Recopila registros de alertas de TAP de Proofpoint

Compatible con:

En este documento, se describe cómo puedes recopilar registros de alertas de Proofpoint Targeted Attack Protection (TAP) configurando un feed de Google Security Operations.

Para obtener más información, consulta Ingesta de datos de Google SecOps.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia PROOFPOINT_MAIL.

Configura las alertas de TAP de Proofpoint

  1. Accede al portal de estadísticas de amenazas de Proofpoint con tus credenciales.
  2. En la pestaña Configuración, selecciona Aplicaciones conectadas. Aparecerá la sección Credenciales de servicio.
  3. En la sección Nombre, haz clic en Crear credencial nueva.
  4. Escribe el nombre de tu organización, como altostrat.com.
  5. Haz clic en Generar. En el cuadro de diálogo Credencial de servicio generada, aparecen los valores Principal de servicio y Secreto.
  6. Copia los valores de Service principal y Secret. Los valores se muestran solo en el momento de la creación y son obligatorios cuando configuras el feed de Google Security Operations.
  7. Haz clic en Listo.

Configura feeds

Para configurar el feed, sigue estos pasos:

  1. Ve a Configuración > Administración de datos > Feeds. Si estás en una plataforma solo de SIEM, ve a Configuración > Feeds.
  2. Haz clic en Agregar feed nuevo.
  3. Haz clic en el paquete de feeds de Proofpoint.
  4. Busca el tipo de registro Proofpoint Tap Alerts.

  5. Especifica los valores para los siguientes campos:

    • Tipo de fuente: API de terceros
    • Nombre de usuario: Especifica la principal de servicio que obtuviste antes.
    • Secreto: Especifica el secreto que obtuviste antes.

    Opciones avanzadas

    • Nombre del feed: Es un valor prepropagado que identifica el feed.
    • Espacio de nombres del recurso: Es el espacio de nombres asociado con el feed.
    • Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

  6. Haz clic en Crear feed.

Para obtener más información sobre los feeds de Google Security Operations, consulta la documentación de los feeds de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de feed, consulta Configuración de feeds por tipo. Si tienes problemas para crear feeds, comunícate con el equipo de asistencia de Google Security Operations.

Referencia de asignación de campos

Este analizador controla los registros de Proofpoint Mail en formato JSON o de par clave-valor, y extrae detalles de la actividad de red y de correo electrónico. Asigna campos de registro al UDM, categoriza eventos como transacciones de correo electrónico y solicitudes HTTP de red, y los enriquece con detalles de seguridad como acciones, categorías e información sobre amenazas.

Limitaciones

Cuando analices los registros de PROOFPOINT_MAIL, es posible que observes eventos con marcas de tiempo históricas a pesar de la transferencia en tiempo real. Este comportamiento es inherente a la API de Proofpoint, no a la canalización de transferencia de Google SecOps. Incluso cuando Google SecOps consulta la actividad más reciente, la API de Proofpoint puede devolver eventos que ocurrieron varios días antes. Se esperan discrepancias entre event_timestamp y ingestion_time para el tipo de registro PROOFPOINT_MAIL debido a la forma en que Proofpoint almacena en búfer y libera los datos de eventos. Para obtener más detalles, consulta la documentación sobre la marca de tiempo de eventos de Proofpoint.

Tablas de asignación de UDM

En las siguientes tablas, se enumeran las asignaciones de los campos de registro sin procesar de las alertas de TAP de Proofpoint a los campos de UDM, categorizados según el formato.

