This is clearly a false positive an

This is clearly a false positive and its firing on the return code of the client. In my opinion, the wrong thing to do would be to disable the rule entirely.

the right thing to do is to re-write the snort rule and exclude "220 VMware" as content from the rule.

To do this, open up /etc/snort/rules/emerging-malware.rules (or emerging_pro-malware.rules if you have the subscription) and insert content:!"220 VMware"; right before content:"220 "

reload snort via sudo service snort restart and that should make the false positives go away.

ผลลัพธ์ (ไทย) 1:

ได้ชัดเจนค่าบวกเป็นเท็จและการยิงในรหัสส่งคืนของลูกค้า ในความคิดของฉัน สิ่งผิดให้ทำจะเป็นการ ปิดใช้งานกฎทั้งหมด สิ่งที่ถูกต้องเป็นการเขียนกฎ snort และแยก "220 VMware" เป็นเนื้อหาจากกฎการทำเช่นนี้ เปิด /etc/snort/rules/emerging-malware.rules (หรือ emerging_pro-malware.rules ถ้าคุณมีการสมัครสมาชิก) และแทรกเนื้อหา: ! " 220 VMware" หน้าเนื้อหา: "220"โหลด snort ผ่าน snort sudo บริการเริ่มต้นและที่ควรทำลวงหายไป

ผลลัพธ์ (ไทย) 2:

นี้ชัดเจนเท็จบวกและการยิงของรหัสการกลับมาของลูกค้า ในความคิดของสิ่งที่ผิดจะทำจะปิดการใช้งานกฎทั้งหมด. สิ่งที่ถูกต้องที่จะทำคือการเขียนใหม่กฎ Snort และไม่รวม "220 VMware" เป็นเนื้อหาจากกฎ. ในการทำเช่นนี้เปิดขึ้น / ฯลฯ /snort/rules/emerging-malware.rules (หรือ emerging_pro-malware.rules ถ้าคุณมีการบอกรับสมาชิก) และแทรกเนื้อหา: "220 VMware"; ขวาก่อนเนื้อหา: "220" Snort โหลดผ่านทางบริการ sudo Snort รีสตาร์ทและที่ควรให้ผลบวกปลอมหายไป

ผลลัพธ์ (ไทย) 3:

นี้เป็นที่ชัดเจนเป็นเท็จบวกและยิงกลับรหัสของลูกค้า ในความเห็นของผม ทำผิดจะปิดใช้งานกฎทั้งหมดสิ่งที่ควรทำคือ จะเขียนกฎ Snort และแยก " 220 ข้อมูล " เป็นเนื้อหาจากกฎการทำเช่นนี้เปิด / etc / Snort / กฎ / emerging-malware.rules ( หรือ emerging_pro-malware.rules ถ้าคุณมีการสมัครสมาชิก ) และแทรกเนื้อหา : ! 220 ระบบ " ; ก่อนเนื้อหา : " 220 "โหลดผ่าน sudo Snort Snort บริการเริ่มต้นและที่ควรทำให้แจ้งเท็จไป