Protokolle für Proofpoint TAP-Benachrichtigungen erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Protokolle für Proofpoint Targeted Attack Protection-Warnungen (TAP) erfassen, indem Sie einen Google Security Operations-Feed einrichten.

Weitere Informationen finden Sie unter Google SecOps-Datenaufnahme.

Ein Erfassungslabel gibt den Parser an, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Aufnahme-Label PROOFPOINT_MAIL.

Proofpoint TAP-Benachrichtigungen konfigurieren

  1. Melden Sie sich mit Ihren Anmeldedaten im Proofpoint Threat Insight-Portal an.
  2. Wählen Sie auf dem Tab Einstellungen die Option Verbundene Anwendungen aus. Der Abschnitt Dienstanmeldedaten wird angezeigt.
  3. Klicken Sie im Abschnitt Name auf Neue Anmeldedaten erstellen.
  4. Geben Sie den Namen Ihrer Organisation ein, z. B. altostrat.com.
  5. Klicken Sie auf Generieren. Im Dialogfeld Generierte Dienstanmeldedaten werden die Werte Diensthauptkonto und Secret angezeigt.
  6. Kopieren Sie die Werte für Dienstprinzipal und Secret. Die Werte werden nur zum Zeitpunkt der Erstellung angezeigt und sind erforderlich, wenn Sie den Google Security Operations-Feed konfigurieren.
  7. Klicken Sie auf Fertig.

Feeds einrichten

So konfigurieren Sie den Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf das Proofpoint-Feedpaket.
  4. Suchen Sie den Protokolltyp Proofpoint Tap Alerts.

  5. Geben Sie die Werte für die folgenden Felder an:

    • Quelltyp: Drittanbieter-API
    • Nutzername: Geben Sie den Dienstprinzipal an, den Sie zuvor abgerufen haben.
    • Secret: Geben Sie das Secret an, das Sie zuvor erhalten haben.

    Erweiterte Optionen

    • Feedname: Ein vorab ausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
    • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  6. Klicken Sie auf Feed erstellen.

Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ. Wenn beim Erstellen von Feeds Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Referenz zur Feldzuordnung

Dieser Parser verarbeitet Proofpoint Mail-Logs im JSON- oder Schlüssel/Wert-Format und extrahiert Details zu E-Mail- und Netzwerkaktivitäten. Es ordnet Logfelder dem UDM zu, kategorisiert Ereignisse wie E-Mail-Transaktionen und HTTP-Netzwerkanfragen und reichert sie mit Sicherheitsdetails wie Aktionen, Kategorien und Bedrohungsinformationen an.

Beschränkungen

Bei der Analyse von PROOFPOINT_MAIL-Protokollen sehen Sie möglicherweise Ereignisse mit historischen Zeitstempeln, obwohl die Daten in Echtzeit erfasst werden. Dieses Verhalten ist in der Proofpoint API und nicht in der Google SecOps-Aufnahmepipeline enthalten. Auch wenn Google SecOps nach der letzten Aktivität sucht, kann die Proofpoint API Ereignisse zurückgeben, die mehrere Tage zuvor aufgetreten sind. Bei dem Logtyp PROOFPOINT_MAIL sind Abweichungen zwischen event_timestamp und ingestion_time zu erwarten, da Proofpoint Ereignisdaten puffert und freigibt. Weitere Informationen finden Sie in der Dokumentation zu Proofpoint-Ereigniszeitstempeln.

UDM-Zuordnungstabellen

In den folgenden Tabellen sind die Zuordnungen der Rohlogfelder für Proofpoint TAP-Benachrichtigungen zu UDM-Feldern aufgeführt, kategorisiert nach Format.

