<div dir="ltr"><div dir="ltr"><div>So this is for mostly Suricata but I am using rules on Zeek also.  </div><div>So I am running SecurityOnion 16.04 and using Suricata/Zeek.  </div><div><br></div><div>Suricata - ET Rules/Snort Rules</div><div>Zeek - AlienVault OTX.</div><div><br></div><div>I have read that other folks are ingesting the rule sets as a separate index inside of Splunk (say one for OTX, and one for ET).  </div><div><br></div><div>Have not gotten around to try and ingest the Suricata Rules yet, they are in a file called download.rules</div><div><br></div><div>2nd question is there a good reason to ingest the rules seperate from what Zeek/Suricata reports on?  </div><div><br></div><div>Thanks</div></div></div>