Campo de registro Campo de UDM Descripción
clicksBlocked[].classification security_result.category,
security_result.category_details		 Es la clasificación de la amenaza (por ejemplo, malware, phish).
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 Es la dirección IP del usuario que hizo clic en la URL.
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Es la marca de tiempo del clic.
clicksBlocked[].GUID metadata.product_log_id Es el identificador único del evento de clic.
clicksBlocked[].guid metadata.product_log_id Es el identificador único del evento de clic.
clicksBlocked[].id additional.fields["id"] Es el identificador de clic único.
clicksBlocked[].messageID network.email.mail_id Es el ID del mensaje de correo electrónico original.
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 Es la dirección de correo electrónico del destinatario.
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 Es la dirección de correo electrónico del remitente. Se aplica un hash a la parte del usuario. La parte del dominio es texto simple.
clicksBlocked[].senderIP principal.ip Es la dirección IP del remitente original.
clicksBlocked[].threatID security_result.threat_id Es el identificador de la amenaza detectada.
clicksBlocked[].threatStatus security_result.threat_status El estado de la amenaza (Active, Cleared, etcétera).
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 Es la hora en la que Proofpoint asignó el threatStatus.
clicksBlocked[].threatUrl security_result.url_back_to_product Un vínculo a la entrada en el panel de TAP para la amenaza en particular.
clicksBlocked[].url target.url,
security_result.about.url		 La URL maliciosa en la que se hizo clic.
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 Es el usuario-agente del cliente que hace clic.
clicksPermitted[].classification security_result.category,
security_result.category_details		 Es la clasificación de la amenaza (por ejemplo, malware, phish).
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 Es la dirección IP del usuario que hizo clic en la URL.
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Es la marca de tiempo del clic.
clicksPermitted[].GUID metadata.product_log_id Es el identificador único del evento de clic.
clicksPermitted[].guid metadata.product_log_id Es el identificador único del evento de clic.
clicksPermitted[].id additional.fields["id"] Es el identificador de clic único.
clicksPermitted[].messageID network.email.mail_id Es el ID del mensaje de correo electrónico original.
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 Es la dirección de correo electrónico del destinatario.
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 Es la dirección de correo electrónico del remitente. Se aplica un hash a la parte del usuario. La parte del dominio es texto simple.
clicksPermitted[].senderIP principal.ip Es la dirección IP del remitente original.
clicksPermitted[].threatID security_result.threat_id Es el identificador de la amenaza detectada.
clicksPermitted[].threatStatus security_result.threat_status Es el estado de la amenaza (Activa, Borrada, etcétera).
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 Es la hora en que Proofpoint asignó el threatStatus.
clicksPermitted[].threatUrl security_result.url_back_to_product Un vínculo a la entrada en el panel de TAP para la amenaza en particular.
clicksPermitted[].url target.url,
security_result.about.url		 La URL maliciosa en la que se hizo clic.
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 Es el usuario-agente del cliente que hace clic.
Campo de registro Campo de UDM Descripción
messagesBlocked[].ccAddresses intermediary.user.email_addresses Es una lista de direcciones de correo electrónico que se encuentran en el encabezado CC:.
messagesBlocked[].cluster additional.fields["cluster"] Es el clúster de procesamiento de correo de Proofpoint específico (o la implementación de usuario) que controló el evento de correo electrónico.
messagesBlocked[].clusterId additional.fields Es el nombre del clúster de PPS que procesó el mensaje.
messagesBlocked[].fromAddress principal.user.email_addresses,
network.email.from si messagesBlocked[].sender no está presente		 La dirección de correo electrónico que se incluye en el encabezado From:, sin incluir el nombre descriptivo.
messagesBlocked[].guid metadata.product_log_id Es el ID del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y siempre es único.
messagesBlocked[].GUID metadata.product_log_id Es el ID del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y siempre es único.
messagesBlocked[].headerCC additional.fields["headerCC "] Contiene detalles de headerCC.
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] Si está presente, el contenido completo del encabezado Reply-To:, incluidos los nombres descriptivos.
messagesBlocked[].id additional.fields["id"] Contiene detalles del ID del mensaje.
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] Es la puntuación de impostor del mensaje.
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] Es la puntuación de software malicioso del mensaje.
messagesBlocked[].messageID network.email.mail_id Es el ID del mensaje extraído de los encabezados del mensaje de correo electrónico. Se puede usar para buscar el mensaje asociado en PPS y es único.
messagesBlocked[].messageParts[].contentType about.file.mime_type Es el tipo de MIME del archivo.
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] Cómo se controla la parte del mensaje (por ejemplo, adjunto, intercalado). Se indexa de forma dinámica.
messagesBlocked[].messageParts[].md5 about.file.md5 Es el hash MD5 de la parte o el archivo del mensaje.
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] El Content-Type declarado del messagePart.
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Es el estado del análisis del archivo en la zona de pruebas.
messagesBlocked[].messageParts[].sha256 about.file.sha256 Es el hash SHA256 de la parte o el archivo del mensaje.
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path Es el nombre del archivo o adjunto.
messagesBlocked[].messageSize additional.fields["messageSize"] Es el tamaño en bytes del mensaje, incluidos los encabezados y los archivos adjuntos.
messagesBlocked[].messageTime metadata.event_timestamp Indica cuándo se entregó el mensaje al usuario o cuándo el PPS lo envió a cuarentena.
messagesBlocked[].modulesRun additional.fields["modulesRun"] Es la lista de módulos de PPS que procesaron el mensaje.
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] Es la puntuación de phishing del mensaje.
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] Son las rutas de política con las que coincidió el mensaje durante el procesamiento por parte de PPS.
messagesBlocked[].QID additional.fields["QID"] Es el ID de la cola del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y no es único.