Logfeld UDM-Feld Beschreibung
clicksBlocked[].classification security_result.category,
security_result.category_details		 Die Klassifizierung der Bedrohung, z. B. malware oder phish.
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 Die IP-Adresse des Nutzers, der auf die URL geklickt hat.
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Der Zeitstempel des Klicks.
clicksBlocked[].GUID metadata.product_log_id Die eindeutige Kennung für das Click-Event.
clicksBlocked[].guid metadata.product_log_id Die eindeutige Kennung für das Click-Event.
clicksBlocked[].id additional.fields["id"] Die eindeutige Klick-ID.
clicksBlocked[].messageID network.email.mail_id Die ursprüngliche E‑Mail-Nachrichten-ID.
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 Die E‑Mail-Adresse des Empfängers.
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 Die E‑Mail-Adresse des Absenders. Der Nutzerteil wird gehasht. Der Domain-Teil ist Klartext.
clicksBlocked[].senderIP principal.ip Die IP-Adresse des ursprünglichen Absenders.
clicksBlocked[].threatID security_result.threat_id Die Kennung für die erkannte Bedrohung.
clicksBlocked[].threatStatus security_result.threat_status Der Status der Bedrohung (Active, Cleared usw.).
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 Der Zeitpunkt, zu dem Proofpoint den threatStatus zugewiesen hat.
clicksBlocked[].threatUrl security_result.url_back_to_product Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung.
clicksBlocked[].url target.url,
security_result.about.url		 Die schädliche URL, auf die geklickt wurde.
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 Der User-Agent des Clients, der den Klick ausführt.
clicksPermitted[].classification security_result.category,
security_result.category_details		 Die Klassifizierung der Bedrohung, z. B. malware oder phish.
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 Die IP-Adresse des Nutzers, der auf die URL geklickt hat.
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Der Zeitstempel des Klicks.
clicksPermitted[].GUID metadata.product_log_id Die eindeutige Kennung für das Click-Event.
clicksPermitted[].guid metadata.product_log_id Die eindeutige Kennung für das Click-Event.
clicksPermitted[].id additional.fields["id"] Die eindeutige Klick-ID.
clicksPermitted[].messageID network.email.mail_id Die ursprüngliche E‑Mail-Nachrichten-ID.
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 Die E‑Mail-Adresse des Empfängers.
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 Die E‑Mail-Adresse des Absenders. Der Nutzerteil wird gehasht. Der Domain-Teil ist Klartext.
clicksPermitted[].senderIP principal.ip Die IP-Adresse des ursprünglichen Absenders.
clicksPermitted[].threatID security_result.threat_id Die Kennung für die erkannte Bedrohung.
clicksPermitted[].threatStatus security_result.threat_status Der Status der Bedrohung (z. B. „Aktiv“ oder „Behoben“).
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat.
clicksPermitted[].threatUrl security_result.url_back_to_product Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung.
clicksPermitted[].url target.url,
security_result.about.url		 Die schädliche URL, auf die geklickt wurde.
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 Der User-Agent des Clients, der den Klick ausführt.
Logfeld UDM-Feld Beschreibung
messagesBlocked[].ccAddresses intermediary.user.email_addresses Eine Liste der E‑Mail-Adressen, die im CC:-Header enthalten sind.
messagesBlocked[].cluster additional.fields["cluster"] Der spezifische Proofpoint-Cluster für die E-Mail-Verarbeitung (oder die Mandantenbereitstellung), der das E-Mail-Ereignis verarbeitet hat.
messagesBlocked[].clusterId additional.fields Der Name des PPS-Clusters, der die Nachricht verarbeitet hat.
messagesBlocked[].fromAddress principal.user.email_addresses,
network.email.from, wenn messagesBlocked[].sender nicht vorhanden ist		 Die E-Mail-Adresse im From:-Header ohne den Anzeigenamen.
messagesBlocked[].guid metadata.product_log_id Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig.
messagesBlocked[].GUID metadata.product_log_id Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig.
messagesBlocked[].headerCC additional.fields["headerCC "] Enthält Details zu headerCC.
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] Wenn vorhanden, der vollständige Inhalt des Reply-To:-Headers, einschließlich aller Anzeigenamen.
messagesBlocked[].id additional.fields["id"] Enthält Details zur Nachrichten-ID.
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] Die Wahrscheinlichkeit, dass es sich bei der Nachricht um Betrug handelt.
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] Der Malware-Score der Nachricht.
messagesBlocked[].messageID network.email.mail_id Die Nachrichten-ID, die aus den Headern der E‑Mail-Nachricht extrahiert wurde. Sie kann verwendet werden, um die zugehörige Nachricht in PPS zu suchen, und ist eindeutig.
messagesBlocked[].messageParts[].contentType about.file.mime_type Der MIME-Typ der Datei.
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] Wie der Nachrichtenteil behandelt wird (z. B. als Anhang oder Inline). Dynamisch indexiert.
messagesBlocked[].messageParts[].md5 about.file.md5 Der MD5-Hash des Nachrichtenteils bzw. der Datei.
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] Der deklarierte Inhaltstyp von messagePart.
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Der Status der Dateianalyse in der Sandbox.
messagesBlocked[].messageParts[].sha256 about.file.sha256 Der SHA256-Hash des Nachrichtenteils bzw. der Datei.
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path Der Name der Datei oder des Anhangs.
messagesBlocked[].messageSize additional.fields["messageSize"] Die Größe der Nachricht in Byte, einschließlich Headern und Anhängen.
messagesBlocked[].messageTime metadata.event_timestamp Wann die Nachricht an den Nutzer gesendet oder von PPS in Quarantäne verschoben wurde.
messagesBlocked[].modulesRun additional.fields["modulesRun"] Die Liste der PPS-Module, die die Nachricht verarbeitet haben.
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] Die Phishing-Punktzahl der Nachricht.
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] Die Richtlinienrouten, die der Nachricht während der Verarbeitung durch PPS entsprochen haben.
messagesBlocked[].QID additional.fields["QID"] Die Warteschlangen-ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, ist aber nicht eindeutig.
