Snort FAQ和訳メンテナンス

1章(背景)は、frag2→frag3くらいですね。あとはユーザ会なくなったので、ユーザ会MLから避難所のMLへ誘導、みたいなことを追記する必要がありますね。何かいい表現があったら突っ込みプリーズってところで。
2.5の途中は訳がおかしいままリリースしていたのか。
原文

Note: So this one still gets a lot of traffic even though it’s in the FAQ. Erek Adams has noted this comprehensive and authoritative discussion of this perpetual discussion item―mildly edited, also see faq question about switches hubs and taps -dr

この「-dr」はFAQのメンテナである、Dragos Ruiuが書いたことを示すサインだろうから、ユーザ会リリースの訳文、

注意 : この問題は FAQ に記載されているに関わらず、いまだに多くの議論を呼んでいます。Erek Adams はこの継続的に議論されるトピックについての広範囲に渡り、また信頼に足る議論を次のように編集された形でまとめてくれました。またハブやタップや -dr オプションについては FAQ を参照してください。

つーのはちょっとおかしくて、

注意：この問題はFAQに記載されているにもかかわらず、いまだに多くの議論を呼んでいます。Erek Adamsはこの継続的に議論されるトピックについての広範囲にわたり、また信頼に足る議論を次のように編集された形でまとめてくれました。またスイッチ、ハブ、そしてタップについての質問はFAQを参照してください。

って感じかな。ちと元の和訳自体意訳入っているんだけどそこはそのまま生かす方向で。
2章(利用開始にあたって)はこれくらいだなぁ。優秀優秀(とかいう
っていうか、このあたりは基本的にリリースを重ねても変わらない部分だから原文が変わってないのでメンテナンスする必要はないんだよね。ただ、libpcap、winpcapのあたりは原文自体が古いままなので、バージョンの関係はきちんと調査して差し替えないと*1。
3章からが問題なんだよな‥。
3.4の注意書きでportscanプリプロセッサが例で出てくるけど、これ古いんだよね‥。
3.6もちと怪しい‥。ubuntuではany設定はうまくいかなかったんだよね。プロミスカスに移行できなかったという‥。
3.8はもしかして追記されているのかなぁ。
原文

If you’re using something older (version 1.6.3-patch2 or whatever) you can re-specify the HOME NET variable multiple
times like this (for example):
var HOME_NET 10.1.1.0/24
include misc.rules
var HOME_NET 192.168.1.0/24
include misc.rules

もし古いもの(バージョン1.6.3-patch2とか何とか)を使っているのであれば、以下のようにHOME_NET変数を複数回指定しなおすことができます。例えば：
var HOME_NET 10.1.1.0/24
include misc.rules
var HOME_NET 192.168.1.0/24
include misc.rules

てなところか。つか、こんなの初めて聞いたぞ(爆
3.10も変更されている？

It depends on how your Snort configuration logs. If it logs in binary format, you’ll have to process the binary log in order to get cleartext. You also might have “-A ” on the command line. Command line options always take override the .conf file.

どのようにSnortのログ設定を行っているかに依存します。もしバイナリフォーマットでログをとっていれば、テキスト形式を得るためにバイナリログを加工する必要があるでしょう。また、コマンドラインで"-A "オプションを使ってもよいでしょう。コマンドラインオプションは常に.confファイル(の設定を)上書きします。

‥って感じかなぁ。
‥‥あれあれ？3.11とごっちゃになっていないか？＞3.10

んー。後回し(爆

原文では3.12が追加されているのか。番号がここからずれてくるのね。
しかし、書いてあることが激しく既出。。

3.12 How do you get Snort to ignore some traffic?
Snort can be made to ignore traffic in a number of different ways:
1. Specify bpf filters on the command line the tcpdump man page has a description of bpf filters.
2. Use a pass rule
3. The portscan preprocessor has it’s own special exclusion list with the portscan-ignorehosts.rules file directive

3.12 Snortにあるトラフィックを無視させるようにするには？
複数の異なった方法でSnortがトラフィックを無視するようにできます：
1.tcpdumpのmanページに記述されているbpfフィルタをコマンドラインで指定する
2.passルールを使う
3.portscanプリプロセッサはportscan-ignorehosts.rulesファイルディレクティブでそれ専用の除外リストを持っている

‥てなところか。だからもうそのプリプロセッサは（ｒｙ

よし、今日はこの辺で許してやろう。(ぉぃ

*1:でも後回しなんだけどねｗ