messagesBlocked[].quarantineFolder security_result.priority si messagesBlocked[].quarantineFolder es "Prioridad baja" o "Prioridad alta",
security_result.detection_fields ["quarantineFolder"] de lo contrario		 Es el nombre de la carpeta que contiene el mensaje en cuarentena.
messagesBlocked[].recipient network.email.to Es un array que contiene las direcciones de correo electrónico de los destinatarios.
messagesBlocked[].replyToAddress network.email.reply_to si es un correo electrónico válido;
additional.fields["replyTo"] de lo contrario		 Es la dirección de correo electrónico que se incluye en el encabezado Reply-To:.
messagesBlocked[].sender network.email.from Es la dirección de correo electrónico del remitente.
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 Es la dirección de correo electrónico del remitente.
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] Es la puntuación de spam del mensaje.
messagesBlocked[].subject network.email.subject Es el asunto del correo electrónico.
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] Es un array de IDs de suborganizaciones internas asignados a los destinatarios.
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] Es el ID interno de la suborganización asignado al remitente.
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id Es un identificador de la campaña de la que forma parte la amenaza, si está disponible en el momento de la consulta. Las amenazas se pueden vincular a las campañas incluso después de que se recuperen estos eventos.
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id Es un identificador de la campaña de la que forma parte la amenaza, si está disponible en el momento de la consulta. Las amenazas se pueden vincular a las campañas incluso después de que se recuperen estos eventos.
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Es la categoría de amenaza que se encontró en el mensaje.
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 Es el estado de reescritura del mensaje. Si el valor es true, todas las instancias de amenazas de URL dentro del mensaje se reescribieron correctamente. Si el valor es false, no se reescribió al menos una instancia de una URL de amenaza. Si el valor es na, el mensaje no contenía ninguna amenaza basada en URLs.
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields Se agregaron los nuevos campos detectionType y ThreatInfo a la respuesta.
messagesBlocked[].threatsInfoMap[].threat security_result.about.url si threatType esurl,
security_result.about.file.sha256 si attachment,
security_result.about.resource.name si messageText,
result.about.resource.attribute.labels con el valor Email y la clave threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Si la amenaza era un archivo adjunto, una URL o un tipo de mensaje.
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id Es el identificador único asociado a esta amenaza. Se puede usar para consultar los extremos de análisis forense y de campañas.
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Es un array de estructuras que contienen detalles sobre el ID del actor.
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Es un array de estructuras que contienen detalles sobre el ID del actor.
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Es un array de estructuras que contienen detalles sobre el ID del actor.
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status Es el estado actual de la amenaza.
messagesBlocked[].threatsInfoMap[].threatTime metadata.event_timestamp si messagesBlocked[].messageTime no está presente
security_result.detection_fields		 Es la hora en que Proofpoint asignó el threatStatus.
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name Es una cadena que especifica qué tipo de amenaza se mostrará en los datos.
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product Un vínculo a la entrada sobre la amenaza en el panel de TAP.
messagesBlocked[].toAddresses target.user.email_addresses Es una lista de direcciones de correo electrónico que se encuentran en el encabezado To:.
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] Es el contenido del encabezado X-Mailer:.
messagesDelivered[].ccAddresses intermediary.user.email_addresses Es una lista de direcciones de correo electrónico que se encuentran en el encabezado CC:.
messagesDelivered[].cluster additional.fields["cluster"] Es el clúster de procesamiento de correo de Proofpoint específico (o la implementación de usuario) que controló el evento de correo electrónico.
messagesDelivered[].clusterId additional.fields Es el nombre del clúster de PPS que procesó el mensaje.
messagesDelivered[].fromAddress principal.user.email_addresses,
network.email.from si messagesDelivered[].sender no está presente		 La dirección de correo electrónico que se incluye en el encabezado From:, sin incluir el nombre descriptivo.
messagesDelivered[].GUID metadata.product_log_id Es el ID del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y siempre es único.
messagesDelivered[].guid metadata.product_log_id Es el ID del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y siempre es único.
messagesDelivered[].headerCC additional.fields["headerCC "] Contiene detalles de headerCC.
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] Si está presente, el contenido completo del encabezado Reply-To:, incluidos los nombres descriptivos.
messagesDelivered[].id additional.fields["id "] Contiene detalles del ID del mensaje.
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] Es la puntuación de impostor del mensaje.
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] Es la puntuación de software malicioso del mensaje.
messagesDelivered[].messageID network.email.mail_id Es el ID del mensaje extraído de los encabezados del mensaje de correo electrónico. Se puede usar para buscar el mensaje asociado en PPS y no es único.
messagesDelivered[].messageParts[].contentType about.file.mime_type Es el tipo de MIME del archivo.
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] Cómo se controla la parte del mensaje (por ejemplo, adjunto, intercalado). Se indexa de forma dinámica.
messagesDelivered[].messageParts[].md5 about.file.md5 Es el hash MD5 de la parte o el archivo del mensaje.
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] El Content-Type declarado del messagePart.
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Es el estado del análisis del archivo en la zona de pruebas.
messagesDelivered[].messageParts[].sha256 about.file.sha256 Es el hash SHA256 de la parte o el archivo del mensaje.
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path Es el nombre del archivo o adjunto.
messagesDelivered[].messageSize additional.fields["messageSize"] Es el tamaño en bytes del mensaje, incluidos los encabezados y los archivos adjuntos.
