Snort и сетевые игры в локальной сети.

а их сетевые пакеты до шлюза доходят вообще?

А почему нет? Сетевые игры хорошо гадят в сеть.

смотря какие игры

обычно в локалке рассылаются UDP-broadcast пакеты для обнаружения серверов

Вот их и хочу отловить.

Не понятно кого обнаружения, если вы имеете ввиду сниффинг трафика на экран, то используйте, если память не изменяет:

snort -dev

А вообще, для таких вещей есть более доступный tcpdump

Хочется получить сообщение, что в некий момент, на некотором компе запустили сетевую игру(контру например). tcpdump на недельку запускать не охота.

Для этого нужно отловить пакет по snort -dev и написать ему правило, чтобы отправлял алерт, при получении такого пакета.

Если, конечно, получится уложиться в 1 пакет, если нет, то придется использовать цепочные препроцессоры в нем.

PS: На самом деле, думаю это не верный подход к такой задаче

думаю это не верный подход к такой задаче

этот комментарий актуален для 90% вопросов на ЛОРе, тут любят гланды через задницу ковырять

Давай свой вариант.

Так предложи нормальное решение.

1. Ну во первых все игровые сервера умеют вести логи я бы парсил данные с них 2. Во вторых, может вывода netstat в данном случае будет достаточно?

Я до сих пор заочно люблю ваш комментарий Приоритет пакетов (комментарий) :))

Давай пойдём сначала - зачем тебе их обнаруживать? От постановки задачи зависит решение
У меня 3 варианта:
1) это запрещено политикой компании
2) это нагружает сеть и мешает рабочему трафику/загибаются какие-то сетевые железки
3) ты просто злой завистливый вахтёр, которого не берут в команду и который решил отомстить

1) Но нет возможности прийти и проверить машины. Вот и приходится за сетью следить. Конечно этих идиотов и без меня найдут и накажут, но будет скандал, а мне бы не хотелось этого.

Провести разъяснительную беседу. Если не поможет - доложить о ситуации начальству, пусть лишает премии.

Хорошо, я передам snort, он все сделает.