messagesBlocked[].quarantineFolder security_result.priority, wenn messagesBlocked[].quarantineFolder „Niedrige Priorität“ oder „Hohe Priorität“ ist,
security_result.detection_fields ["quarantineFolder"] andernfalls		 Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält.
messagesBlocked[].recipient network.email.to Ein Array mit den E‑Mail-Adressen der Empfänger.
messagesBlocked[].replyToAddress network.email.reply_to, wenn es sich um eine gültige E‑Mail-Adresse handelt,
additional.fields["replyTo"] andernfalls		 Die E‑Mail-Adresse im Reply-To:-Header.
messagesBlocked[].sender network.email.from Die E‑Mail-Adresse des Absenders.
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 Die E‑Mail-Adresse des Absenders.
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] Die Spam-Punktzahl der Nachricht.
messagesBlocked[].subject network.email.subject Der Betreff der E‑Mail.
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] Ein Array mit internen IDs von untergeordneten Organisationen, die den Empfängern zugewiesen sind.
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] Die interne ID der untergeordneten Organisation, die dem Absender zugewiesen ist.
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id Eine Kennung für die Kampagne, zu der die Bedrohung gehört, sofern zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden.
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id Eine Kennung für die Kampagne, zu der die Bedrohung gehört, sofern zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden.
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Die Kategorie der in der Nachricht gefundenen Bedrohung.
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 Der Status der Überarbeitung der Nachricht. Wenn der Wert true ist, wurden alle Instanzen von URL-Bedrohungen in der Nachricht erfolgreich neu geschrieben. Wenn der Wert false ist, wurde mindestens eine Instanz einer Bedrohungs-URL nicht neu geschrieben. Wenn der Wert na ist, enthielt die Nachricht keine URL-basierten Bedrohungen.
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields Der Antwort wurden die neuen Felder detectionType und ThreatInfo hinzugefügt.
messagesBlocked[].threatsInfoMap[].threat security_result.about.url, wenn threatTypeurl ist,
security_result.about.file.sha256, wenn attachment
security_result.about.resource.name, wenn messageText
result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatType
security_result.about.resource.name
security_result.about.resource.attribute.labels		 Ob es sich bei der Bedrohung um einen Anhang, eine URL oder einen Nachrichtentyp handelte.
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id Die eindeutige Kennung, die mit dieser Bedrohung verknüpft ist. Sie kann verwendet werden, um die Endpunkte für Forensik und Kampagnen abzufragen.
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Ein Array mit Strukturen, die Details zur ID des Akteurs enthalten.
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Ein Array mit Strukturen, die Details zur ID des Akteurs enthalten.
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Ein Array mit Strukturen, die Details zur ID des Akteurs enthalten.
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status Der aktuelle Status der Bedrohung.
messagesBlocked[].threatsInfoMap[].threatTime metadata.event_timestamp, falls messagesBlocked[].messageTime nicht vorhanden ist,
security_result.detection_fields		 Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat.
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name Ein String, der angibt, welcher Bedrohungstyp in den Daten zurückgegeben wird.
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product Ein Link zum Eintrag zur Bedrohung im TAP-Dashboard.
messagesBlocked[].toAddresses target.user.email_addresses Eine Liste der E‑Mail-Adressen, die im To:-Header enthalten sind.
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] Der Inhalt des Headers X-Mailer:.
messagesDelivered[].ccAddresses intermediary.user.email_addresses Eine Liste der E‑Mail-Adressen, die im CC:-Header enthalten sind.
messagesDelivered[].cluster additional.fields["cluster"] Der spezifische Proofpoint-Cluster für die E-Mail-Verarbeitung (oder die Mandantenbereitstellung), der das E-Mail-Ereignis verarbeitet hat.
messagesDelivered[].clusterId additional.fields Der Name des PPS-Clusters, der die Nachricht verarbeitet hat.
messagesDelivered[].fromAddress principal.user.email_addresses,
network.email.from, wenn messagesDelivered[].sender nicht vorhanden ist		 Die E-Mail-Adresse im From:-Header ohne den Anzeigenamen.
messagesDelivered[].GUID metadata.product_log_id Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig.
messagesDelivered[].guid metadata.product_log_id Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig.
messagesDelivered[].headerCC additional.fields["headerCC "] Enthält Details zu headerCC.
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] Wenn vorhanden, der vollständige Inhalt des Reply-To:-Headers, einschließlich aller Anzeigenamen.
messagesDelivered[].id additional.fields["id "] Enthält Details zur Nachrichten-ID.
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] Die Wahrscheinlichkeit, dass es sich bei der Nachricht um Betrug handelt.
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] Der Malware-Score der Nachricht.
messagesDelivered[].messageID network.email.mail_id Die Nachrichten-ID, die aus den Headern der E‑Mail-Nachricht extrahiert wurde. Sie kann verwendet werden, um die zugehörige Nachricht in PPS zu suchen, ist aber nicht eindeutig.
messagesDelivered[].messageParts[].contentType about.file.mime_type Der MIME-Typ der Datei.
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] Wie der Nachrichtenteil behandelt wird (z. B. als Anhang oder Inline). Dynamisch indexiert.
messagesDelivered[].messageParts[].md5 about.file.md5 Der MD5-Hash des Nachrichtenteils bzw. der Datei.
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] Der deklarierte Inhaltstyp von messagePart.
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Der Status der Dateianalyse in der Sandbox.
messagesDelivered[].messageParts[].sha256 about.file.sha256 Der SHA256-Hash des Nachrichtenteils bzw. der Datei.
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path Der Name der Datei oder des Anhangs.
messagesDelivered[].messageSize additional.fields["messageSize"] Die Größe der Nachricht in Byte, einschließlich Headern und Anhängen.
