Snort: captura de SPAM

Nesta regra, o snort irá alertar usuários que enviem mais de 10 emails a cada 60 segundos:

alert tcp !$SMTP_SERVERS any -> any 25 (msg"possible spammer"; content:"rcpt to\:"; nocase; flow:to_server, established; threshold:type both, track by_src, count 10, seconds 60; sid:1000000; rev:1;)

Sugestão postada em Snort-users.