Collecter les journaux d'alertes Proofpoint TAP

Compatible avec :

Ce document explique comment collecter les journaux d'alertes Proofpoint Targeted Attack Protection (TAP) en configurant un flux Google Security Operations.

Pour en savoir plus, consultez Ingestion de données Google SecOps.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations contenues dans ce document s'appliquent à l'analyseur avec l'étiquette d'ingestion PROOFPOINT_MAIL.

Configurer les alertes Proofpoint TAP

  1. Connectez-vous au portail d'analyse des menaces Proofpoint à l'aide de vos identifiants.
  2. Dans l'onglet Settings (Paramètres), sélectionnez Connected applications (Applications connectées). La section Identifiants de service s'affiche.
  3. Dans la section Nom, cliquez sur Créer un identifiant.
  4. Saisissez le nom de votre organisation, par exemple altostrat.com.
  5. Cliquez sur Générer. Dans la boîte de dialogue Identifiant de service généré, les valeurs Compte principal de service et Secret s'affichent.
  6. Copiez les valeurs Principal de service et Secret. Les valeurs ne sont affichées qu'au moment de la création et sont requises lorsque vous configurez le flux Google Security Operations.
  7. Cliquez sur OK.

Configurer des flux

Pour configurer le flux, procédez comme suit :

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Cliquez sur le pack de flux Proofpoint.
  4. Recherchez le type de journal Proofpoint Tap Alerts.

  5. Spécifiez les valeurs des champs suivants :

    • Type de source : API tierce
    • Nom d'utilisateur : spécifiez le compte principal de service que vous avez obtenu précédemment.
    • Secret : spécifiez le secret que vous avez obtenu précédemment.

    Options avancées

    • Nom du flux : valeur préremplie qui identifie le flux.
    • Espace de noms de l'élément : espace de noms associé au flux.
    • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

  6. Cliquez sur Créer un flux.

Pour en savoir plus sur les flux Google Security Operations, consultez la documentation sur les flux Google Security Operations. Pour en savoir plus sur les exigences de chaque type de flux, consultez Configuration des flux par type. Si vous rencontrez des problèmes lors de la création de flux, contactez l'assistance Google Security Operations.

Référence de mappage de champs

Cet analyseur traite les journaux Proofpoint Mail au format JSON ou clé-valeur, en extrayant les détails de l'activité réseau et des e-mails. Il mappe les champs de journal à l'UDM, en catégorisant les événements tels que les transactions par e-mail et les requêtes HTTP réseau, et en les enrichissant avec des détails de sécurité tels que les actions, les catégories et les informations sur les menaces.

Limites

Lorsque vous analysez les journaux PROOFPOINT_MAIL, vous pouvez observer des événements avec des codes temporels historiques malgré l'ingestion en temps réel. Ce comportement est inhérent à l'API Proofpoint, et non au pipeline d'ingestion Google SecOps. Même lorsque Google SecOps interroge l'activité la plus récente, l'API Proofpoint peut renvoyer des événements qui se sont produits plusieurs jours auparavant. Des écarts entre event_timestamp et ingestion_time sont attendus pour le type de journal PROOFPOINT_MAIL en raison de la manière dont Proofpoint met en mémoire tampon et publie les données d'événement. Pour en savoir plus, consultez la documentation sur les codes temporels des événements Proofpoint.

Tables de mappage UDM

Les tableaux suivants listent les mappages des champs de journaux bruts des alertes Proofpoint TAP avec les champs UDM, classés par format.

