1. Паспорт потока
Установите отправителя, коллектор, транспорт, правила пересылки и сохранённый формат. Здесь разбирается сообщение RFC5424, а не старый RFC3164 и не произвольная строка vendor syslog. Сначала выясните, видите ли вы исходное сообщение или нормализованный объект SIEM. Версия продукта и поведение посредника остаются неизвестными, пока они не внесены в паспорт источника.
2. Сохраните границы записи
Откройте raw/original и отделите транспортную оболочку от полезного сообщения. Если коллектор добавил время или hostname, сохраните оба слоя с понятными подписями. Проверьте, не было ли обрезания и склейки строк при доставке. Не выбирайте парсер только по наличию угловых скобок: после PRI требуется проверить весь ожидаемый заголовок и разделители.
3. Прочитайте иллюстрацию
В синтетическом сообщении PRI 134 разлагается на facility 16 и severity 6. После него 1 означает версию синтаксиса. Временная метка указана в UTC, затем идут заявленный hostname, приложение, процесс и MSGID. Дефис на месте structured data показывает отсутствие этого блока в примере. Это не сообщение конкретного сетевого вендора и не доказательство существования приложения demoapp в вашей среде.
4. Проверьте три разных времени и адреса
Сопоставьте время, заявленное источником, время приёма коллектором и время дальнейшей индексации. HOSTNAME из сообщения и IP транспортного peer могут различаться из-за relay. Не заменяйте одно другим при атрибуции; отдельно запишите, как установлен реальный originator. Severity сообщает категорию важности отправителя, а не универсальную вероятность атаки или результат правила корреляции.
5. Проверьте качество разбора
На нескольких сохранённых записях сравните исходные значения с полями коллектора: PRI, временной зоной, PROCID, MSGID и structured data. Для отсутствующего значения отличайте NILVALUE от пустой строки и потери поля парсером. Сохраните примеры корректного и проблемного разбора, чтобы следующая проверка исправляла конкретную ошибку, а не меняла формат всех источников по одному исключению.
6. Если события не видны
Проверьте направление передачи, фактический приёмник, период и фильтры маршрутизации. Затем последовательно сравните сохранённый поток, очередь коллектора и индекс. Возможны транспортная потеря, обрезание сообщения, неверный parser или фильтр severity. Не объявляйте источник молчащим лишь потому, что нужное поле отсутствует в поиске: исходная строка могла быть принята и неверно нормализована.