Observe que indiquei a rede do localhost, isso reduz bastante os falsos positivos, após a vírgula está minha rede interna e minha rede externa que sai para internet é 192.168.200.0/24, mas por padrão declaramos que se não é da rede interna é considerada externa, como abaixo:

Um dado importante é declarar corretamente o banco de dados de saída como abaixo, normalmente se já existe, é necessário completar os parâmetros:

Note que utilizei conforme criei no MySQL, já que esta é a saída para o snort inserir os dados no MySQL. As regras de análise válidas estão no final do arquivo, como esta abaixo:

A variável $RULE_PATH é /etc/snort/rules/ e local.rules é um arquivo de regra para identificar ataques. Você pode inserir novas regras apenas descomentando as já existentes que se encontram no diretório em questão, as comentadas normalmente necessitam de configuração para não gerar falsos positivos e você também pode baixar novas regras e colocar em /etc/snort/rules e inserir uma linha include como no exemplo acima para a regra ficar valendo.

OK! Com isto seu SNORT já está configurado. O SNORT é tido como o melhor IDS (Sistema de Detecção de Intrusão) para servidores Linux, ele não cria regras de bloqueio, você terá que criar suas regras no IPTABLES, ou utilizar o SNORT em conjunto com o GUARDIAN, este automatiza regras no IPTABLES de acordo com ocorrências no SNORT, porém pode bloquear serviços importantes da sua rede por causa dos falsos positivos, ataques que não são ataques, primeiro configure e utilize o SNORT durante um longo tempo até remover todos falsos positivos e acertar bem seu IDS, para depois pensar em utilizar o GUARDIAN.