Champ du journal Champ UDM Description
clicksBlocked[].classification security_result.category,
security_result.category_details		 Classification de la menace (par exemple, malware, phish).
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 Adresse IP de l'utilisateur qui a cliqué sur l'URL.
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Code temporel du clic.
clicksBlocked[].GUID metadata.product_log_id Identifiant unique de l'événement de clic.
clicksBlocked[].guid metadata.product_log_id Identifiant unique de l'événement de clic.
clicksBlocked[].id additional.fields["id"] Identifiant de clic unique.
clicksBlocked[].messageID network.email.mail_id ID de l'e-mail d'origine.
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 Adresse e-mail du destinataire.
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 Adresse e-mail de l'expéditeur. La partie utilisateur est hachée. La partie domaine est en texte clair.
clicksBlocked[].senderIP principal.ip Adresse IP de l'expéditeur d'origine.
clicksBlocked[].threatID security_result.threat_id Identifiant de la menace détectée.
clicksBlocked[].threatStatus security_result.threat_status État de la menace (Active, Cleared, etc.).
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 Heure à laquelle Proofpoint a attribué le threatStatus.
clicksBlocked[].threatUrl security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
clicksBlocked[].url target.url,
security_result.about.url		 URL malveillante sur laquelle l'utilisateur a cliqué.
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 User-agent du client qui effectue le clic.
clicksPermitted[].classification security_result.category,
security_result.category_details		 Classification de la menace (par exemple, malware, phish).
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 Adresse IP de l'utilisateur qui a cliqué sur l'URL.
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Code temporel du clic.
clicksPermitted[].GUID metadata.product_log_id Identifiant unique de l'événement de clic.
clicksPermitted[].guid metadata.product_log_id Identifiant unique de l'événement de clic.
clicksPermitted[].id additional.fields["id"] Identifiant de clic unique.
clicksPermitted[].messageID network.email.mail_id ID de l'e-mail d'origine.
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 Adresse e-mail du destinataire.
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 Adresse e-mail de l'expéditeur. La partie utilisateur est hachée. La partie domaine est en texte clair.
clicksPermitted[].senderIP principal.ip Adresse IP de l'expéditeur d'origine.
clicksPermitted[].threatID security_result.threat_id Identifiant de la menace détectée.
clicksPermitted[].threatStatus security_result.threat_status État de la menace (Active, Effacée, etc.).
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 Heure à laquelle Proofpoint a attribué l'threatStatus.
clicksPermitted[].threatUrl security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
clicksPermitted[].url target.url,
security_result.about.url		 URL malveillante sur laquelle l'utilisateur a cliqué.
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 User-agent du client qui effectue le clic.
Champ du journal Champ UDM Description
messagesBlocked[].ccAddresses intermediary.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête CC:.
messagesBlocked[].cluster additional.fields["cluster"] Cluster de traitement des e-mails Proofpoint spécifique (ou déploiement de locataire) qui a géré l'événement d'e-mail.
messagesBlocked[].clusterId additional.fields Nom du cluster PPS qui a traité le message.
messagesBlocked[].fromAddress principal.user.email_addresses,
network.email.from si messagesBlocked[].sender n'est pas présent		 Adresse e-mail contenue dans l'en-tête From:, à l'exclusion du nom convivial.
messagesBlocked[].guid metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesBlocked[].GUID metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesBlocked[].headerCC additional.fields["headerCC "] Contient des informations sur headerCC.
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] S'il est présent, le contenu complet de l'en-tête Reply-To:, y compris les noms conviviaux.
messagesBlocked[].id additional.fields["id"] Contient des informations sur l'ID du message.
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] Score d'imposteur du message.
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] Score de logiciel malveillant du message.
messagesBlocked[].messageID network.email.mail_id ID du message extrait des en-têtes de l'e-mail. Il peut être utilisé pour rechercher le message associé dans PPS et est unique.
messagesBlocked[].messageParts[].contentType about.file.mime_type Type MIME du fichier.
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] Comment la partie du message est gérée (par exemple, pièce jointe, intégrée). Indexée de manière dynamique.
messagesBlocked[].messageParts[].md5 about.file.md5 Hachage MD5 de la partie/du fichier du message.
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] Type de contenu déclaré de messagePart.
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] État de l'analyse du fichier dans le bac à sable.
messagesBlocked[].messageParts[].sha256 about.file.sha256 Hachage SHA256 de la partie/du fichier du message.
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path Nom du fichier ou de la pièce jointe.
messagesBlocked[].messageSize additional.fields["messageSize"] Taille du message en octets, y compris les en-têtes et les pièces jointes.
messagesBlocked[].messageTime metadata.event_timestamp Date et heure auxquelles le message a été distribué à l'utilisateur ou mis en quarantaine par PPS.
messagesBlocked[].modulesRun additional.fields["modulesRun"] Liste des modules PPS qui ont traité le message.
