Proofpoint TAP-Benachrichtigungslogs erfassen
Unterstützt in:
Google SecOps
SIEM
In diesem Dokument wird beschrieben, wie Sie Proofpoint Targeted Attack Protection (TAP)-Benachrichtigungslogs erfassen, indem Sie einen Google Security Operations-Feed einrichten.
Weitere Informationen finden Sie unter Google SecOps-Datenaufnahme.
Ein Aufnahme-Label identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit dem Aufnahmelabel PROOFPOINT_MAIL.
Proofpoint TAP-Benachrichtigungen konfigurieren
- Melden Sie sich mit Ihren Anmeldedaten im Insight-Portal für Proofpoint-Bedrohungen an.
- Wählen Sie auf dem Tab Einstellungen die Option Verbundene Anwendungen aus. Der Abschnitt Dienstanmeldedaten wird angezeigt.
- Klicken Sie im Abschnitt Name auf Neue Anmeldedaten erstellen.
- Geben Sie den Namen Ihrer Organisation ein, z. B.
altostrat.com. - Klicken Sie auf Generieren. Im Dialogfeld Generierte Dienstanmeldedaten werden die Werte für Diensthauptkonto und Secret angezeigt.
- Kopieren Sie die Werte für Diensthauptkonto und Secret. Die Werte werden nur zum Zeitpunkt der Erstellung angezeigt und sind erforderlich, wenn Sie den Google Security Operations-Feed konfigurieren.
- Klicken Sie auf Fertig.
Feeds einrichten
So konfigurieren Sie den Feed:
- Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
- Klicken Sie auf Neuen Feed hinzufügen.
- Klicken Sie auf das Feedpaket Proofpoint.
- Suchen Sie den Protokolltyp Proofpoint Tap Alerts.
Geben Sie die Werte für die folgenden Felder an:
- Quelltyp: Drittanbieter-API
- Nutzername: Geben Sie den Diensthauptschlüssel an, den Sie zuvor abgerufen haben.
- Secret: Geben Sie das zuvor abgerufene Secret an.
Erweiterte Optionen
- Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
- Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
- Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
Klicken Sie auf Feed erstellen.
Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ. Wenn beim Erstellen von Feeds Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.
Referenz zur Feldzuordnung
Dieser Parser verarbeitet Proofpoint Mail-Logs im JSON- oder Schlüssel/Wert-Format und extrahiert Details zu E-Mail- und Netzwerkaktivitäten. Es ordnet Logfelder dem UDM zu, kategorisiert Ereignisse wie E‑Mail-Transaktionen und HTTP-Anfragen im Netzwerk und reichert sie mit Sicherheitsdetails wie Aktionen, Kategorien und Bedrohungsinformationen an.
Beschränkungen
Bei der Analyse von PROOFPOINT_MAIL-Protokollen können trotz Echtzeitaufnahme Ereignisse mit historischen Zeitstempeln auftreten. Dieses Verhalten ist der Proofpoint API inhärent und nicht der Google SecOps-Aufnahmepipeline. Selbst wenn Google SecOps die neuesten Aktivitäten abfragt, kann die Proofpoint API Ereignisse zurückgeben, die mehrere Tage zuvor aufgetreten sind. Aufgrund der Art und Weise, wie Proofpoint Ereignisdaten puffert und freigibt, sind Abweichungen zwischen event_timestamp und ingestion_time für den Logtyp PROOFPOINT_MAIL zu erwarten. Weitere Informationen finden Sie in der Dokumentation zu Proofpoint-Ereigniszeitstempeln.
UDM-Zuordnungstabellen
In den folgenden Tabellen sind die Zuordnungen der Rohprotokollfelder von Proofpoint TAP-Benachrichtigungen zu UDM-Feldern aufgeführt, kategorisiert nach Format.
Klickbezogene Logfelder im JSON-Format
| Logfeld | UDM-Feld | Beschreibung |
|---|---|---|
clicksBlocked[].classification |
security_result.category,security_result.category_details |
Die Klassifizierung der Bedrohung (z. B. malware, phish). |
clicksBlocked[].clickIP |
principal.ip,security_result.about.ip |
Die IP-Adresse des Nutzers, der auf die URL geklickt hat. |
clicksBlocked[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
Der Zeitstempel des Klicks. |
clicksBlocked[].GUID |
metadata.product_log_id |
Die eindeutige Kennung für das Klickereignis. |
clicksBlocked[].guid |
metadata.product_log_id |
Die eindeutige Kennung für das Klickereignis. |
clicksBlocked[].id |
additional.fields["id"] |
Die eindeutige Klick-ID. |
clicksBlocked[].messageID |
network.email.mail_id |
Die ursprüngliche E‑Mail-Nachrichten-ID. |
clicksBlocked[].recipient |
network.email.to,target.user.email_addresses |
Die E-Mail-Adresse des Empfängers. |
clicksBlocked[].sender |
network.email.from,principal.user.email_addresses |
Die E-Mail-Adresse des Absenders. Der Nutzerteil wird gehasht. Der Domainteil ist Klartext. |
clicksBlocked[].senderIP |
principal.ip |
Die IP-Adresse des ursprünglichen Absenders. |
clicksBlocked[].threatID |
security_result.threat_id |
Die Kennung für die erkannte Bedrohung. |
clicksBlocked[].threatStatus |
security_result.threat_status |
Der Status der Bedrohung (Active, Cleared usw.). |
clicksBlocked[].threatTime |
metadata.event_timestamp if clicksBlocked[].clickTime is null,additional.fields["clicks_clickTime"] |
Der Zeitpunkt, zu dem Proofpoint den threatStatus zugewiesen hat. |
clicksBlocked[].threatUrl |
security_result.url_back_to_product |
Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung. |
clicksBlocked[].url |
target.url,security_result.about.url |
Die schädliche URL, auf die geklickt wurde. |
clicksBlocked[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Der User-Agent des Clients, der den Klick ausführt. |
clicksPermitted[].classification |
security_result.category,security_result.category_details |
Die Klassifizierung der Bedrohung (z. B. malware, phish). |
clicksPermitted[].clickIP |
principal.ip,security_result.about.ip |
Die IP-Adresse des Nutzers, der auf die URL geklickt hat. |
clicksPermitted[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
Der Zeitstempel des Klicks. |
clicksPermitted[].GUID |
metadata.product_log_id |
Die eindeutige Kennung für das Klickereignis. |
clicksPermitted[].guid |
metadata.product_log_id |
Die eindeutige Kennung für das Klickereignis. |
clicksPermitted[].id |
additional.fields["id"] |
Die eindeutige Klick-ID. |
clicksPermitted[].messageID |
network.email.mail_id |
Die ursprüngliche E‑Mail-Nachrichten-ID. |
clicksPermitted[].recipient |
network.email.to,target.user.email_addresses |
Die E-Mail-Adresse des Empfängers. |
clicksPermitted[].sender |
network.email.from,principal.user.email_addresses |
Die E-Mail-Adresse des Absenders. Der Nutzerteil wird gehasht. Der Domainteil ist Klartext. |
clicksPermitted[].senderIP |
principal.ip |
Die IP-Adresse des ursprünglichen Absenders. |
clicksPermitted[].threatID |
security_result.threat_id |
