¿Está intentando que Snort muestre solo el resultado de sus propias reglas personalizadas creadas en las reglas locales?
¿Por qué no crear uno como un ejemplo a continuación en las reglas locales, mover todas las demás reglas existentes a otro lugar dejando solo las reglas locales para las pruebas? De esa manera, solo se verificarán tus reglas locales.
alerta tcp cualquiera cualquiera - > any any (msg: "Testing TCP"; sid: 10002)
Cuando ejecute Snort en modo IDS, se mostrará debajo de las alertas siempre que haya tráfico TCP.
Espero que esto ayude.