Como a maioria dos IDSs, o Snort é uma parte muito complexa da tecnologia e requer uma boa quantidade de esforço para começar a produzir resultados úteis. O ajuste exige muito tempo gasto na análise dos alertas, bem como os serviços disponíveis para determinar quais conjuntos de regras precisam ser habilitados e quais precisam ser desabilitados. Sabendo que você está interessado em dois serviços especificamente ajuda a diminuir o que pode ser útil você.
Analisando as regras oficiais do SourceFire, bem como as EmergingThreats de terceiros, o único alerta que encontrei é a correspondência entre o Mundo de Warcraft login sucessos e fracassos. Eu começaria pesquisando no site de regras do SourceFire para seus serviços. Você também pode lucrar com a leitura do pré-processador sfPortscan no Manual .
Infelizmente, não sei muito sobre o ClearOS e como eles envolvem o gerenciamento do aplicativo. No entanto, a aplicação snort é na verdade uma leitura bastante fácil, uma vez que você passa pela verbosidade.