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] Score d'hameçonnage du message.
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] Routes de règles auxquelles le message correspondait lors du traitement par PPS.
messagesBlocked[].QID additional.fields["QID"] ID de file d'attente du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et n'est pas unique.
messagesBlocked[].quarantineFolder security_result.priority si messagesBlocked[].quarantineFolder est "Low Priority" ou "High Priority",
security_result.detection_fields ["quarantineFolder"] sinon		 Nom du dossier contenant le message mis en quarantaine.
messagesBlocked[].recipient network.email.to Tableau contenant les adresses e-mail des destinataires.
messagesBlocked[].replyToAddress network.email.reply_to s'il s'agit d'une adresse e-mail valide,
additional.fields["replyTo"] sinon		 Adresse e-mail contenue dans l'en-tête Reply-To:.
messagesBlocked[].sender network.email.from Adresse e-mail de l'expéditeur.
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 Adresse e-mail de l'expéditeur.
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] Score de spam du message.
messagesBlocked[].subject network.email.subject Objet de l'e-mail.
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] Tableau des ID de sous-organisations internes attribués aux destinataires.
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] ID interne de la sous-organisation attribué à l'expéditeur.
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id Identifiant de la campagne dont la menace fait partie, s'il est disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id Identifiant de la campagne dont la menace fait partie, s'il est disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Catégorie de menace détectée dans le message.
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 État de réécriture du message. Si la valeur est true, toutes les instances de menaces d'URL dans le message ont été réécrites. Si la valeur est false, au moins une instance d'une URL de menace n'a pas été réécrite. Si la valeur est na, le message ne contenait aucune menace basée sur une URL.
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields Les nouveaux champs detectionType et ThreatInfo ont été ajoutés à la réponse.
messagesBlocked[].threatsInfoMap[].threat security_result.about.url si threatType est url,
security_result.about.file.sha256 si attachment,
security_result.about.resource.name si messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Indique si la menace était une pièce jointe, une URL ou un type de message.
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id Identifiant unique associé à cette menace. Il peut être utilisé pour interroger les points de terminaison d'analyse et de campagne.
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status État actuel de la menace.
messagesBlocked[].threatsInfoMap[].threatTime metadata.event_timestamp si messagesBlocked[].messageTime n'est pas présent,
security_result.detection_fields		 Heure à laquelle Proofpoint a attribué l'threatStatus.
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name Chaîne spécifiant le type de menace qui sera renvoyé dans les données.
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product Lien vers l'entrée concernant la menace sur le tableau de bord TAP.
messagesBlocked[].toAddresses target.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête To:.
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] Contenu de l'en-tête X-Mailer:.
messagesDelivered[].ccAddresses intermediary.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête CC:.
messagesDelivered[].cluster additional.fields["cluster"] Cluster de traitement des e-mails Proofpoint spécifique (ou déploiement de locataire) qui a géré l'événement d'e-mail.
messagesDelivered[].clusterId additional.fields Nom du cluster PPS qui a traité le message.
messagesDelivered[].fromAddress principal.user.email_addresses,
network.email.from si messagesDelivered[].sender n'est pas présent		 Adresse e-mail contenue dans l'en-tête From:, à l'exclusion du nom convivial.
messagesDelivered[].GUID metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesDelivered[].guid metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesDelivered[].headerCC additional.fields["headerCC "] Contient des informations sur headerCC.
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] S'il est présent, le contenu complet de l'en-tête Reply-To:, y compris les noms conviviaux.
messagesDelivered[].id additional.fields["id "] Contient des informations sur l'ID du message.
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] Score d'imposteur du message.
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] Score de logiciel malveillant du message.
messagesDelivered[].messageID network.email.mail_id ID du message extrait des en-têtes de l'e-mail. Il peut être utilisé pour rechercher le message associé dans PPS et n'est pas unique.
messagesDelivered[].messageParts[].contentType about.file.mime_type Type MIME du fichier.
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] Comment la partie du message est gérée (par exemple, pièce jointe, intégrée). Indexée de manière dynamique.
messagesDelivered[].messageParts[].md5 about.file.md5 Hachage MD5 de la partie/du fichier du message.
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] Type de contenu déclaré de messagePart.
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] État de l'analyse du fichier dans le bac à sable.
messagesDelivered[].messageParts[].sha256 about.file.sha256 Hachage SHA256 de la partie/du fichier du message.
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path Nom du fichier ou de la pièce jointe.
messagesDelivered[].messageSize additional.fields["messageSize"] Taille du message en octets, y compris les en-têtes et les pièces jointes.
