Порядок прохождения входящего пакета: Packet filter, IDS, Portsentry ?

imho в таком порядке... первое что обрабатывает пакет это ядро и соответственно kernel-packet filter (ipchains, iptables, etc...), потом snort (я не смотрел как он биндится на сетевой интерфейс, но через libpcap) и затем самый последний уровень portsentry (application level).

snort севший на сетевуху в promiscious mode увидит всё первым, потом проработают iptables и только потом portsentry

Тогда любой софт, переводящий сетевую в PROMISCIOUS MODE (f.e. tcpdump),
должен увидеть входящий пакет первым?

Sciurus.

> Тогда любой софт, переводящий сетевую в PROMISCIOUS MODE (f.e. tcpdump), должен увидеть входящий пакет первым?

правильнее сказать, все то, что пользуется BPF (или его Linux-аналогом), увидит пакет до ipchains/iptables.

Совершенно верно TCPDUMP от ipchains, tables, fw, etc не зависит...