Còn những thành phần khác: icmp_id, itype, content, reference,.....em không làm sao hiểu được nó ở đâu ra và có ý nghĩa như thế nào. Khi viết rule liệu có nhất thiết phải có đủ những thành phần này không. Nhất là phần content, theo em cái phần content là content của packet mà snort capture được, nhưng làm sao để biết được content của một packet để viết rule bây giờ. Về phần sid, làm sao để có thể tạo signature của kiểu tấn công trên nhỉ. Hic, rắc rối quá. Làm sao để có thể tạo được một rule đơn giản bây giờ? Ai giúp em những thắc mắc này với. Ví dụ như em muốn alert khi có một người dùng trong mạng của mình download quá 100MB từ 1h-2h liệu có được không nhỉ :-/