messagesDelivered[].messageTime metadata.event_timestamp Wann die Nachricht an den Nutzer gesendet oder von PPS in Quarantäne verschoben wurde.
messagesDelivered[].modulesRun additional.fields["modulesRun"] Die Liste der PPS-Module, die die Nachricht verarbeitet haben.
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] Die Phishing-Punktzahl der Nachricht.
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] Die Richtlinienrouten, die der Nachricht während der Verarbeitung durch PPS entsprochen haben.
messagesDelivered[].QID additional.fields["QID"] Die Warteschlangen-ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, ist aber nicht eindeutig.
messagesDelivered[].quarantineFolder security_result.priority, wenn messagesDelivered[].quarantineFolder „Niedrige Priorität“ oder „Hohe Priorität“ ist,
security_result.detection_fields ["quarantineFolder"] andernfalls		 Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält.
messagesDelivered[].recipient network.email.to Ein Array mit den E‑Mail-Adressen der Empfänger.
messagesDelivered[].replyToAddress network.email.reply_to, wenn es sich um eine gültige E‑Mail-Adresse handelt,
additional.fields ["replyTo"] andernfalls		 Die E‑Mail-Adresse im Reply-To:-Header.
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 Die E‑Mail-Adresse des Absenders.
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] Die Spam-Punktzahl der Nachricht.
messagesDelivered[].subject network.email.subject Der Betreff der E‑Mail.
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] Ein Array mit internen IDs der untergeordneten Organisationen, die den Empfängern zugewiesen sind.
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] Die interne ID der untergeordneten Organisation, die dem Absender zugewiesen ist
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id Eine Kennung für die Kampagne, zu der die Bedrohung gehört, sofern zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden.
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id Eine Kennung für die Kampagne, zu der die Bedrohung gehört, sofern zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden.
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Die Kategorie der in der Nachricht gefundenen Bedrohung.
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 Der Status der Überarbeitung der Nachricht. Wenn der Wert true ist, wurden alle Instanzen von URL-Bedrohungen in der Nachricht erfolgreich neu geschrieben. Wenn der Wert false ist, wurde mindestens eine Instanz einer Bedrohungs-URL nicht neu geschrieben. Wenn der Wert na ist, enthielt die Nachricht keine URL-basierten Bedrohungen.
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields Der Antwort wurden die neuen Felder detectionType und ThreatInfo hinzugefügt.
messagesDelivered[].threatsInfoMap[].threat security_result.about.url, wenn threatTypeurl ist,
security_result.about.file.sha256, wenn threatTypeattachment ist,
security_result.about.resource.name, wenn threatTypemessageText ist,
security_result.about.resource.name andernfalls,
result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Ob es sich bei der Bedrohung um einen Anhang, eine URL oder einen Nachrichtentyp handelte.
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id Die eindeutige Kennung, die mit dieser Bedrohung verknüpft ist. Sie kann verwendet werden, um die Endpunkte für Forensik und Kampagnen abzufragen.
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Ein Array mit Strukturen, die Details zur ID des Akteurs enthalten.
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Ein Array mit Strukturen, die Details zur ID des Akteurs enthalten.
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Ein Array mit Strukturen, die Details zur ID des Akteurs enthalten.
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status Der aktuelle Status der Bedrohung.
messagesDelivered[].threatsInfoMap[].threatTime metadata.event_timestamp, falls messagesDelivered[].messageTime nicht vorhanden ist,
security_result.detection_fields		 Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat.
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name Ein String, der angibt, welcher Bedrohungstyp in den Daten zurückgegeben wird.
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product Ein Link zum Eintrag zur Bedrohung im TAP-Dashboard.
messagesDelivered[].toAddresses target.user.email_addresses Eine Liste der E‑Mail-Adressen im To:-Header.
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] Der Inhalt des X-Mailer-Headers.
msg.accountType Anbieterspezifische Zusatzfelder.
msg.address principal.user.email_addresses Die spezifische E‑Mail-Adresse, die mit dem Konto verknüpft ist, das auf Bedrohungsaktivitäten überwacht oder ausgewertet wird.
msg.dashboardLink security_result.url_back_to_product Ein Link zum Dashboard „Threat Insight“.
msg.deliveredMessages Anbieterspezifische Zusatzfelder.
msg.eventTime metadata.event_timestamp, wenn messageTime und threatTime leer sind Der genaue UTC-Zeitstempel, zu dem diese Bedrohungsbeobachtung oder dieses Logereignis generiert wurde.
msg.highRisk security_result.action Ein boolesches Flag (wahr/falsch), das angibt, ob Proofpoint dieses Konto als mit einem erhöhten Sicherheitsrisiko oder Kompromissniveau klassifiziert.
msg.identity Anbieterspezifische Zusatzfelder.
msg.maliciousMessages Anbieterspezifische Zusatzfelder.
msg.observations[] additional.fields["observations"] Eine Liste mit spezifischen Verhaltens-Tags für Threat Intelligence oder Anomalieindikatoren, die von Proofpoint-Algorithmen gekennzeichnet wurden.
msg.timeRanges[].end additional.fields Ein Array von Zeiträumen, in denen verdächtiges Verhalten oder Bedrohungsindikatoren für dieses Konto aktiv beobachtet wurden.
msg.timeRanges[].falsePositive additional.fields Ein Array von Zeiträumen, in denen verdächtiges Verhalten oder Bedrohungsindikatoren für dieses Konto aktiv beobachtet wurden.
msg.timeRanges[].start,msg additional.fields Ein Array von Zeiträumen, in denen verdächtiges Verhalten oder Bedrohungsindikatoren für dieses Konto aktiv beobachtet wurden.
msg.trafficType Anbieterspezifische Zusatzfelder.
queryEndTime metadata.collected_timestamp Der Zeitpunkt, zu dem der Zeitraum, für den Daten abgefragt wurden, endete.
sender_domain principal.domain.name Wird aus messagesBlocked[].fromAddress oder messagesDelivered[].fromAddress extrahiert und besteht aus dem Domainnamen des Absenders.