messagesDelivered[].messageTime metadata.event_timestamp Indica cuándo se entregó el mensaje al usuario o cuándo el PPS lo envió a cuarentena.
messagesDelivered[].modulesRun additional.fields["modulesRun"] Es la lista de módulos de PPS que procesaron el mensaje.
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] Es la puntuación de phishing del mensaje.
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] Son las rutas de política con las que coincidió el mensaje durante el procesamiento por parte de PPS.
messagesDelivered[].QID additional.fields["QID"] Es el ID de la cola del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y no es único.
messagesDelivered[].quarantineFolder security_result.priority si messagesDelivered[].quarantineFolder es "Prioridad baja" o "Prioridad alta",
security_result.detection_fields ["quarantineFolder"] de lo contrario		 Es el nombre de la carpeta que contiene el mensaje en cuarentena.
messagesDelivered[].recipient network.email.to Es un array que contiene las direcciones de correo electrónico de los destinatarios.
messagesDelivered[].replyToAddress network.email.reply_to si es un correo electrónico válido;
additional.fields ["replyTo"] de lo contrario		 Es la dirección de correo electrónico que se incluye en el encabezado Reply-To:.
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 Es la dirección de correo electrónico del remitente.
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] Es la puntuación de spam del mensaje.
messagesDelivered[].subject network.email.subject Es el asunto del correo electrónico.
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] Es un array de IDs de suborganizaciones internas asignados a los destinatarios.
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] Es el ID interno de la suborganización asignado al remitente.
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id Es un identificador de la campaña de la que forma parte la amenaza, si está disponible en el momento de la consulta. Las amenazas se pueden vincular a las campañas incluso después de que se recuperen estos eventos.
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id Es un identificador de la campaña de la que forma parte la amenaza, si está disponible en el momento de la consulta. Las amenazas se pueden vincular a las campañas incluso después de que se recuperen estos eventos.
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Es la categoría de amenaza que se encontró en el mensaje.
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 Es el estado de reescritura del mensaje. Si el valor es true, todas las instancias de amenazas de URL dentro del mensaje se reescribieron correctamente. Si el valor es false, no se reescribió al menos una instancia de una URL de amenaza. Si el valor es na, el mensaje no contenía ninguna amenaza basada en URLs.
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields Se agregaron los nuevos campos detectionType y ThreatInfo a la respuesta.
messagesDelivered[].threatsInfoMap[].threat security_result.about.url si threatType esurl,
security_result.about.file.sha256 si threatType es attachment
security_result.about.resource.name si threatType es messageText,
security_result.about.resource.name de lo contrario,
result.about.resource.attribute.labels con el valor Email y la clave threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Si la amenaza era un archivo adjunto, una URL o un tipo de mensaje.
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id Es el identificador único asociado a esta amenaza. Se puede usar para consultar los extremos de análisis forense y de campañas.
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Es un array de estructuras que contienen detalles sobre el ID del actor.
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Es un array de estructuras que contienen detalles sobre el ID del actor.
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Es un array de estructuras que contienen detalles sobre el ID del actor.
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status Es el estado actual de la amenaza.
messagesDelivered[].threatsInfoMap[].threatTime metadata.event_timestamp si messagesDelivered[].messageTime no está presente
security_result.detection_fields		 Es la hora en que Proofpoint asignó el threatStatus.
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name Es una cadena que especifica qué tipo de amenaza se mostrará en los datos.
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product Un vínculo a la entrada sobre la amenaza en el panel de TAP.
messagesDelivered[].toAddresses target.user.email_addresses Es una lista de direcciones de correo electrónico que se encuentran en el encabezado To:.
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] El contenido del encabezado X-Mailer:
msg.accountType Campos adicionales específicos del proveedor.
msg.address principal.user.email_addresses La dirección de correo electrónico específica asociada con la cuenta que se supervisa o evalúa para detectar actividad de amenazas.
msg.dashboardLink security_result.url_back_to_product Un vínculo al panel de Estadísticas de amenazas.
msg.deliveredMessages Campos adicionales específicos del proveedor.
msg.eventTime metadata.event_timestamp si messageTime y threatTime están vacíos La marca de tiempo UTC exacta en la que se generó esta observación de amenaza o evento de registro.
msg.highRisk security_result.action Es una marca booleana (verdadero/falso) que indica si Proofpoint clasifica esta cuenta como un riesgo de seguridad elevado o un nivel de vulneración.
msg.identity Campos adicionales específicos del proveedor.
msg.maliciousMessages Campos adicionales específicos del proveedor.
msg.observations[] additional.fields["observations"] Es una lista de etiquetas de comportamiento de inteligencia contra amenazas o indicadores de anomalías específicos marcados por los algoritmos de Proofpoint.
msg.timeRanges[].end additional.fields Es un array de períodos que muestra cuándo se observaron activamente comportamientos sospechosos o indicadores de amenazas para esta cuenta.
msg.timeRanges[].falsePositive additional.fields Es un array de períodos que muestra cuándo se observaron activamente comportamientos sospechosos o indicadores de amenazas para esta cuenta.
msg.timeRanges[].start,msg additional.fields Es un array de períodos que muestra cuándo se observaron activamente comportamientos sospechosos o indicadores de amenazas para esta cuenta.
msg.trafficType Campos adicionales específicos del proveedor.
queryEndTime metadata.collected_timestamp Es la hora en la que finalizó el período de consulta de datos.
sender_domain principal.domain.name Se extrae de messagesBlocked[].fromAddress o messagesDelivered[].fromAddress, y consiste en el nombre de dominio del remitente.