messagesDelivered[].messageTime metadata.event_timestamp Date et heure auxquelles le message a été distribué à l'utilisateur ou mis en quarantaine par PPS.
messagesDelivered[].modulesRun additional.fields["modulesRun"] Liste des modules PPS qui ont traité le message.
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] Score d'hameçonnage du message.
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] Routes de règles auxquelles le message correspondait lors du traitement par PPS.
messagesDelivered[].QID additional.fields["QID"] ID de file d'attente du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et n'est pas unique.
messagesDelivered[].quarantineFolder security_result.priority si messagesDelivered[].quarantineFolder est "Low Priority" ou "High Priority",
security_result.detection_fields ["quarantineFolder"] sinon		 Nom du dossier contenant le message mis en quarantaine.
messagesDelivered[].recipient network.email.to Tableau contenant les adresses e-mail des destinataires.
messagesDelivered[].replyToAddress network.email.reply_to s'il s'agit d'une adresse e-mail valide,
additional.fields ["replyTo"] sinon		 Adresse e-mail contenue dans l'en-tête Reply-To:.
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 Adresse e-mail de l'expéditeur.
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] Score de spam du message.
messagesDelivered[].subject network.email.subject Objet de l'e-mail.
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] Tableau des ID de sous-organisations internes attribués aux destinataires.
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] ID interne de la sous-organisation attribué à l'expéditeur
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id Identifiant de la campagne dont la menace fait partie, s'il est disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id Identifiant de la campagne dont la menace fait partie, s'il est disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Catégorie de menace détectée dans le message.
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 État de réécriture du message. Si la valeur est true, toutes les instances de menaces d'URL dans le message ont été réécrites. Si la valeur est false, au moins une instance d'une URL de menace n'a pas été réécrite. Si la valeur est na, le message ne contenait aucune menace basée sur une URL.
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields Les nouveaux champs detectionType et ThreatInfo ont été ajoutés à la réponse.
messagesDelivered[].threatsInfoMap[].threat security_result.about.url si threatType est url,
security_result.about.file.sha256 si threatType est attachment,
security_result.about.resource.name si threatType est messageText,
security_result.about.resource.name sinon,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Indique si la menace était une pièce jointe, une URL ou un type de message.
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id Identifiant unique associé à cette menace. Il peut être utilisé pour interroger les points de terminaison d'analyse et de campagne.
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status État actuel de la menace.
messagesDelivered[].threatsInfoMap[].threatTime metadata.event_timestamp si messagesDelivered[].messageTime n'est pas présent,
security_result.detection_fields		 Heure à laquelle Proofpoint a attribué l'threatStatus.
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name Chaîne spécifiant le type de menace qui sera renvoyé dans les données.
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product Lien vers l'entrée concernant la menace sur le tableau de bord TAP.
messagesDelivered[].toAddresses target.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête To:.
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] Contenu de l'en-tête X-Mailer.
msg.accountType Champs supplémentaires spécifiques au fournisseur.
msg.address principal.user.email_addresses Adresse e-mail spécifique associée au compte surveillé ou évalué pour détecter une activité malveillante.
msg.dashboardLink security_result.url_back_to_product Lien vers le tableau de bord Threat Insight.
msg.deliveredMessages Champs supplémentaires spécifiques au fournisseur.
msg.eventTime metadata.event_timestamp si messageTime et threatTime sont vides Code temporel UTC exact auquel cette observation de menace ou cet événement de journal a été généré.
msg.highRisk security_result.action Indicateur booléen (true/false) indiquant si Proofpoint classe ce compte comme présentant un risque de sécurité ou un niveau de compromission élevé.
msg.identity Champs supplémentaires spécifiques au fournisseur.
msg.maliciousMessages Champs supplémentaires spécifiques au fournisseur.
msg.observations[] additional.fields["observations"] Liste de tags de comportement ou d'indicateurs d'anomalie spécifiques aux renseignements sur les menaces, signalés par les algorithmes Proofpoint.
msg.timeRanges[].end additional.fields Tableau de périodes indiquant quand des comportements suspects ou des indicateurs de menace ont été activement observés pour ce compte.
msg.timeRanges[].falsePositive additional.fields Tableau de périodes indiquant quand des comportements suspects ou des indicateurs de menace ont été activement observés pour ce compte.
msg.timeRanges[].start,msg additional.fields Tableau de périodes indiquant quand des comportements suspects ou des indicateurs de menace ont été activement observés pour ce compte.
msg.trafficType Champs supplémentaires spécifiques au fournisseur.
queryEndTime metadata.collected_timestamp Heure de fin de la période interrogée pour les données.
sender_domain principal.domain.name Extrait de messagesBlocked[].fromAddress ou messagesDelivered[].fromAddress, composé du nom de domaine de l'expéditeur.

Champs de journal au format Syslog

Champ du journal Champ UDM Description
a additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
action security_result.action,
security_result.action_details		 Contient les détails de l'action.
active security_result.threat_status État de la menace.
adjust additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
adultscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
application principal.application Contient les détails de l'application principale.
attachments additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
bits additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
bulkscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
campaignID security_result.rule_id Identifiant de la campagne dont la menace fait partie, s'il est disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
ccAddresses intermediary.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête CC:.
cid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
cipher network.tls.cipher Contient des détails sur tls.cipher.
cipher_bits additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
class security_result.category,
security_result.category_details		 Catégorie de menace de l'URL malveillante.
classifier security_result.category Catégorie de menace détectée dans le message.
clickIP security_result.about.ip, principal.ip,
principal.asset.ip		 Adresse IP externe de l'utilisateur qui a cliqué sur le lien. Si l'utilisateur se trouve derrière un pare-feu effectuant une traduction d'adresse réseau, l'adresse IP du pare-feu s'affiche.
clickTime metadata.event_timestamp si messageTime n'est pas présent Heure à laquelle l'utilisateur a cliqué sur l'URL.
cluster additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clusterId additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clx_result_group additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clx_score additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clx_shade additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clxscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
cmd network.http.method si STS n'est pas vide,
principal.process.command_line sinon		 Lorsque STS n'est pas vide, il contient la méthode HTTP. Sinon, il contient les détails de la ligne de commande.
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 État de réécriture du message. Si la valeur est true, toutes les instances de menaces d'URL dans le message ont été réécrites. Si la valeur est false, au moins une instance d'une URL de menace n'a pas été réécrite. Si la valeur est na, le message ne contenait aucune menace basée sur une URL.
corrupted additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
country principal.location.country_or_region Contient des informations sur le pays.
daemon additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
date_log metadata.event_timestamp si messageTime, clickTime et threatTime ne sont pas présents Le code temporel présent dans le syslog.
date_log_rebase metadata.event_timestamp si messageTime, clickTime et threatTime ne sont pas présents Le code temporel présent dans le syslog.
default additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
definitions additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
delay additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
dict security_result.category_details Contient : category_details.
dnsid network.dns.id Contient les détails de l'ID DNS.
domain principal.administrative_domain Contient des détails sur administrative_domain.
dsn additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
duration additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
eid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
elapsed additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
engine metadata.product_version Contient des détails sur product_version.
envid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
err security_result.description Une description.
evt extensions.auth.auth_details Informations d'authentification.
expires additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
file about.process.file.full_path Contient des informations sur le chemin d'accès complet au fichier.
from network.email.from Contient l'adresse e-mail de l'expéditeur.
fromAddress network.email.from Adresse e-mail contenue dans l'en-tête From:.
guid metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
hdr_mid network.email.mail_id Contient des détails sur mail_id.
headerFrom additional.fields["headerFrom"] Contenu complet de l'en-tête From:, y compris tout nom convivial.
headerReplyTo additional.fields["headerReplyTo"] S'il est présent, le contenu complet de l'en-tête Reply-To:.
headerTo additional.fields Champs supplémentaires spécifiques au fournisseur.
helo security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
hfrom network.email.from Contient l'adresse e-mail de l'expéditeur.
hfrom_domain principal.administrative_domain Contient les détails de administrative_domain.
hops-ip intermediary.ip Contient l'adresse IP intermédiaire.
host principal.hostname Contient des informations sur le nom d'hôte.
id additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
id additional.fields Champs supplémentaires spécifiques au fournisseur.
impostor_score security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
impostorScore security_result.detection_fields Score d'imposteur du message.
inter_host intermediary.hostname Contient des informations sur le nom d'hôte intermédiaire.
intermediary_hostname intermediary.hostname Contient le nom d'hôte intermédiaire.
intermediary_ip intermediary.ip Contient l'adresse IP intermédiaire.
ip principal.ip,
principal.asset.ip		 Contient l'adresse IP de l'expéditeur
len additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
lint security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
lip intermediary.ip Contient l'adresse IP intermédiaire.
log_level security_result.severity Contient des informations sur la gravité.
lowpriorityscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
m network.email.mail_id Contient des détails sur mail_id.
mailer network.application_protocol Contient des détails sur application_protocol.
malwareScore security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