Logfelder im Syslog-Format

Logfeld UDM-Feld Beschreibung
a additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
action security_result.action,
security_result.action_details		 Enthält Details zur Aktion.
active security_result.threat_status Der Status der Bedrohung.
adjust additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
adultscore additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
application principal.application Enthält die wichtigsten Anwendungsdetails.
attachments additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
bits additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
bulkscore additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
campaignID security_result.rule_id Eine Kennung für die Kampagne, zu der die Bedrohung gehört, falls zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden.
ccAddresses intermediary.user.email_addresses Eine Liste der E‑Mail-Adressen, die im CC:-Header enthalten sind.
cid additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
cipher network.tls.cipher Enthält Details zu tls.cipher.
cipher_bits additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
class security_result.category,
security_result.category_details		 Die Bedrohungskategorie der schädlichen URL.
classifier security_result.category Die Kategorie der in der Nachricht gefundenen Bedrohung.
clickIP security_result.about.ip, principal.ip,
principal.asset.ip		 Die externe IP-Adresse des Nutzers, der auf den Link geklickt hat. Wenn sich der Nutzer hinter einer Firewall befindet, die Network Address Translation (NAT) ausführt, wird die IP-Adresse der Firewall angezeigt.
clickTime metadata.event_timestamp, wenn messageTime nicht vorhanden ist Die Uhrzeit, zu der der Nutzer auf die URL geklickt hat.
cluster additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
clusterId additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
clx_result_group additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
clx_score additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
clx_shade additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
clxscore additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
cmd network.http.method, wenn STS nicht leer ist,
principal.process.command_line andernfalls		 Wenn STS nicht leer ist, enthält es die HTTP-Methode. Andernfalls enthält es Befehlszeilendetails.
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 Der Status der Überarbeitung der Nachricht. Wenn der Wert true ist, wurden alle Instanzen von URL-Bedrohungen in der Nachricht erfolgreich neu geschrieben. Wenn der Wert false ist, wurde mindestens eine Instanz einer Bedrohungs-URL nicht neu geschrieben. Wenn der Wert na ist, enthielt die Nachricht keine URL-basierten Bedrohungen.
corrupted additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
country principal.location.country_or_region Enthält Länderdetails.
daemon additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
date_log metadata.event_timestamp, wenn messageTime, clickTime und threatTime nicht vorhanden sind Der im Syslog vorhandene Zeitstempel.
date_log_rebase metadata.event_timestamp, wenn messageTime, clickTime und threatTime nicht vorhanden sind Der im Syslog vorhandene Zeitstempel.
default additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
definitions additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
delay additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
dict security_result.category_details Enthält category_details.
dnsid network.dns.id Enthält Details zur DNS-ID.
domain principal.administrative_domain Enthält Details zu administrative_domain.
dsn additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
duration additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
eid additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
elapsed additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
engine metadata.product_version Enthält Details zu product_version.
envid additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
err security_result.description eine Beschreibung
evt extensions.auth.auth_details Authentifizierungsdetails
expires additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
file about.process.file.full_path Enthält Details zum vollständigen Dateipfad.
from network.email.from Enthält die E-Mail-Adresse des Absenders.
fromAddress network.email.from Die E‑Mail-Adresse im From:-Header.
guid metadata.product_log_id Die ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, und ist immer eindeutig.
hdr_mid network.email.mail_id Enthält Details zu mail_id.
headerFrom additional.fields["headerFrom"] Der vollständige Inhalt des Headers From:, einschließlich eines Anzeigenamens.
headerReplyTo additional.fields["headerReplyTo"] Falls vorhanden, der vollständige Inhalt des Headers Reply-To:.
headerTo additional.fields Anbieterspezifische Zusatzfelder.
helo security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
hfrom network.email.from Enthält die E‑Mail-Adresse des Absenders.
hfrom_domain principal.administrative_domain Enthält die administrative_domain-Details.
hops-ip intermediary.ip Enthält die IP-Adresse des Vermittlers.
host principal.hostname Enthält Hostnamendetails.
id additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
id additional.fields Anbieterspezifische Zusatzfelder.
impostor_score security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
impostorScore security_result.detection_fields Die Wahrscheinlichkeit, dass es sich bei der Nachricht um Betrug handelt.
inter_host intermediary.hostname Enthält Details zum Hostnamen des Vermittlers.
intermediary_hostname intermediary.hostname Enthält den Hostnamen des Vermittlers.
intermediary_ip intermediary.ip Enthält die IP-Adresse des Vermittlers.
ip principal.ip,
principal.asset.ip		 Enthält die IP-Adresse des Absenders
len additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
lint security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
lip intermediary.ip Enthält die IP-Adresse des Vermittlers.