Die Kennung für die erkannte Bedrohung. |
clicksPermitted[].threatStatus |
security_result.threat_status |
Der Status der Bedrohung (z. B. „Aktiv“ oder „Gelöscht“). |
clicksPermitted[].threatTime |
metadata.event_timestamp if clicksPermitted[].clickTime is null,additional.fields["clicks_clickTime"] |
Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat. |
clicksPermitted[].threatUrl |
security_result.url_back_to_product |
Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung. |
clicksPermitted[].url |
target.url,security_result.about.url |
Die schädliche URL, auf die geklickt wurde. |
clicksPermitted[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Der User-Agent des Clients, der den Klick ausführt. |
Nachrichtenbezogene Logfelder im JSON-Format
| Logfeld | UDM-Feld | Beschreibung |
|---|---|---|
messagesBlocked[].ccAddresses |
intermediary.user.email_addresses |
Eine Liste der E‑Mail-Adressen, die im Header CC: enthalten sind. |
messagesBlocked[].cluster |
additional.fields["cluster"] |
Der spezifische Proofpoint-E-Mail-Verarbeitungscluster (oder die Mandantenbereitstellung), der das E-Mail-Ereignis verarbeitet hat. |
messagesBlocked[].clusterId |
additional.fields |
Der Name des PPS-Clusters, der die Nachricht verarbeitet hat. |
messagesBlocked[].fromAddress |
principal.user.email_addresses,network.email.from, wenn messagesBlocked[].sender nicht vorhanden ist |
Die im Header From: enthaltene E‑Mail-Adresse, ohne Anzeigenamen. |
messagesBlocked[].guid |
metadata.product_log_id |
Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig. |
messagesBlocked[].GUID |
metadata.product_log_id |
Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig. |
messagesBlocked[].headerCC |
additional.fields["headerCC "] |
Enthält headerCC-Details. |
messagesBlocked[].headerReplyTo |
additional.fields["headerReplyTo "] |
Falls vorhanden, der vollständige Inhalt des Reply-To:-Headers, einschließlich aller Anzeigenamen. |
messagesBlocked[].id |
additional.fields["id"] |
Enthält Details zur Nachrichten-ID. |
messagesBlocked[].impostorScore |
security_result.detection_fields["impostorScore"] |
Der Impostor-Score der Nachricht. |
messagesBlocked[].malwareScore |
security_result.detection_fields["malwareScore"] |
Der Malware-Wert der Nachricht. |
messagesBlocked[].messageID |
network.email.mail_id |
Die Nachrichten-ID, die aus den Headern der E‑Mail-Nachricht extrahiert wurde. Sie kann verwendet werden, um die zugehörige Nachricht in PPS zu suchen, und ist eindeutig. |
messagesBlocked[].messageParts[].contentType |
about.file.mime_type |
Der MIME-Typ der Datei. |
messagesBlocked[].messageParts[].disposition |
additional.fields["disposition "] |
Wie der Nachrichtenteil verarbeitet wird (z. B. angehängt, inline). Dynamisch indexiert. |
messagesBlocked[].messageParts[].md5 |
about.file.md5 |
Der MD5-Hash des Nachrichtenteils bzw. der Datei. |
messagesBlocked[].messageParts[].oContentType |
additional.fields["oContentType "] |
Der deklarierte Inhaltstyp des messagePart. |
messagesBlocked[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Der Status der Dateianalyse in der Sandbox. |
messagesBlocked[].messageParts[].sha256 |
about.file.sha256 |
Der SHA256-Hash des Nachrichtenteils oder der Datei. |
messagesBlocked[].messagesBlocked[].messageParts[].filename |
about.file.full_path |
Der Name der Datei oder des Anhangs. |
messagesBlocked[].messageSize |
additional.fields["messageSize"] |
Die Größe der Nachricht in Byte, einschließlich Header und Anhänge. |
messagesBlocked[].messageTime |
metadata.event_timestamp |
Wann die Nachricht an den Nutzer zugestellt oder von PPS in Quarantäne verschoben wurde. |
messagesBlocked[].modulesRun |
additional.fields["modulesRun"] |
Die Liste der PPS-Module, die die Nachricht verarbeitet haben. |
messagesBlocked[].phishScore |
security_result.detection_fields["phishScore"] |
Der Phishing-Score der Nachricht. |
messagesBlocked[].policyRoutes |
additional.fields["PolicyRoutes"] |
Die Richtlinienrouten, mit denen die Nachricht während der Verarbeitung durch PPS übereinstimmte. |
messagesBlocked[].QID |
additional.fields["QID"] |
Die Warteschlangen-ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist nicht eindeutig. |
messagesBlocked[].quarantineFolder |
security_result.priority, wenn messagesBlocked[].quarantineFolder „Niedrige Priorität“ oder „Hohe Priorität“ ist,security_result.detection_fields ["quarantineFolder"] andernfalls |
Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält. |
messagesBlocked[].recipient |
network.email.to |
Ein Array mit den E‑Mail-Adressen der Empfänger. |
messagesBlocked[].replyToAddress |
network.email.reply_to, wenn es sich um eine gültige E‑Mail-Adresse handelt, andernfalls additional.fields["replyTo"] |
Die im Reply-To:-Header enthaltene E‑Mail-Adresse. |
messagesBlocked[].sender |
network.email.from |
Die E-Mail-Adresse des Absenders. |
messagesBlocked[].senderIP |
principal.ip,principal.asset.ip |
Die E-Mail-Adresse des Absenders. |
messagesBlocked[].spamScore |
security_result.detection_fields["spamScore"] |
Der Spam-Score der Nachricht. |
messagesBlocked[].subject |
network.email.subject |
Der Betreff der E‑Mail. |
messagesBlocked[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Ein Array mit internen Unterorganisations-IDs, die den Empfängern zugewiesen sind. |
messagesBlocked[].suborgs.sender |
additional.fields["suborgsSender"] |
Die interne Unterorganisations-ID, die dem Absender zugewiesen ist. |
messagesBlocked[].threatsInfoMap[].campaignId |
security_result.rule_id |
Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden. |
messagesBlocked[].threatsInfoMap[].campaignID |
security_result.rule_id |
Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden. |
messagesBlocked[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
Die Kategorie der in der Nachricht gefundenen Bedrohung. |
messagesBlocked[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
Der Überschreibungsstatus der Nachricht. Wenn der Wert true ist, wurden alle Instanzen von URL-Bedrohungen in der Nachricht erfolgreich umgeschrieben. Wenn der Wert false ist, wurde mindestens eine Instanz einer Bedrohungs-URL nicht umgeschrieben. Wenn der Wert na ist, enthielt die Nachricht keine URL-basierten Bedrohungen. |
messagesBlocked[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Die neuen Felder detectionType und ThreatInfo wurden der Antwort hinzugefügt. |
messagesBlocked[].threatsInfoMap[].threat |
security_result.about.url, wenn threatTypeurl ist,security_result.about.file.sha256, wenn attachment,security_result.about.resource.name, wenn messageText,result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Ob es sich bei der Bedrohung um einen Anhang, eine URL oder einen Nachrichtentyp handelte. |
messagesBlocked[].threatsInfoMap[].threatID |
security_result.threat_id |
Die eindeutige Kennung, die dieser Bedrohung zugeordnet ist. Sie kann zum Abfragen der Endpunkte für Forensik und Kampagnen verwendet werden. |
messagesBlocked[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Ein Array von Strukturen, die Details zur ID des Akteurs enthalten. |
messagesBlocked[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Ein Array von Strukturen, die Details zur ID des Akteurs enthalten. |
messagesBlocked[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Ein Array von Strukturen, die Details zur ID des Akteurs enthalten. |
messagesBlocked[].threatsInfoMap[].threatStatus |
security_result.threat_status |
Der aktuelle Status der Bedrohung. |
messagesBlocked[].threatsInfoMap[].threatTime |
metadata.event_timestamp, wenn messagesBlocked[].messageTime nicht vorhanden ist,security_result.detection_fields |
Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat. |
messagesBlocked[].threatsInfoMap[].threatType |
security_result.threat_name |
Ein String, der angibt, welcher Bedrohungstyp in den Daten zurückgegeben wird. |
messagesBlocked[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Ein Link zum Eintrag über die Bedrohung im TAP-Dashboard. |
messagesBlocked[].toAddresses |
target.user.email_addresses |
Eine Liste der E‑Mail-Adressen, die im Header To: enthalten sind. |
messagesBlocked[].xmailer |
security_result.detection_fields["xmailer"] |
Der Inhalt des Headers X-Mailer:. |
messagesDelivered[].ccAddresses |
intermediary.user.email_addresses |
Eine Liste der E‑Mail-Adressen, die im Header CC: enthalten sind. |
messagesDelivered[].cluster |
additional.fields["cluster"] |
Der spezifische Proofpoint-E-Mail-Verarbeitungscluster (oder die Mandantenbereitstellung), der das E-Mail-Ereignis verarbeitet hat. |
messagesDelivered[].clusterId |
additional.fields |
Der Name des PPS-Clusters, der die Nachricht verarbeitet hat. |
messagesDelivered[].fromAddress |
principal.user.email_addresses,network.email.from, wenn messagesDelivered[].sender nicht vorhanden ist |
Die im Header From: enthaltene E‑Mail-Adresse, ohne Anzeigenamen. |
messagesDelivered[].GUID |
metadata.product_log_id |
Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig. |
messagesDelivered[].guid |
metadata.product_log_id |
Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig. |
messagesDelivered[].headerCC |
additional.fields["headerCC "] |
Enthält headerCC-Details. |
messagesDelivered[].headerReplyTo |
additional.fields["headerReplyTo "] |
Falls vorhanden, der vollständige Inhalt des Reply-To:-Headers, einschließlich aller Anzeigenamen. |
messagesDelivered[].id |
additional.fields["id "] |
Enthält Details zur Nachrichten-ID. |
messagesDelivered[].impostorScore |
security_result.detection_fields["impostorScore"] |
Der Impostor-Score der Nachricht. |
messagesDelivered[].malwareScore |
security_result.detection_fields["malwareScore"] |
Der Malware-Wert der Nachricht. |
messagesDelivered[].messageID |
network.email.mail_id |
Die Nachrichten-ID, die aus den Headern der E‑Mail-Nachricht extrahiert wurde. Sie kann verwendet werden, um die zugehörige Nachricht in PPS zu suchen, und ist nicht eindeutig. |
messagesDelivered[].messageParts[].contentType |
about.file.mime_type |
Der MIME-Typ der Datei. |
messagesDelivered[].messageParts[].disposition |
additional.fields["disposition "] |
Wie der Nachrichtenteil verarbeitet wird (z. B. angehängt, inline). Dynamisch indexiert. |
messagesDelivered[].messageParts[].md5 |
about.file.md5 |
Der MD5-Hash des Nachrichtenteils bzw. der Datei. |
messagesDelivered[].messageParts[].oContentType |
additional.fields["oContentType "] |
Der deklarierte Inhaltstyp des messagePart. |
messagesDelivered[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Der Status der Dateianalyse in der Sandbox. |
messagesDelivered[].messageParts[].sha256 |
about.file.sha256 |
Der SHA256-Hash des Nachrichtenteils oder der Datei. |
messagesDelivered[].messagesDelivered[].messageParts[].filename |
about.file.full_path |
Der Name der Datei oder des Anhangs. |
messagesDelivered[].messageSize |
additional.fields["messageSize"] |
Die Größe der Nachricht in Byte, einschließlich Header und Anhänge. |
messagesDelivered[].messageTime |
metadata.event_timestamp |
Wann die Nachricht an den Nutzer zugestellt oder von PPS in Quarantäne verschoben wurde. |
messagesDelivered[].modulesRun |
additional.fields["modulesRun"] |
Die Liste der PPS-Module, die die Nachricht verarbeitet haben. |
messagesDelivered[].phishScore |
security_result.detection_fields["phishScore"] |
Der Phishing-Score der Nachricht. |
messagesDelivered[].policyRoutes |
additional.fields["PolicyRoutes"] |
Die Richtlinienrouten, mit denen die Nachricht während der Verarbeitung durch PPS übereinstimmte. |
messagesDelivered[].QID |
additional.fields["QID"] |
Die Warteschlangen-ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist nicht eindeutig. |
messagesDelivered[].quarantineFolder |
security_result.priority, wenn messagesDelivered[].quarantineFolder „Niedrige Priorität“ oder „Hohe Priorität“ ist,security_result.detection_fields ["quarantineFolder"] andernfalls |
Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält. |
messagesDelivered[].recipient |
network.email.to |
Ein Array mit den E‑Mail-Adressen der Empfänger. |
messagesDelivered[].replyToAddress |
network.email.reply_to, wenn es sich um eine gültige E‑Mail-Adresse handelt, andernfalls additional.fields ["replyTo"] |
Die im Reply-To:-Header enthaltene E‑Mail-Adresse. |
messagesDelivered[].senderIP |
principal.ip,principal.asset.ip |
Die E-Mail-Adresse des Absenders. |
messagesDelivered[].spamScore |
security_result.detection_fields["spamScore"] |
Der Spam-Score der Nachricht. |
messagesDelivered[].subject |
network.email.subject |
Der Betreff der E‑Mail. |
messagesDelivered[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Ein Array mit internen Unterorganisations-IDs, die den Empfängern zugewiesen sind. |
