sans-serif"># to be 'unlimited'.</font></div><div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">coredump:</font></div><div style><font face="arial, sans-serif">  max-dump: unlimited</font></div>
<div style><font face="arial, sans-serif"><br></font></div><div style><font face="arial, sans-serif">napatech:</font></div><div style><font face="arial, sans-serif">    # The Host Buffer Allowance for all streams</font></div>
<div style><font face="arial, sans-serif">    # (-1 = OFF, 1 - 100 = percentage of the host buffer that can be held back)</font></div><div style><font face="arial, sans-serif">    hba: -1</font></div><div style><font face="arial, sans-serif"><br>
</font></div><div style><font face="arial, sans-serif">    # use_all_streams set to "yes" will query the Napatech service for all configured</font></div><div style><font face="arial, sans-serif">    # streams and listen on all of them. When set to "no" the streams config array</font></div>
<div style><font face="arial, sans-serif">    # will be used.</font></div><div style><font face="arial, sans-serif">    use-all-streams: yes</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif">    # The streams to listen on</font></div><div style><font face="arial, sans-serif">    streams: [1, 2, 3]</font></div><div style><font face="arial, sans-serif"><br></font></div><div style>
<font face="arial, sans-serif"># Includes.  Files included here will be handled as if they were</font></div><div style><font face="arial, sans-serif"># inlined in this configuration file.</font></div><div style><font face="arial, sans-serif">#include: include1.yaml</font></div>
<div style><font face="arial, sans-serif">#include: include2.yaml</font></div><div style="font-family:arial,sans-serif;font-size:13px"><br></div></div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">
maybe somebody know where to be the problem?</div></div>