Bleibt das Rohlog erhalten?
Ja. Normalisierung loscht das Rohlog nicht; sie erganzt such- und berichtsfahige Felder.
Plattform
Syslog-Normalisierungsplattform
Syslog-Normalisierung uberfuhrt unterschiedliche Feldnamen in ein gemeinsames Worterbuch, damit dieselbe IP oder derselbe Benutzer uberall gleich verstanden wird.
Beispiel normalisiertes Ereignis
{
"event.kind": "event",
"event.category": "network",
"source.ip": "198.51.100.24",
"destination.ip": "10.10.4.20",
"observer.vendor": "fortinet",
"bivoxy.normalized": true
}Warum ein Worterbuch?
Ein gemeinsames Worterbuch verhindert, dass Dashboards, KI-Berichte, Alarme und APIs denselben Wert unterschiedlich berechnen.