log_level security_result.severity Enthält Details zum Schweregrad.
lowpriorityscore additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
m network.email.mail_id Enthält Details zu mail_id.
mailer network.application_protocol Enthält Details zu application_protocol.
malwareScore security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
messageID network.email.mail_id Die Nachrichten-ID, die aus den Headern der E‑Mail-Nachricht extrahiert wurde.
messageParts[].contentType about.file.mime_type Der MIME-Typ der Datei.
messageParts[].disposition additional.fields["disposition "] Wie der Nachrichtenteil behandelt wird (z. B. als Anhang oder Inline). Dynamisch indexiert.
messageParts[].filename about.file.full_path Der Name der Datei oder des Anhangs.
messageParts[].md5 about.file.md5 Der MD5-Hash des Nachrichtenteils bzw. der Datei.
messageParts[].oContentType additional.fields["oContentType "] Der deklarierte Inhaltstyp von messagePart.
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Der Status der Dateianalyse in der Sandbox.
messageParts[].sha256 about.file.sha256 Der SHA256-Hash des Nachrichtenteils bzw. der Datei.
messageTime metadata.event_timestamp Wann die Nachricht an den Nutzer gesendet oder von PPS unter Quarantäne gestellt wurde.
mime principal.process.file.mime_type Enthält Details zur Datei mime_type.
mlxscore additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
mod network.application_protocol Enthält Details zu application_protocol.
module additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
modulesRun security_result.detection_fields Die Liste der PPS-Module, die die Nachricht verarbeitet haben.
modulesRun security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
msg security_result.description eine Beschreibung
msghold_response additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
msgid network.email.mail_id Enthält Details zu mail_id.
msgs additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
name about.process.file.full_path Enthält den vollständigen Pfad der Datei.
notroutes additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
nrcpts additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
path principal.url Enthält URL-Details.
phishscore security_result.detection_fields Die Phishing-Punktzahl der Nachricht.
pid principal.process.pid Enthält PID-Details.
policy network.direction Beschreibt den Netzwerkfluss. Enthält den Wert für eingehende/ausgehende Daten.
pri additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
principal_hostname principal.hostname,
principal.asset.hostname		 Enthält Details zum primären Hostnamen.
principal_ip_1 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_2 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_3 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_4 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_5 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_6 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_7 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_8 principal.ip,
principal.assest.ip		 Enthält Details zur Haupt-IP-Adresse.
principal_ip_port_1 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_ip_port_2 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_ip_port_3 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_ip_port_4 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_ip_port_5 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_ip_port_6 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_ip_port_7 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_ip_port_8 principal.resource.attribute.labels Enthält Details zum Hauptport.
principal_pid principal.process.pid Erfasst die Prozess-PID.
priority_score security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
priorityscore additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
profile additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
prot network.application_protocol Enthält Details zu application_protocol.
protected additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
proto network.application_protocol Enthält Details zu application_protocol.
pss additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
qid additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
quarantineFolder security_result.priority Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält.
quarantineRule security_result.rule_name Der Name der Regel, durch die die Nachricht unter Quarantäne gestellt wurde.
query additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
querydepth additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
rcode additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
rcpt network.email.to Enthält die E‑Mail-Adresse des Empfängers.
rcpts network.email.to Enthält die E‑Mail-Adresse des Empfängers
reason additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
recipient target.user.email_addresses Enthält E-Mail-Details zum Empfänger.
reject additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
reply additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
replyToAddress network.email.reply_to Die E‑Mail-Adresse im Reply-To:-Header.
resolve additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
restquery_stage additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
result security_result.action Enthält Details zur Aktion.
result additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
result_detail security_result.description Enthält eine Beschreibung.
reverse additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
routes additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
rss additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
rule security_result.rule_name Enthält die rule_name.
s network.session_id Enthält Details zu session_id.
scancount additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
scope additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
score additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
selector additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
sender principal.user.email_addresses Enthält E‑Mail-Details zum Absender.
senderIP principal.ip,
principal.assest.ip		 Enthält Details zur IP-Adresse des Absenders.
sendmail_queue_id additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
sha256 security_result.about.file.sha256 Die SHA256-Datei-Details.
size principal.process.file.size` Enthält Details zur Dateigröße.
smtputf8 additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
spamscore security_result.detection_fields Die Spam-Punktzahl der Nachricht.
src_host principal.hostname,
principal.asset.hostname		 Enthält Details zum primären Hostnamen.
STARTTLS additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
stat additional.fields Enthält Statusdetails.
status additional.fields Enthält Statusdetails.
sts network.http.response_code Enthält die response_code-Daten.
subject network.email.subject Enthält die email.subject.
subject network.email.subject Enthält Details zum E‑Mail-Betreff.
suspectscore additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
sys additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
sz principal.process.file.size Enthält Details zur Dateigröße.
tests additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
threat security_result.about.url, wenn threatType gleich url ist,
security_result.about.file.sha256, wenn threatType gleich attachment ist,
security_result.about.resource.name, wenn threatType gleich messageText ist,
result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"]
threatID security_result.threat_id Enthält Details zur Bedrohungs-ID.
threatsInfoMap[].campaignID security_result1.rule_id Eine Kennung für die Kampagne, zu der die Bedrohung gehört, sofern zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden.
threatsInfoMap[].classification security_result.category
security_result.category_details		 Die Kategorie der in der Nachricht gefundenen Bedrohung.
threatsInfoMap[].threat security_result.about.url, wenn threatType gleich url ist,
security_result.about.file.sha256, wenn threatType gleich attachment ist,
security_result.about.resource.name, wenn threatType gleich messageText ist,
result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatsInfoMap[].threatType
security_result.about.resource.name andernfalls
security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"]		 Ein Array von Strukturen, das Details zu erkannten Bedrohungen in der Nachricht enthält. Eine Nachricht kann mehrere Bedrohungen enthalten.
threatsInfoMap[].threatID security_result.threat_id Enthält Details zur Bedrohungs-ID.
threatsInfoMap[].threatStatus security_result.threat_status Der aktuelle Status der Bedrohung.
threatsInfoMap[].threatTime metadata.event_timestamp,wenn messageTime und clickTime nicht vorhanden sind
security_result.detection_fields
threatsInfoMap[].threatType security_result.about.url, wenn threatType gleich url ist
security_result.about.file.sha256, wenn threatType gleich attachment ist
security_result.about.resource.name, wenn threatType gleich messageText ist
result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatsInfoMap[].threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"]		 Ein Array von Strukturen, das Details zu erkannten Bedrohungen in der Nachricht enthält. Eine Nachricht kann mehrere Bedrohungen enthalten.
threatsInfoMap[].threatUrl security_result.url_back_to_product Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung.
threatStatus security_result.threat_status Der aktuelle Status der Bedrohung.
threatTime metadata.event_timestamp, wenn messageTime und clickTime nicht vorhanden sind Der Zeitpunkt, zu dem Proofpoint die URL als Bedrohung identifiziert hat.
threatType security_result.about.url, wenn threatType gleich url ist,
security_result.about.file.sha256, wenn threatType gleich attachment ist,
security_result.about.resource.name, wenn threatType gleich messageText ist,
result.about.resource.attribute.labels mit dem Wert Email und dem Schlüssel threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels mit dem Schlüssel ["threatType"]
threatURL security_result.url_back_to_product Ein Link zum Eintrag im TAP-Dashboard für die jeweilige Bedrohung.
threshold additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
tls network.tls.cipher Enthält Details zu tls.cipher.
tls-alert security_result.description Beschreibung angeben
tls_verify security_result.action Enthält Bestätigungsdetails.
tls_version network.tls.version Enthält Details zur TLS-Version.
to network.email.to Enthält die E‑Mail-Adresse des Empfängers.
toAddresses network.email.to Eine Liste der E‑Mail-Adressen, die im To:-Header enthalten sind.
token additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
ts metadata.event_timestamp, wenn messageTime, clickTime und threatTime nicht vorhanden sind Der im Syslog vorhandene Zeitstempel.
type additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
uri principal.url Enthält URL-Details.
url_count additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
userAgent network.http.user_agent,
network.http.parsed_user_agent		 Der HTTP-User-Agent.
value network.email.from Enthält die E‑Mail-Adresse des Absenders.
vendor additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
verify security_result.action Enthält Bestätigungsdetails.
version network.tls.version Enthält Details zur TLS-Version.
virtual additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
virusthreat security_result.threat_name Enthält Details zum Namen der Bedrohung.
virusthreatid security_result.threat_id Enthält Details zur Bedrohungs-ID.
warn additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
x additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
X-Proofpoint-Spam-Details additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
xdelay additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
xmailer security_result.detection_fields Der Inhalt des X-Mailer:-Headers, sofern vorhanden, oder anbieterspezifische Felder zur Sicherheitserkennung.

CEF-Logfelder

Logfeld UDM-Feld Beschreibung
cluster additional.fields Anbieterspezifische Zusatzfelder.
file_hash principal.file.md5 Enthält MD5-Details zur Datei.
file_name principal.file.full_path Enthält den Pfad.
GUID metadata.product_log_id Enthält die product_log_id.
guid metadata.product_log_id Enthält die product_log_id.
headerFrom additional.fields Der vollständige Inhalt des Headers From:.
headerReplyTo additional.fields["headerReplyTo"] Der vollständige Inhalt des Headers Reply-To:.
host principal.hostname,
principal.assest.hostname		 Enthält den Haupt-Hostname.
id additional.fields Zusätzliche Felder mit anbieterspezifischen Ereignisdaten, die in den formalen Abschnitten des UDM-Modells nicht angemessen dargestellt werden können.
id additional.fields Anbieterspezifische Zusatzfelder.
impostorScore security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
malwareScore security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
message_id network.email.mail_id Enthält Details zu mail_id.
messageParts_contentType principal.file.mime_type Stellt den MIME-Typ eines bestimmten Teils/einer bestimmten Komponente der E‑Mail-Nachricht dar.
messageParts_disposition additional.fields Anbieterspezifische Zusatzfelder.
messageParts_oContentType additional.fields Anbieterspezifische Zusatzfelder.
messageParts_sandboxStatus security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
messageParts_sha256 principal.file.sha256 Enthält Details zu Datei 256.
messageTime metadata.event_timestamp Die Uhrzeit, zu der die Nachricht an den Nutzer gesendet oder von PPS in Quarantäne verschoben wurde.
modulesRun security_result.detection_fields Die Liste der PPS-Module, die die Nachricht verarbeitet haben.
modulesRun security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
orig_dest network.email.to Die E‑Mail-Adresse im ursprünglichen SMTP-Umschlag/Header, als die E‑Mail das Gateway erreichte.
orig_recipient target.user.email_addresses Die E‑Mail-Adresse des Empfängers.
orig_src network.email.from Die E‑Mail-Adresse der Quelle.
policyRoutes additional.fields Anbieterspezifische Zusatzfelder.
process_id principal.process.pid Enthält Details zur Prozess-PID.
QID additional.fields Die Warteschlangen-ID der Nachricht in PPS. Sie kann verwendet werden, um die Nachricht in PPS zu identifizieren, ist aber nicht eindeutig.
quarantineFolder security_result.priority Der Name des Ordners, der die unter Quarantäne gestellte Nachricht enthält.
quarantineRule security_result.rule_name Der Name der Regel, durch die die Nachricht unter Quarantäne gestellt wurde.
return_addr principal.user.email_addresses Die während des SMTP-Transports angegebene Envelope-Adresse (MAIL FROM).
rt additional.fields Anbieterspezifische Zusatzfelder.
sender principal.user.email_addresses Enthält die E‑Mail-Adresse des Absenders.
src principal.ip,
principal.asset.ip		 Enthält die primäre IP-Adresse.
stag additional.fields Anbieterspezifische Zusatzfelder.
start additional.fields Anbieterspezifische Zusatzfelder.
status_code additional.fields Anbieterspezifische Zusatzfelder.
subject network.email.subject Enthält die email.subject.
threatsInfoMap_campaignID security_result.rule_id Eine Kennung für die Kampagne, zu der die Bedrohung gehört, sofern zum Zeitpunkt der Abfrage verfügbar. Bedrohungen können auch nach dem Abrufen dieser Ereignisse mit Kampagnen verknüpft werden.
threatsInfoMap_classification security_result.category,
security_result.category_details		 Die Bedrohungskategorie der schädlichen URL.
threatsInfoMap_detectionType security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
threatsInfoMap_threatID security_result.threat_id Enthält Details zur Bedrohungs-ID.
threatsInfoMap_threatTime metadata.event_timestamp, wenn messageTime leer ist Der Zeitpunkt, zu dem Proofpoint die threatStatus zugewiesen hat.
threatsInfoMap_threatTime security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
threatsInfoMap_threatType security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
threatsInfoMap_threatUrl security_result.url_back_to_product Enthält die URL, die zur Ansicht der Threat Intelligence, Sandbox-Analyse und forensischen Details von Proofpoint weiterleitet.
threatStatistics_families_name0 security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
threatStatistics_families_score0 security_result.detection_fields Anbieterspezifische Felder für die Sicherheitserkennung.
url security_result.about.url Die tatsächliche verdächtige/schädliche URL.
version additional.fields Anbieterspezifische Zusatzfelder.
vip additional.fields Anbieterspezifische Zusatzfelder.
xmailer security_result.detection_fields Der Inhalt des X-Mailer:-Headers, sofern vorhanden, oder anbieterspezifische Felder zur Sicherheitserkennung.

UDM-Zuordnungsdelta-Referenz

Am 9. September 2025 hat Google SecOps eine neue Version des Parsers für Proofpoint TAP-Benachrichtigungen veröffentlicht. Diese enthält wichtige Änderungen bei der Zuordnung von Proofpoint TAP-Benachrichtigungslogfeldern zu UDM-Feldern sowie Aktualisierungen der Klassifizierungen (Zuordnungen) von Ereignistypen.

Delta der Logfeldzuordnung

In der folgenden Tabelle sehen Sie die Änderungen bei der Zuordnung von Protokollfeldern für Proofpoint TAP-Benachrichtigungen zu UDM-Feldern. In der Spalte Alte Zuordnung sind die Felder aufgeführt, die vor dem 9. September 2025 verfügbar waren, und in der Spalte Aktuelle Zuordnung die neuen Felder.

Logfeld Alte Zuordnung Aktuelle Zuordnung
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields Wenn quarantineFolder gleich low priority oder high priority ist, ordnen Sie security_result.priority zu. Andernfalls ordnen Sie security_result.detection_fields zu.
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields Wenn quarantineFolder gleich low priority oder high priority ist, ordnen Sie security_result.priority zu. Andernfalls ordnen Sie security_result.detection_fields zu.
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields Wenn quarantineFolder gleich low priority oder high priority ist, ordnen Sie das UDM-Feld security_result.priority zu. Andernfalls ordnen Sie security_result.detection_fields zu.
spamScore additional.fields security_result.detection_fields

Delta der Zuordnung von Ereignistypen

Mehrere Ereignisse, die zuvor als allgemeine Ereignisse klassifiziert wurden, werden jetzt mit aussagekräftigeren Ereignistypen klassifiziert.

In der folgenden Tabelle ist das Delta für die Verarbeitung von Proofpoint TAP-Benachrichtigungsereignistypen vor dem 9. September 2025 und danach aufgeführt (in den Spalten Old event_type und Current event_type).

Format eventType aus dem Log Alter event_type Aktueller „event_type“
SYSLOG+KV Wenn die Felder fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts,mailer,proto oder mod im Log vorhanden sind EMAIL_TRANSACTION
Wenn das Log nur mail_id-Details enthält EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
CEF-Logs eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
wenn das Log emails, sender, headerReplyTo, orig_recipient enthält USER_UNCATEGORIED
wenn das Log src, host enthält STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten