| 统一字段 | timestamp、src_ip、dst_ip、src_port、dst_port、action、rule、device |
|---|---|
| 方法 | 每种日志源一套解析规则并版本管理 |
| 验证 | 抽样比对原始日志与解析结果 |
映射示例（示意）
映射示例（示意）
厂商字段 src=192.168.1.10 → 统一字段 src_ip
厂商字段 policy=allow → 统一字段 action=permit解析规则库与应用代码一样需要版本管理与测试。
日志解析与字段归一
把不同厂商日志映射到统一字段模型（时间、源、目的、动作、规则），是关联分析与报表的前提。
易错点
- 解析规则无版本管理，设备升级后字段变化无从回溯
- 时间字段未做时区归一，关联分析结果错乱
数据来源与参考
- NIST SP 800-92（日志归一化）
- RFC 5424（结构化数据）