Campos de registro con formato Syslog

Campo de registro Campo de UDM Descripción
a additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
action security_result.action,
security_result.action_details		 Contiene detalles de la acción.
active security_result.threat_status El estado de la amenaza.
adjust additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
adultscore additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
application principal.application Contiene detalles de la aplicación principal.
attachments additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
bits additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
bulkscore additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
campaignID security_result.rule_id Es un identificador de la campaña de la que forma parte la amenaza, si está disponible en el momento de la consulta. Las amenazas se pueden vincular a las campañas incluso después de que se recuperen estos eventos.
ccAddresses intermediary.user.email_addresses Es una lista de direcciones de correo electrónico que se encuentran en el encabezado CC:.
cid additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
cipher network.tls.cipher Contiene detalles de tls.cipher.
cipher_bits additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
class security_result.category,
security_result.category_details		 Es la categoría de amenaza de la URL maliciosa.
classifier security_result.category Es la categoría de amenaza que se encontró en el mensaje.
clickIP security_result.about.ip, principal.ip,
principal.asset.ip		 Es la dirección IP externa del usuario que hizo clic en el vínculo. Si el usuario está detrás de un firewall que realiza la traducción de direcciones de red, se mostrará la dirección IP del firewall.
clickTime metadata.event_timestamp si messageTime no está presente La hora en que el usuario hizo clic en la URL.
cluster additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
clusterId additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
clx_result_group additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
clx_score additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
clx_shade additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
clxscore additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
cmd network.http.method si STS no está vacío;
principal.process.command_line de lo contrario		 Cuando STS no está vacío, contiene el método HTTP; de lo contrario, contiene detalles de la línea de comandos.
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 Es el estado de reescritura del mensaje. Si el valor es true, todas las instancias de amenazas de URL dentro del mensaje se reescribieron correctamente. Si el valor es false, no se reescribió al menos una instancia de una URL de amenaza. Si el valor es na, el mensaje no contenía ninguna amenaza basada en URLs.
corrupted additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
country principal.location.country_or_region Contiene detalles del país.
daemon additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
date_log metadata.event_timestamp si messageTime, clickTime y threatTime no están presentes Es la marca de tiempo presente en el syslog.
date_log_rebase metadata.event_timestamp si messageTime, clickTime y threatTime no están presentes Es la marca de tiempo presente en el syslog.
default additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
definitions additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
delay additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
dict security_result.category_details Contiene category_details.
dnsid network.dns.id Contiene detalles del ID de DNS.
domain principal.administrative_domain Contiene detalles de administrative_domain.
dsn additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
duration additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
eid additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
elapsed additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
engine metadata.product_version Contiene detalles de product_version.
envid additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
err security_result.description Una descripción
evt extensions.auth.auth_details Detalles de autenticación.
expires additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
file about.process.file.full_path Contiene detalles de la ruta de acceso completa del archivo.
from network.email.from Contiene el correo electrónico del remitente.
fromAddress network.email.from Es la dirección de correo electrónico que se incluye en el encabezado From:.
guid metadata.product_log_id Es el ID del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y siempre es único.
hdr_mid network.email.mail_id Contiene detalles de mail_id.
headerFrom additional.fields["headerFrom"] Es el contenido completo del encabezado From:, incluido cualquier nombre descriptivo.
headerReplyTo additional.fields["headerReplyTo"] Si está presente, el contenido completo del encabezado Reply-To:.
headerTo additional.fields Campos adicionales específicos del proveedor.
helo security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
hfrom network.email.from Contiene la dirección de correo electrónico del remitente.
hfrom_domain principal.administrative_domain Contiene los detalles de administrative_domain.
hops-ip intermediary.ip Contiene la dirección IP intermediaria.
host principal.hostname Contiene detalles del nombre de host.
id additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
id additional.fields Campos adicionales específicos del proveedor.
impostor_score security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
impostorScore security_result.detection_fields Es la puntuación de impostor del mensaje.
inter_host intermediary.hostname Contiene detalles del nombre de host intermediario.
intermediary_hostname intermediary.hostname Contiene el nombre de host intermediario.
intermediary_ip intermediary.ip Contiene la dirección IP intermediaria.
ip principal.ip,
principal.asset.ip		 Contiene la dirección IP del remitente
len additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
lint security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
lip intermediary.ip Contiene la dirección IP intermediaria.
log_level security_result.severity Contiene detalles de la gravedad.
lowpriorityscore additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
m network.email.mail_id Contiene detalles de mail_id.
mailer network.application_protocol Contiene detalles de application_protocol.
malwareScore security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
messageID network.email.mail_id Es el ID del mensaje extraído de los encabezados del mensaje de correo electrónico.
messageParts[].contentType about.file.mime_type Es el tipo de MIME del archivo.
messageParts[].disposition additional.fields["disposition "] Cómo se controla la parte del mensaje (por ejemplo, adjunto, intercalado). Se indexa de forma dinámica.
messageParts[].filename about.file.full_path Es el nombre del archivo o adjunto.
messageParts[].md5 about.file.md5 Es el hash MD5 de la parte o el archivo del mensaje.
messageParts[].oContentType additional.fields["oContentType "] El Content-Type declarado del messagePart.
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Es el estado del análisis del archivo en la zona de pruebas.
messageParts[].sha256 about.file.sha256 Es el hash SHA256 de la parte o el archivo del mensaje.
messageTime metadata.event_timestamp Indica cuándo se entregó el mensaje al usuario o cuándo el PPS lo envió a cuarentena.
mime principal.process.file.mime_type Contiene detalles del archivo mime_type.
mlxscore additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
mod network.application_protocol Contiene detalles de application_protocol.
module additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
modulesRun security_result.detection_fields Es la lista de módulos de PPS que procesaron el mensaje.
modulesRun security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
msg security_result.description Una descripción
msghold_response additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
msgid network.email.mail_id Contiene detalles de mail_id.
msgs additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
name about.process.file.full_path Contiene la ruta de acceso completa del archivo.
notroutes additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
nrcpts additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
path principal.url Contiene detalles de la URL.
phishscore security_result.detection_fields Es la puntuación de phishing del mensaje.
pid principal.process.pid Contiene detalles del PID.
policy network.direction Describe el flujo de red. Contiene el valor de entrada o salida.
pri additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
principal_hostname principal.hostname,
principal.asset.hostname		 Contiene detalles del nombre de host principal.
principal_ip_1 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_2 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_3 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_4 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_5 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_6 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_7 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_8 principal.ip,
principal.assest.ip		 Contiene detalles de la IP principal.
principal_ip_port_1 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_ip_port_2 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_ip_port_3 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_ip_port_4 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_ip_port_5 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_ip_port_6 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_ip_port_7 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_ip_port_8 principal.resource.attribute.labels Contiene detalles del puerto principal.
principal_pid principal.process.pid Captura el PID del proceso.
priority_score security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
priorityscore additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
profile additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
prot network.application_protocol Contiene detalles de application_protocol.
protected additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
proto network.application_protocol Contiene detalles de application_protocol.
pss additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
qid additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
quarantineFolder security_result.priority Es el nombre de la carpeta que contiene el mensaje en cuarentena.
quarantineRule security_result.rule_name Es el nombre de la regla que puso el mensaje en cuarentena.
query additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
querydepth additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
rcode additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
rcpt network.email.to Contiene la dirección de correo electrónico del destinatario.
rcpts network.email.to Contiene la dirección de correo electrónico del destinatario
reason additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
recipient target.user.email_addresses Contiene detalles del correo electrónico del destinatario.
reject additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
reply additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
replyToAddress network.email.reply_to Es la dirección de correo electrónico que se incluye en el encabezado Reply-To:.
resolve additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
restquery_stage additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
result security_result.action Contiene detalles de la acción.
result additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
result_detail security_result.description Proporciona una descripción.
reverse additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
routes additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
rss additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
rule security_result.rule_name Contiene el rule_name.
s network.session_id Contiene detalles de session_id.
scancount additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
scope additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
score additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
selector additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
sender principal.user.email_addresses Contiene detalles del correo electrónico del remitente.
senderIP principal.ip,
principal.assest.ip		 Contiene detalles de la IP del remitente.
sendmail_queue_id additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
sha256 security_result.about.file.sha256 Son los detalles del archivo SHA256.
size principal.process.file.size` Contiene detalles del tamaño del archivo.
smtputf8 additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
spamscore security_result.detection_fields Es la puntuación de spam del mensaje.
src_host principal.hostname,
principal.asset.hostname		 Contiene detalles del nombre de host principal.
STARTTLS additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
stat additional.fields Contiene detalles del estado.
status additional.fields Contiene detalles del estado.
sts network.http.response_code Contiene los datos de response_code.
subject network.email.subject Contiene el email.subject.
subject network.email.subject Contiene detalles del asunto del correo electrónico.
suspectscore additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
sys additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
sz principal.process.file.size Contiene detalles del tamaño del archivo.
tests additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
threat security_result.about.url si threatType es url
security_result.about.file.sha256 si threatType es attachment
security_result.about.resource.name si threatType es messageText
result.about.resource.attribute.labels con el valor Email y la clave threatType
security_result.about.resource.name
security_result.about.resource.attribute.labels con la clave ["threatType"]
threatID security_result.threat_id Contiene detalles del ID de la amenaza.
threatsInfoMap[].campaignID security_result1.rule_id Es un identificador de la campaña de la que forma parte la amenaza, si está disponible en el momento de la consulta. Las amenazas se pueden vincular a las campañas incluso después de que se recuperen estos eventos.
threatsInfoMap[].classification security_result.category
security_result.category_details		 Es la categoría de amenaza que se encontró en el mensaje.
threatsInfoMap[].threat security_result.about.url si threatType es url,
security_result.about.file.sha256 si threatType es attachment
security_result.about.resource.name si threatType es messageText,
result.about.resource.attribute.labels con el valor Email y la clave threatsInfoMap[].threatType
security_result.about.resource.name de lo contrario,
security_result.about.resource.attribute.labels con la clave ["threatType"]		 Es un array de estructuras que contienen detalles sobre las amenazas detectadas en el mensaje. Puede haber más de una amenaza por mensaje.
threatsInfoMap[].threatID security_result.threat_id Contiene detalles del ID de la amenaza.
threatsInfoMap[].threatStatus security_result.threat_status Es el estado actual de la amenaza.
threatsInfoMap[].threatTime metadata.event_timestamp si messageTime y clickTime no están presentes,
security_result.detection_fields
threatsInfoMap[].threatType security_result.about.url si threatType es url
security_result.about.file.sha256 si threatType es attachment
security_result.about.resource.name si threatType es messageText
result.about.resource.attribute.labels con el valor Email y la clave threatsInfoMap[].threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels con la clave ["threatType"]		 Es un array de estructuras que contienen detalles sobre las amenazas detectadas en el mensaje. Puede haber más de una amenaza por mensaje.
threatsInfoMap[].threatUrl security_result.url_back_to_product Un vínculo a la entrada en el panel de TAP para la amenaza en particular.
threatStatus security_result.threat_status Es el estado actual de la amenaza.
threatTime metadata.event_timestamp si messageTime y clickTime no están presentes Es la hora en que Proofpoint identificó la URL como una amenaza.
threatType security_result.about.url si threatType es url
security_result.about.file.sha256 si threatType es attachment
security_result.about.resource.name si threatType es messageText
result.about.resource.attribute.labels con el valor Email y la clave threatType
security_result.about.resource.name
security_result.about.resource.attribute.labels con la clave ["threatType"]
threatURL security_result.url_back_to_product Un vínculo a la entrada en el panel de TAP para la amenaza en particular.
threshold additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
tls network.tls.cipher Contiene detalles de tls.cipher.
tls-alert security_result.description Proporciona una descripción
tls_verify security_result.action Contiene detalles de la verificación.
tls_version network.tls.version Contiene detalles de la versión de TLS.
to network.email.to Contiene la dirección de correo electrónico del destinatario.
toAddresses network.email.to Es una lista de direcciones de correo electrónico que se encuentran en el encabezado To:.
token additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
ts metadata.event_timestamp si messageTime, clickTime y threatTime no están presentes Es la marca de tiempo presente en el syslog.
type additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
uri principal.url Contiene detalles de la URL.
url_count additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
userAgent network.http.user_agent,
network.http.parsed_user_agent		 Es el usuario-agente HTTP.
value network.email.from Contiene la dirección de correo electrónico del remitente.
vendor additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
verify security_result.action Contiene detalles de la verificación.
version network.tls.version Contiene detalles de la versión de TLS.
virtual additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
virusthreat security_result.threat_name Contiene detalles del nombre de la amenaza.
virusthreatid security_result.threat_id Contiene detalles del ID de la amenaza.
warn additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
x additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
X-Proofpoint-Spam-Details additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
xdelay additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
xmailer security_result.detection_fields El contenido del encabezado X-Mailer:, si está presente, o los campos de detección de seguridad específicos del proveedor.

Campos de registro de CEF

Campo de registro Campo de UDM Descripción
cluster additional.fields Campos adicionales específicos del proveedor.
file_hash principal.file.md5 Contiene detalles del MD5 del archivo.
file_name principal.file.full_path Contiene la ruta de acceso.
GUID metadata.product_log_id Contiene el product_log_id.
guid metadata.product_log_id Contiene el product_log_id.
headerFrom additional.fields Es el contenido completo del encabezado From:.
headerReplyTo additional.fields["headerReplyTo"] Es el contenido completo del encabezado Reply-To:.
host principal.hostname,
principal.assest.hostname		 Contiene el nombre de host principal.
id additional.fields Son campos adicionales con datos de eventos específicos del proveedor que no se pueden representar de forma adecuada en las secciones formales del modelo de UDM.
id additional.fields Campos adicionales específicos del proveedor.
impostorScore security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
malwareScore security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
message_id network.email.mail_id Contiene detalles de mail_id.
messageParts_contentType principal.file.mime_type Representa el tipo de MIME de una parte o un componente específicos del mensaje de correo electrónico.
messageParts_disposition additional.fields Campos adicionales específicos del proveedor.
messageParts_oContentType additional.fields Campos adicionales específicos del proveedor.
messageParts_sandboxStatus security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
messageParts_sha256 principal.file.sha256 Contiene detalles del archivo 256.
messageTime metadata.event_timestamp Es la hora en que se entregó el mensaje al usuario o se puso en cuarentena por PPS.
modulesRun security_result.detection_fields Es la lista de módulos de PPS que procesaron el mensaje.
modulesRun security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
orig_dest network.email.to Es la dirección de correo electrónico en el encabezado o sobre SMTP inicial cuando el correo electrónico llegó a la puerta de enlace.
orig_recipient target.user.email_addresses Es la dirección de correo electrónico del destinatario.
orig_src network.email.from Es la dirección de correo electrónico de la fuente.
policyRoutes additional.fields Campos adicionales específicos del proveedor.
process_id principal.process.pid Contiene detalles del PID del proceso.
QID additional.fields Es el ID de la cola del mensaje dentro de PPS. Se puede usar para identificar el mensaje en PPS y no es único.
quarantineFolder security_result.priority Es el nombre de la carpeta que contiene el mensaje en cuarentena.
quarantineRule security_result.rule_name Es el nombre de la regla que puso el mensaje en cuarentena.
return_addr principal.user.email_addresses La dirección de sobre especificada durante el transporte de SMTP (MAIL FROM).
rt additional.fields Campos adicionales específicos del proveedor.
sender principal.user.email_addresses Contiene la dirección de correo electrónico del remitente.
src principal.ip,
principal.asset.ip		 Contiene la dirección IP principal.
stag additional.fields Campos adicionales específicos del proveedor.
start additional.fields Campos adicionales específicos del proveedor.
status_code additional.fields Campos adicionales específicos del proveedor.
subject network.email.subject Contiene el email.subject.
threatsInfoMap_campaignID security_result.rule_id Es un identificador de la campaña de la que forma parte la amenaza, si está disponible en el momento de la consulta. Las amenazas se pueden vincular a las campañas incluso después de que se recuperen estos eventos.
threatsInfoMap_classification security_result.category,
security_result.category_details		 Es la categoría de amenaza de la URL maliciosa.
threatsInfoMap_detectionType security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
threatsInfoMap_threatID security_result.threat_id Contiene detalles del ID de la amenaza.
threatsInfoMap_threatTime metadata.event_timestamp si messageTime está vacío Es la hora en que Proofpoint asignó el threatStatus.
threatsInfoMap_threatTime security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
threatsInfoMap_threatType security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
threatsInfoMap_threatUrl security_result.url_back_to_product Contiene la URL que redirecciona para ver la inteligencia contra amenazas, el análisis de zona de pruebas y los detalles forenses de Proofpoint.
threatStatistics_families_name0 security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
threatStatistics_families_score0 security_result.detection_fields Campos de detección de seguridad específicos del proveedor.
url security_result.about.url La URL sospechosa o maliciosa real.
version additional.fields Campos adicionales específicos del proveedor.
vip additional.fields Campos adicionales específicos del proveedor.
xmailer security_result.detection_fields El contenido del encabezado X-Mailer:, si está presente, o los campos de detección de seguridad específicos del proveedor.

Referencia delta de asignación de UDM

El 9 de septiembre de 2025, Google SecOps lanzó una nueva versión del analizador de alertas de Proofpoint TAP, que incluye cambios significativos en la asignación de los campos de registro de alertas de Proofpoint TAP a los campos de UDM y actualizaciones en las clasificaciones de tipos de eventos (asignaciones).

Diferencia de asignación de campos de registro

En la siguiente tabla, se muestran los cambios en la forma en que se asignan los campos de registro de alertas de TAP de Proofpoint a los campos de UDM. En la columna Asignación anterior, se enumeran los campos expuestos antes del 9 de septiembre de 2025, y en la columna Asignación actual, se enumeran los campos nuevos.

Campo de registro Asignación anterior Asignación actual
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields Si quarantineFolder es igual a low priority o high priority, se asigna a security_result.priority. De lo contrario, asígnalo a security_result.detection_fields.
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields Si quarantineFolder es igual a low priority o high priority, se asigna a security_result.priority. De lo contrario, asígnalo a security_result.detection_fields.
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields Si quarantineFolder es igual a low priority o high priority, asígnalo al campo de UDM security_result.priority. De lo contrario, asígnalo a security_result.detection_fields.
spamScore additional.fields security_result.detection_fields

Diferencia de asignación de tipos de eventos

Varios eventos que antes se clasificaban como eventos genéricos ahora se clasifican correctamente con tipos de eventos más significativos.

En la siguiente tabla, se muestra la diferencia en el manejo de los tipos de eventos de alertas de TAP de Proofpoint antes del 9 de septiembre de 2025 y después de esa fecha (que se indican en las columnas event_type anterior y event_type actual, respectivamente).

Formato eventType del registro Old event_type event_type actual
SYSLOG+KV Si el registro tiene los campos fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts o mailer,proto,mod presentes EMAIL_TRANSACTION
Si el registro solo contiene detalles de mail_id EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
Registros de CEF eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
si el registro tiene emails, sender, headerReplyTo, orig_recipient USER_UNCATEGORIED
si el registro tiene src, host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.