messagesDelivered[].suborgs.sender |
additional.fields["suborgsSender"] |
Die interne Unterorganisations-ID, die dem Absender zugewiesen ist |
messagesDelivered[].threatsInfoMap[].campaignId |
security_result.rule_id |
Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden. |
messagesDelivered[].threatsInfoMap[].campaignID |
security_result.rule_id |
Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden. |
messagesDelivered[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
Die Kategorie der in der Nachricht gefundenen Bedrohung. |
messagesDelivered[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
Der Überschreibungsstatus der Nachricht. Wenn der Wert true ist, wurden alle Instanzen von URL-Bedrohungen in der Nachricht erfolgreich umgeschrieben. Wenn der Wert false ist, wurde mindestens eine Instanz einer Bedrohungs-URL nicht umgeschrieben. Wenn der Wert na ist, enthielt die Nachricht keine URL-basierten Bedrohungen. |
messagesDelivered[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Die neuen Felder detectionType und ThreatInfo wurden der Antwort hinzugefügt. |
messagesDelivered[].threatsInfoMap[].threat |
security_result.about.url, wenn threatType url ist,security_result.about.file.sha256, wenn threatType attachment ist,security_result.about.resource.name, wenn threatType messageText ist,security_result.about.resource.name, andernfallsresult.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Ob es sich bei der Bedrohung um einen Anhang, eine URL oder einen Nachrichtentyp handelte. |
messagesDelivered[].threatsInfoMap[].threatID |
security_result.threat_id |
Die eindeutige Kennung, die dieser Bedrohung zugeordnet ist. Sie kann zum Abfragen der Endpunkte für Forensik und Kampagnen verwendet werden. |
messagesDelivered[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Ein Array von Strukturen, die Details zur ID des Akteurs enthalten. |
messagesDelivered[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Ein Array von Strukturen, die Details zur ID des Akteurs enthalten. |
messagesDelivered[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Ein Array von Strukturen, die Details zur ID des Akteurs enthalten. |
messagesDelivered[].threatsInfoMap[].threatStatus |
security_result.threat_status |
Der aktuelle Status der Bedrohung. |
messagesDelivered[].threatsInfoMap[].threatTime |
metadata.event_timestamp, wenn messagesDelivered[].messageTime nicht vorhanden ist,security_result.detection_fields |
Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat. |
messagesDelivered[].threatsInfoMap[].threatType |
security_result.threat_name |
Ein String, der angibt, welcher Bedrohungstyp in den Daten zurückgegeben wird. |
messagesDelivered[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Ein Link zum Eintrag über die Bedrohung im TAP-Dashboard. |
messagesDelivered[].toAddresses |
target.user.email_addresses |
Eine Liste der E‑Mail-Adressen, die im Header To: enthalten sind. |
messagesDelivered[].xmailer |
security_result.detection_fields["xmailer"] |
Der Inhalt des Headers „X-Mailer:“. |
msg.accountType |
Anbieterspezifische zusätzliche Felder. | |
msg.address |
principal.user.email_addresses |
Die spezifische E-Mail-Adresse, die mit dem Konto verknüpft ist, das auf Bedrohungsaktivitäten überwacht oder ausgewertet wird. |
msg.dashboardLink |
security_result.url_back_to_product |
Ein Link zum Threat Insight-Dashboard. |
msg.deliveredMessages |
Anbieterspezifische zusätzliche Felder. | |
msg.eventTime |
metadata.event_timestamp, wenn messageTime und threatTime leer sind |
Der genaue UTC-Zeitstempel, zu dem diese Bedrohungsbeobachtung oder dieses Logereignis generiert wurde. |
msg.highRisk |
security_result.action |
Ein boolesches Flag (true/false), das angibt, ob Proofpoint dieses Konto als ein Konto mit erhöhtem Sicherheitsrisiko oder erhöhter Gefährdung einstuft. |
msg.identity |
Anbieterspezifische zusätzliche Felder. | |
msg.maliciousMessages |
Anbieterspezifische zusätzliche Felder. | |
msg.observations[] |
additional.fields["observations"] | Eine Liste mit spezifischen Threat Intelligence-Verhaltens-Tags oder Anomalieindikatoren, die von Proofpoint-Algorithmen gekennzeichnet wurden. |
msg.timeRanges[].end |
additional.fields |
Ein Array von Zeitfenstern, die zeigen, wann verdächtige Verhaltensweisen oder Bedrohungsindikatoren für dieses Konto aktiv beobachtet wurden. |
msg.timeRanges[].falsePositive |
additional.fields |
Ein Array von Zeitfenstern, die zeigen, wann verdächtige Verhaltensweisen oder Bedrohungsindikatoren für dieses Konto aktiv beobachtet wurden. |
msg.timeRanges[].start,msg |
additional.fields |
Ein Array von Zeitfenstern, die zeigen, wann verdächtige Verhaltensweisen oder Bedrohungsindikatoren für dieses Konto aktiv beobachtet wurden. |
msg.trafficType |
Anbieterspezifische zusätzliche Felder. | |
queryEndTime |
metadata.collected_timestamp |
Der Zeitpunkt, zu dem der Zeitraum für die Datenabfrage endete. |
sender_domain |
principal.domain.name |
Wird aus messagesBlocked[].fromAddress oder messagesDelivered[].fromAddress extrahiert und besteht aus dem Domainnamen des Absenders. |
Logfelder im Syslog-Format
| Logfeld | UDM-Feld | Beschreibung |
|---|---|---|
a |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
action |
security_result.action,security_result.action_details |
Enthält Aktionsdetails. |
active |
security_result.threat_status |
Der Bedrohungsstatus. |
adjust |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
adultscore |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
application |
principal.application |
Enthält Details zur Hauptanwendung. |
attachments |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
bits |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
bulkscore |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
campaignID |
security_result.rule_id |
Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden. |
ccAddresses |
intermediary.user.email_addresses |
Eine Liste der E‑Mail-Adressen, die im Header CC: enthalten sind. |
cid |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
cipher |
network.tls.cipher |
Enthält tls.cipher-Details. |
cipher_bits |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
class |
security_result.category,security_result.category_details |
Die Bedrohungskategorie der schädlichen URL. |
classifier |
security_result.category |
