<div dir="ltr"><div><div>I assume you&#39;ve also redef&#39;d Intel::read_files as well.<br><br></div>How are you testing it?  If you&#39;re running standalone against a small pcap, I believe Bro may finish processing traffic before it finishes loading the Intel data.  (Can anyone confirm or deny that?)<br><br></div>-Dop<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, May 4, 2017 at 1:07 PM, Dave Florek <span dir="ltr">&lt;<a href="mailto:dave.a.florek@gmail.com" target="_blank">dave.a.florek@gmail.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div><span style="font-size:12.8px">Hi Mike,</span></div><div><span style="font-size:12.8px"><br></span></div><div><span style="font-size:12.8px">Thanks for the response. I&#39;m still not seeing the Intel.log entries show up in my notice.log. I confirmed I have the @load </span><span style="font-size:12.8px">policy/frameworks/intel/<wbr>do_</span><span style="font-size:12.8px">notice and @load frameworks/intel/seen</span><font size="1"> <span style="color:rgb(102,102,102)"><font face="arial, helvetica, sans-serif">in my local.bro file and the &#39;T&#39; switch set on my DAT file entries. I&#39;m not sure what to try next. </font></span></font></div><div><span style="font-size:12.8px"><br></span></div><div><span style="font-size:12.8px">Any recommendations?</span></div><div><span style="font-size:12.8px"><br></span></div><div><span style="font-size:12.8px">&gt; Date: Tue, 2 May 2017 16:06:37 -0500</span><br></div><span style="font-size:12.8px">&gt; From: Mike Dopheide &lt;</span><a href="mailto:dopheide@gmail.com" style="font-size:12.8px" target="_blank">dopheide@gmail.com</a><span style="font-size:12.8px">&gt;</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">Subject: Re: [Bro] Intel alerts not showing up in the notice log</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">To: Dave Florek &lt;</span><a href="mailto:dave.a.florek@gmail.com" style="font-size:12.8px" target="_blank">dave.a.florek@gmail.com</a><span style="font-size:12.8px">&gt;</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">Cc: &quot;</span><a href="mailto:bro@bro.org" style="font-size:12.8px" target="_blank">bro@bro.org</a><span style="font-size:12.8px">&quot; &lt;</span><a href="mailto:bro@bro.org" style="font-size:12.8px" target="_blank">bro@bro.org</a><span style="font-size:12.8px">&gt;</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">Message-ID:</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">        &lt;CAPy2kFb0Cq182NfppPmqGt42+</span><span style="font-size:12.8px">qdU<wbr>qys09r=</span><a href="mailto:gu7JxLojfnefL0w@mail.gmail.com" style="font-size:12.8px" target="_blank">gu7JxLojfnefL0w@mail.<wbr>gmail.com</a><span style="font-size:12.8px">&gt;</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">Content-Type: text/plain; charset=&quot;utf-8&quot;</span><div><div class="h5"><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">I haven&#39;t read the whole thread, but you may need:</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">@load policy/frameworks/intel/do_</span><span style="font-size:12.8px">not<wbr>ice</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">As well as have &quot;meta.do_notice&quot; set to T in your .dat files.</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">-Dop</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">On Tue, May 2, 2017 at 3:36 PM, Dave Florek &lt;</span><a href="mailto:dave.a.florek@gmail.com" style="font-size:12.8px" target="_blank">dave.a.florek@gmail.com</a><span style="font-size:12.8px">&gt; wrote:</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px">Good afternoon,</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> Was there a resolution to this thread? I&#39;m having the same issue on a</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> default build and I&#39;m not sure where to start.</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> </span><a href="http://mailman.icsi.berkeley.edu/pipermail/bro/2014-May/006940.html" rel="noreferrer" style="font-size:12.8px" target="_blank">http://mailman.icsi.<wbr>berkeley.edu/pipermail/bro/<wbr>2014-May/006940.html</a><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> Thanks,</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> __________________________<wbr>____</span><span style="font-size:12.8px">_________________</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> Bro mailing list</span><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> </span><a href="mailto:bro@bro-ids.org" style="font-size:12.8px" target="_blank">bro@bro-ids.org</a><br style="font-size:12.8px"><span style="font-size:12.8px">&gt;</span><span style="font-size:12.8px">&gt; </span><span style="font-size:12.8px"> </span><a href="http://mailman.icsi.berkeley.edu/mailman/listinfo/bro" rel="noreferrer" style="font-size:12.8px" target="_blank">http://mailman.ICSI.<wbr>Berkeley.EDU/mailman/listinfo/<wbr>bro</a><br></div></div></div>
<br>______________________________<wbr>_________________<br>
Bro mailing list<br>
<a href="mailto:bro@bro-ids.org">bro@bro-ids.org</a><br>
<a href="http://mailman.ICSI.Berkeley.EDU/mailman/listinfo/bro" rel="noreferrer" target="_blank">http://mailman.ICSI.Berkeley.<wbr>EDU/mailman/listinfo/bro</a><br></blockquote></div><br></div>