Snort schlägt Fehlalarm?

[Gharika]

Wie kann ich snort beibringen, das ein bestimmter Port nicht INFECTED ist? Ich habe einen Streaming Recorder auf meinem Debian-Server, der an dem Port 4000 lauscht. Des weiteren macht Snort bei mir periodisch Checks und meldet, das eben dieser Port infected ist.

Meldet er das nur weil er den Dienst nicht kennt oder wie kann ich dem auf dem Grund gehen, daß da evtl. was dran wäre. Dieser Dienst und Port wurde nie nach außen angeboten oder irgendwie zugänglich gemacht und funktioniert ohne Probleme oder Nebenwirkungen.

Stoppe ich den Dienst ist auch Snort zufrieden, aber ich will den Dienst ja betreiben...