Die Kategorie der in der Nachricht gefundenen Bedrohung. |
clickIP |
security_result.about.ip, principal.ip,principal.asset.ip |
Die externe IP-Adresse des Nutzers, der auf den Link geklickt hat. Wenn sich der Nutzer hinter einer Firewall befindet, die eine Netzwerkadressübersetzung durchführt, wird die IP-Adresse der Firewall angezeigt. |
clickTime |
metadata.event_timestamp, wenn messageTime nicht vorhanden ist |
Der Zeitpunkt, zu dem der Nutzer auf die URL geklickt hat. |
cluster |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
clusterId |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
clx_result_group |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
clx_score |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
clx_shade |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
clxscore |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
cmd |
network.http.method, wenn STS nicht leer ist, andernfalls principal.process.command_line |
Wenn STS nicht leer ist, enthält es die HTTP-Methode, andernfalls enthält es Befehlszeilendetails. |
completelyRewritten |
security_result.action,security_result.detection_fields["completelyRewritten"] |
Der Überschreibungsstatus der Nachricht. Wenn der Wert true ist, wurden alle Instanzen von URL-Bedrohungen in der Nachricht erfolgreich umgeschrieben. Wenn der Wert false ist, wurde mindestens eine Instanz einer Bedrohungs-URL nicht umgeschrieben. Wenn der Wert na ist, enthielt die Nachricht keine URL-basierten Bedrohungen. |
corrupted |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
country |
principal.location.country_or_region |
Enthält Länderdetails. |
daemon |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
date_log |
metadata.event_timestamp, wenn messageTime, clickTime und threatTime nicht vorhanden sind |
Der im Syslog vorhandene Zeitstempel. |
date_log_rebase |
metadata.event_timestamp, wenn messageTime, clickTime und threatTime nicht vorhanden sind |
Der im Syslog vorhandene Zeitstempel. |
default |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
definitions |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
delay |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
dict |
security_result.category_details |
Enthält category_details. |
dnsid |
network.dns.id |
Enthält DNS-ID-Details. |
domain |
principal.administrative_domain |
Enthält administrative_domain-Details. |
dsn |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
duration |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
eid |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
elapsed |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
engine |
metadata.product_version |
Enthält product_version-Details. |
envid |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
err |
security_result.description |
eine Beschreibung |
evt |
extensions.auth.auth_details |
Authentifizierungsdetails. |
expires |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
file |
about.process.file.full_path |
Enthält Details zum vollständigen Dateipfad. |
from |
network.email.from |
Enthält die E-Mail-Adresse des Absenders. |
fromAddress |
network.email.from |
Die im From:-Header enthaltene E‑Mail-Adresse. |
guid |
metadata.product_log_id |
Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig. |
hdr_mid |
network.email.mail_id |
Enthält mail_id-Details. |
headerFrom |
additional.fields["headerFrom"] |
Der vollständige Inhalt des Headers From:, einschließlich des Anzeigenamens. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Falls vorhanden, der vollständige Inhalt des Headers Reply-To:. |
headerTo |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
helo |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
hfrom |
network.email.from |
Enthält die E‑Mail-Adresse des Absenders. |
hfrom_domain |
principal.administrative_domain |
Enthält die administrative_domain-Details. |
hops-ip |
intermediary.ip |
Enthält die IP-Adresse des Vermittlers. |
host |
principal.hostname |
Enthält Hostnamendetails. |
id |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
id |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
impostor_score |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
impostorScore |
security_result.detection_fields |
Der Impostor-Score der Nachricht. |
inter_host |
intermediary.hostname |
Enthält Details zum Hostnamen des Zwischenhosts. |
intermediary_hostname |
intermediary.hostname |
Enthält den Hostnamen des Vermittlers. |
intermediary_ip |
intermediary.ip |
Enthält die IP-Adresse des Vermittlers. |
ip |
principal.ip,principal.asset.ip |
Enthält die IP-Adresse des Absenders |
len |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
lint |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
lip |
intermediary.ip |
Enthält die IP-Adresse des Vermittlers. |
log_level |
security_result.severity |
Enthält Details zum Schweregrad. |
lowpriorityscore |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
m |
network.email.mail_id |
Enthält mail_id-Details. |
mailer |
network.application_protocol |
Enthält application_protocol-Details. |
malwareScore |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
messageID |
network.email.mail_id |
Die Nachrichten-ID, die aus den Headern der E‑Mail-Nachricht extrahiert wurde. |
messageParts[].contentType |
about.file.mime_type |
Der MIME-Typ der Datei. |
messageParts[].disposition |
additional.fields["disposition "] |
Wie der Nachrichtenteil verarbeitet wird (z. B. angehängt, inline). Dynamisch indexiert. |
messageParts[].filename |
about.file.full_path |
Der Name der Datei oder des Anhangs. |
messageParts[].md5 |
about.file.md5 |
Der MD5-Hash des Nachrichtenteils bzw. der Datei. |
messageParts[].oContentType |
additional.fields["oContentType "] |
Der deklarierte Inhaltstyp des messagePart. |
messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Der Status der Dateianalyse in der Sandbox. |
messageParts[].sha256 |
about.file.sha256 |
Der SHA256-Hash des Nachrichtenteils oder der Datei. |
messageTime |
metadata.event_timestamp |
Wann die Nachricht an den Nutzer zugestellt oder von PPS in Quarantäne verschoben wurde. |
mime |
principal.process.file.mime_type |
Enthält Details zur Datei mime_type. |
mlxscore |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
mod |
network.application_protocol |
Enthält application_protocol-Details. |
module |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
modulesRun |
security_result.detection_fields |
Die Liste der PPS-Module, die die Nachricht verarbeitet haben. |
modulesRun |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
msg |
security_result.description |
eine Beschreibung |
msghold_response |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
msgid |
network.email.mail_id |
Enthält mail_id-Details. |
msgs |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
name |
about.process.file.full_path |
Enthält den vollständigen Pfad der Datei. |
notroutes |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
nrcpts |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
path |
principal.url |
Enthält URL-Details. |
phishscore |
security_result.detection_fields |
Der Phishing-Score der Nachricht. |
pid |
principal.process.pid |
Enthält PID-Details. |
policy |
network.direction |
Beschreibt den Netzwerkfluss. Enthält den Wert für eingehend/ausgehend. |
pri |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
principal_hostname |
principal.hostname,principal.asset.hostname |
Enthält Details zum Hostnamen des Hauptkontos. |
principal_ip_1 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_2 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_3 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_4 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_5 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_6 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_7 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_8 |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Hauptkontos. |
principal_ip_port_1 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_ip_port_2 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_ip_port_3 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_ip_port_4 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_ip_port_5 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_ip_port_6 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_ip_port_7 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_ip_port_8 |
principal.resource.attribute.labels |
Enthält Details zum Hauptport. |
principal_pid |
principal.process.pid |
Erfasst die Prozess-PID. |
priority_score |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
priorityscore |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
profile |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
prot |
network.application_protocol |
Enthält application_protocol-Details. |
protected |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
proto |
network.application_protocol |
Enthält application_protocol-Details. |
pss |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
qid |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
quarantineFolder |
security_result.priority |
Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält. |
quarantineRule |
security_result.rule_name |
Der Name der Regel, durch die die Nachricht unter Quarantäne gestellt wurde. |
query |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
querydepth |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
rcode |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
rcpt |
network.email.to | Enthält die E‑Mail-Adresse des Empfängers. |
rcpts |
network.email.to | Enthält die E‑Mail-Adresse des Empfängers |
reason |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
recipient |
target.user.email_addresses |
Enthält Details zur E‑Mail-Adresse des Empfängers. |
reject |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
reply |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
replyToAddress |
network.email.reply_to | Die im Reply-To:-Header enthaltene E‑Mail-Adresse. |
resolve |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
restquery_stage |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
result |
security_result.action |
Enthält Aktionsdetails. |
result |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
result_detail |
security_result.description |
Enthält eine Beschreibung. |
reverse |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
routes |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
rss |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
rule |
security_result.rule_name |
Enthält die rule_name. |
s |
network.session_id |
Enthält session_id-Details. |
scancount |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
scope |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
score |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
selector |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
sender |
principal.user.email_addresses |
Enthält Details zur E‑Mail-Adresse des Absenders. |
senderIP |
principal.ip,principal.assest.ip |
Enthält Details zur IP-Adresse des Absenders. |
sendmail_queue_id |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
sha256 |
security_result.about.file.sha256 |
Die SHA256-Dateidetails. |
size |
principal.process.file.size` | Enthält Details zur Dateigröße. |
smtputf8 |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
spamscore |
security_result.detection_fields |
Der Spam-Score der Nachricht. |
src_host |
principal.hostname,principal.asset.hostname |
Enthält Details zum Hostnamen des Hauptkontos. |
STARTTLS |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
stat |
additional.fields |
Enthält Statusdetails. |
status |
additional.fields |
Enthält Statusdetails. |
sts |
network.http.response_code |
Enthält die response_code-Daten. |
subject |
network.email.subject |
Enthält die email.subject. |
subject |
network.email.subject |
Enthält Details zum E-Mail-Betreff. |
suspectscore |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
sys |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
sz |
principal.process.file.size |
Enthält Details zur Dateigröße. |
tests |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
threat |
security_result.about.url, wenn threatType url ist,security_result.about.file.sha256, wenn threatType attachment ist,security_result.about.resource.name, wenn threatType messageText ist,result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"] |
|
threatID |
security_result.threat_id |
Enthält Details zur Bedrohungs-ID. |
threatsInfoMap[].campaignID |
security_result1.rule_id |
Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden. |
threatsInfoMap[].classification |
security_result.categorysecurity_result.category_details |
Die Kategorie der in der Nachricht gefundenen Bedrohung. |
threatsInfoMap[].threat |
security_result.about.url, wenn threatType url ist,security_result.about.file.sha256, wenn threatType attachment ist,security_result.about.resource.name, wenn threatType messageText ist,result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatsInfoMap[].threatType,security_result.about.resource.name andernfalls,security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"] |
Ein Array von Strukturen, die Details zu erkannten Bedrohungen in der Nachricht enthalten. Pro Nachricht kann es mehr als eine Bedrohung geben. |
threatsInfoMap[].threatID |
security_result.threat_id |
Enthält Details zur Bedrohungs-ID. |
threatsInfoMap[].threatStatus |
security_result.threat_status |
Der aktuelle Status der Bedrohung. |
threatsInfoMap[].threatTime |
metadata.event_timestamp, wenn messageTime und clickTime nicht vorhanden sindsecurity_result.detection_fields |
|
threatsInfoMap[].threatType |
security_result.about.url, wenn threatType url istsecurity_result.about.file.sha256, wenn threatType attachment istsecurity_result.about.resource.name, wenn threatType messageText istresult.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatsInfoMap[].threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"] |
Ein Array von Strukturen, die Details zu erkannten Bedrohungen in der Nachricht enthalten. Pro Nachricht kann es mehr als eine Bedrohung geben. |
threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung. |
threatStatus |
security_result.threat_status |
Der aktuelle Status der Bedrohung. |
threatTime |
metadata.event_timestamp, wenn messageTime und clickTime nicht vorhanden sind |
Der Zeitpunkt, zu dem Proofpoint die URL als Bedrohung identifiziert hat. |
threatType |
security_result.about.url, wenn threatType url ist,security_result.about.file.sha256, wenn threatType attachment ist,security_result.about.resource.name, wenn threatType messageText ist,result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"] |
|
threatURL |
security_result.url_back_to_product |
Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung. |
threshold |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
tls |
network.tls.cipher |
Enthält tls.cipher-Details. |
tls-alert |
security_result.description |
Beschreibung |
tls_verify |
security_result.action |
Enthält Bestätigungsdetails. |
tls_version |
network.tls.version |
Enthält Details zur TLS-Version. |
to |
network.email.to |
Enthält die E‑Mail-Adresse des Empfängers. |
toAddresses |
network.email.to |
Eine Liste der E‑Mail-Adressen, die im Header To: enthalten sind. |
token |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
ts |
metadata.event_timestamp, wenn messageTime, clickTime und threatTime nicht vorhanden sind |
Der im Syslog vorhandene Zeitstempel. |
type |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
uri |
principal.url |
Enthält URL-Details. |
url_count |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Der HTTP-User-Agent. |
value |
network.email.from |
Enthält die E‑Mail-Adresse des Absenders. |
vendor |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
verify |
security_result.action |
Enthält Bestätigungsdetails. |
version |
network.tls.version |
Enthält Details zur TLS-Version. |
virtual |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
virusthreat |
security_result.threat_name |
Enthält Details zum Bedrohungsnamen. |
virusthreatid |
security_result.threat_id |
Enthält Details zur Bedrohungs-ID. |
warn |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
x |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
X-Proofpoint-Spam-Details |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
xdelay |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
xmailer |
security_result.detection_fields |
Der Inhalt des Headers X-Mailer:, falls vorhanden, oder anbieterspezifische Felder zur Sicherheitserkennung. |
CEF-Logfelder
| Logfeld | UDM-Feld | Beschreibung |
|---|---|---|
cluster |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
file_hash |
principal.file.md5 |
Enthält MD5-Details zur Datei. |
file_name |
principal.file.full_path |
Enthält den Pfad. |
GUID |
metadata.product_log_id |
Enthält die product_log_id. |
guid |
metadata.product_log_id |
Enthält die product_log_id. |
headerFrom |
additional.fields |
Der vollständige Inhalt des Headers From:. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Der vollständige Inhalt des Headers Reply-To:. |
host |
principal.hostname,principal.assest.hostname |
Enthält den Hostnamen des Hauptkontos. |
id |
additional.fields |
Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können. |
id |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
impostorScore |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
malwareScore |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
message_id |
network.email.mail_id |
Enthält mail_id-Details. |
messageParts_contentType |
principal.file.mime_type |
Stellt den MIME-Typ eines bestimmten Teils/einer bestimmten Komponente der E‑Mail-Nachricht dar. |
messageParts_disposition |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
messageParts_oContentType |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
messageParts_sandboxStatus |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
messageParts_sha256 |
principal.file.sha256 |
Enthält Details zu Datei 256. |
messageTime |
metadata.event_timestamp |
Der Zeitpunkt, zu dem die Nachricht an den Nutzer zugestellt oder von PPS in Quarantäne verschoben wurde. |
modulesRun |
security_result.detection_fields |
Die Liste der PPS-Module, die die Nachricht verarbeitet haben. |
modulesRun |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
orig_dest |
network.email.to |
Die E-Mail-Adresse im ursprünglichen SMTP-Envelope/Header, als die E-Mail das Gateway erreicht hat. |
orig_recipient |
target.user.email_addresses |
Die E-Mail-Adresse des Empfängers. |
orig_src |
network.email.from |
Die E‑Mail-Adresse der Quelle. |
policyRoutes |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
process_id |
principal.process.pid |
Enthält Details zur Prozess-PID. |
QID |
additional.fields |
Die Warteschlangen-ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist nicht eindeutig. |
quarantineFolder |
security_result.priority |
Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält. |
quarantineRule |
security_result.rule_name |
Der Name der Regel, durch die die Nachricht unter Quarantäne gestellt wurde. |
return_addr |
principal.user.email_addresses |
Die während des SMTP-Transports angegebene Envelope-Adresse (MAIL FROM). |
rt |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
sender |
principal.user.email_addresses |
Enthält die E‑Mail-Adresse des Absenders. |
src |
principal.ip,principal.asset.ip |
Enthält die Hauptkonto-IP-Adresse. |
stag |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
start |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
status_code |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
subject |
network.email.subject |
Enthält die email.subject. |
threatsInfoMap_campaignID |
security_result.rule_id |
Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden. |
threatsInfoMap_classification |
security_result.category,security_result.category_details |
Die Bedrohungskategorie der schädlichen URL. |
threatsInfoMap_detectionType |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
threatsInfoMap_threatID |
security_result.threat_id |
Enthält Details zur Bedrohungs-ID. |
threatsInfoMap_threatTime |
metadata.event_timestamp, wenn messageTime leer ist |
Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat. |
threatsInfoMap_threatTime |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
threatsInfoMap_threatType |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
threatsInfoMap_threatUrl |
security_result.url_back_to_product |
Enthält die URL, die zur Anzeige der Threat Intelligence, Sandbox-Analyse und forensischen Details von Proofpoint weiterleitet. |
threatStatistics_families_name0 |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
threatStatistics_families_score0 |
security_result.detection_fields |
Anbieterspezifische Felder für die Sicherheitserkennung. |
url |
security_result.about.url |
Die tatsächliche verdächtige/schädliche URL. |
version |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
vip |
additional.fields |
Anbieterspezifische zusätzliche Felder. |
xmailer |
security_result.detection_fields |
Der Inhalt des Headers X-Mailer:, falls vorhanden, oder anbieterspezifische Felder zur Sicherheitserkennung. |
Referenz zu Delta-Änderungen bei der UDM-Zuordnung
Am 9. September 2025 hat Google SecOps eine neue Version des Proofpoint TAP-Benachrichtigungsparsers veröffentlicht. Diese enthält wesentliche Änderungen an der Zuordnung von Proofpoint TAP-Benachrichtigungslogfeldern zu UDM-Feldern und Aktualisierungen der Ereignistypklassifizierungen (Zuordnungen).
Delta der Logfeldzuordnung
In der folgenden Tabelle sehen Sie, wie sich die Zuordnung der Logfelder für Proofpoint TAP-Benachrichtigungen zu UDM-Feldern geändert hat. In der Spalte Alte Zuordnung sind die Felder aufgeführt, die vor dem 9. September 2025 verfügbar waren, und in der Spalte Aktuelle Zuordnung die neuen Felder.
| Logfeld | Alte Zuordnung | Aktuelle Zuordnung |
|---|---|---|
clicks.impostorScore |
additional.fields |
security_result.detection_fields |
clicks.malwareScore |
additional.fields |
security_result.detection_fields |
clicks.phishScore |
additional.fields |
security_result.detection_fields |
clicks.quarantineFolder |
additional.fields |
Wenn quarantineFolder gleich low priority oder high priority ist, wird es security_result.priority zugeordnet. Andernfalls wird security_result.detection_fields zugeordnet. |
clicks.quarantineRule |
additional.fields |
security_result.rule_name |
clicks.sender |
about.email |
Not Mapped |
clicks.senderIP |
about.ip |
principal.ip |
clicks.spamScore |
additional.fields |
security_result.detection_fields |
impostorScore |
additional.fields |
security_result.detection_fields |
malwareScore |
additional.fields |
security_result.detection_fields |
msg.impostorScore |
additional.fields |
security_result.detection_fields |
msg.malwareScore |
additional.fields |
security_result.detection_fields |
msg.phishScore |
additional.fields |
security_result.detection_fields |
msg.quarantineFolder |
additional.fields |
Wenn quarantineFolder gleich low priority oder high priority ist, wird es security_result.priority zugeordnet. Andernfalls wird security_result.detection_fields zugeordnet. |
msg.quarantineRule |
additional.fields |
security_result.rule_name |
msg.spamScore |
additional.fields |
security_result.detection_fields |
msgPart.contentType |
additional.fields |
Not Mapped |
partData.contentType |
principal.process.file.mime_type |
about.file.mime_type |
partData.disposition |
security_result.detection_fields |
additional.fields |
partData.filename |
principal.process.file.full_path |
about.file.full_path |
partData.md5 |
principal.process.file.md5 |
about.file.md5 |
partData.sha256 |
about.file.sha1 |
about.file.sha256 |
phishScore |
additional.fields |
security_result.detection_fields |
quarantineFolder |
additional.fields |
Wenn quarantineFolder gleich low priority oder high priority ist, wird es dem UDM-Feld security_result.priority zugeordnet. Andernfalls wird security_result.detection_fields zugeordnet. |
spamScore |
additional.fields |
security_result.detection_fields |
Delta der Ereignistypzuordnung
Mehrere Ereignisse, die zuvor als allgemeine Ereignisse klassifiziert wurden, werden jetzt mit aussagekräftigeren Ereignistypen klassifiziert.
In der folgenden Tabelle sind die Unterschiede bei der Verarbeitung von Proofpoint TAP-Benachrichtigungsereignistypen vor dem 9. September 2025 und danach aufgeführt (in den Spalten Alter event_type bzw. Aktueller event_type).
| Format | eventType aus Log | Alter event_type | Aktueller event_type |
|---|---|---|---|
SYSLOG+KV |
Wenn das Log die Felder fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts oder mailer,proto,mod enthält |
EMAIL_TRANSACTION |
|
Wenn das Protokoll nur mail_id-Details enthält |
EMAIL_TRANSACTION |
EMAIL_UNCATEGORIZED |
|
CEF-Logs |
eventname= messagesDelivered, messagesBlocked |
EMAIL_TRANSACTION |
|
wenn das Protokoll emails, sender, headerReplyTo, orig_recipient enthält |
USER_UNCATEGORIED |
||
wenn das Log src, host enthält |
STATUS_UPDATE |
||
SYSLOG+JSON |
eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked |
EMAIL_TRANSACTION |
|
JSON |
record.address |
USER_UNCATEGORIZED |
|
lookalikeDomain.name |
STATUS_UPDATE |
Änderungsprotokoll
Änderungsprotokoll für diesen Parser ansehen
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten