Так в итоге и не могу понять, почему формула не работает. И через ptkb, и через cli, нормализует. Сервис ошибок не выдает. Все обязательные поля тоже присутствуют...

TEXT="<{NUMBER}>{time=DATETIME} {event_src.hostname=HOSTNAME|event_src.ip=IPV4} {$kv=KEYVALUE('\\t','=')}"

COND=($kv['EventID']=="4624" or $kv['EventID']=="4625")
id="Domain_IBM_WinCollect_auth"
action="login"
object="host"
subject="account"
event_src.title="WinCollect"
event_src.vendor="IBM"
event_src.category="SIEM"
src.hostname=$kv['Computer']
src.ip=$kv['OriginatingComputer']
switch $kv['EventID']
case 4624 status="success"
case 4625 status="failure"
endswitch
submessage("TEXT","message",$kv['Message'])
subformula "message"
TEXT='An account was successfully logged on.  Subject:  Security ID:  {WORD|NUMBER} {WORD|}  Account Name:    {STRING}  Account Domain:  {STRING}  Logon ID:  {STRING}  Logon Type:   {NUMBER}  Impersonation Level:  {WORD} New Logon: Security ID:  {STRING}  Account Name:  {subject.name=STRING} Account Domain:  {WORD}  Logon ID:  {STRING}  Logon GUID:  {STRING}  Process Information:  Process ID:  {STRING}  Process Name:  {STRING}  Network Information:  Workstation Name: {STRING}   Source Network Address: {src.ip=IPV4|"-"} {REST}'
endsubformula
importance="medium"
msgid=$kv['EventID']

И еще при попытен использовать normalizer-cli.exe выдает, что formulas_graph.json - нераспознанный токен. Хотя синтаксис 1 в 1, как в видео

в чем заключается "через пткб работает"?

компилируется граф, мне говорили, что может компилироваться через sdk или cli, но что будет работать 100% только если через ptkb

можно еще попробовать скомпилировать в другом сдк, например в ptkb (один раз такое наблюдала, с графом, собранным на моем ноуте, нормализатор не стартовал, собрала в ptkb, все ок)

то есть не формула работает, а граф компилится?

формула в неофициальном гуе работает?

ну, я не знаю способа проверки формулы через ptkb

если да - поймали конфликт со встроенной формулой нормализации

формула работает через cli

что значит "работает через cli"?

normalizer.exe

и?

из состава sdk

компилируется или нормализует исходные события?

можно запускать нефоициальный sdk, а можно через cli те же утилиты

спасибо, кэп. вопрос был не в этом.

вы тут пишите, что формула у вас нормализует после компиляции через ptkb

тогда не ясно, что не работает. и если после компиляции через ptkb не нормализует, то где нормально компилируется и нормализует