mmnormalize

mmnormalize --> Man sagt via Rulebase wo welche Variablen zu finden sind durch (%field name:field type) diese informationen werden dann in der Variable abspeichert. Damit kann z.B. eine Spezielle Ausgabe erfolgen oder ein Custom Message Format oder es kann nach den gespeicherten Propertys gefiltert werden.
1. Message muss ja 1 zu 1 der Rulebase entsprechen ansonsten kann diese nicht geparst werden
--> Ja muss sie ansonsten wird sie nicht geparst
2. War bringt es sonst?
--> Ist beim Filtern schneller anstatt der kompletten message muss nur eine property abgeprüft werden z.B. Host