messageID network.email.mail_id ID du message extrait des en-têtes de l'e-mail.
messageParts[].contentType about.file.mime_type Type MIME du fichier.
messageParts[].disposition additional.fields["disposition "] Comment la partie du message est gérée (par exemple, pièce jointe, intégrée). Indexée de manière dynamique.
messageParts[].filename about.file.full_path Nom du fichier ou de la pièce jointe.
messageParts[].md5 about.file.md5 Hachage MD5 de la partie/du fichier du message.
messageParts[].oContentType additional.fields["oContentType "] Type de contenu déclaré de messagePart.
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] État de l'analyse du fichier dans le bac à sable.
messageParts[].sha256 about.file.sha256 Hachage SHA256 de la partie/du fichier du message.
messageTime metadata.event_timestamp Date et heure auxquelles le message a été distribué à l'utilisateur ou mis en quarantaine par PPS.
mime principal.process.file.mime_type Contient les détails du fichier mime_type.
mlxscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
mod network.application_protocol Contient des détails sur application_protocol.
module additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
modulesRun security_result.detection_fields Liste des modules PPS qui ont traité le message.
modulesRun security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
msg security_result.description Une description.
msghold_response additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
msgid network.email.mail_id Contient des détails sur mail_id.
msgs additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
name about.process.file.full_path Contient le chemin d'accès complet du fichier.
notroutes additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
nrcpts additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
path principal.url Contient des informations sur l'URL.
phishscore security_result.detection_fields Score d'hameçonnage du message.
pid principal.process.pid Contient des informations sur le PID.
policy network.direction Décrit le flux réseau. Contient une valeur entrante/sortante.
pri additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
principal_hostname principal.hostname,
principal.asset.hostname		 Contient les détails du nom d'hôte principal.
principal_ip_1 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_2 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_3 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_4 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_5 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_6 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_7 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_8 principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP du compte principal.
principal_ip_port_1 principal.resource.attribute.labels Contient les détails du port principal.
principal_ip_port_2 principal.resource.attribute.labels Contient les détails du port principal.
principal_ip_port_3 principal.resource.attribute.labels Contient les détails du port principal.
principal_ip_port_4 principal.resource.attribute.labels Contient les détails du port principal.
principal_ip_port_5 principal.resource.attribute.labels Contient les détails du port principal.
principal_ip_port_6 principal.resource.attribute.labels Contient les détails du port principal.
principal_ip_port_7 principal.resource.attribute.labels Contient les détails du port principal.
principal_ip_port_8 principal.resource.attribute.labels Contient les détails du port principal.
principal_pid principal.process.pid Capture le PID du processus.
priority_score security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
priorityscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
profile additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
prot network.application_protocol Contient des détails sur application_protocol.
protected additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
proto network.application_protocol Contient des détails sur application_protocol.
pss additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
qid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
quarantineFolder security_result.priority Nom du dossier contenant le message mis en quarantaine.
quarantineRule security_result.rule_name Nom de la règle qui a mis le message en quarantaine.
query additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
querydepth additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rcode additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rcpt network.email.to Contient l'adresse e-mail du destinataire.
rcpts network.email.to Contient l'adresse e-mail du destinataire.
reason additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
recipient target.user.email_addresses Contient les détails de l'adresse e-mail du destinataire.
reject additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
reply additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
replyToAddress network.email.reply_to Adresse e-mail contenue dans l'en-tête Reply-To:.
resolve additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
restquery_stage additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
result security_result.action Contient les détails de l'action.
result additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
result_detail security_result.description Fournit une description.
reverse additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
routes additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rss additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rule security_result.rule_name Contient rule_name.
s network.session_id Contient des détails sur session_id.
scancount additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
scope additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
score additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
selector additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sender principal.user.email_addresses Contient les informations sur l'adresse e-mail de l'expéditeur.
senderIP principal.ip,
principal.assest.ip		 Contient les détails de l'adresse IP de l'expéditeur.
sendmail_queue_id additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sha256 security_result.about.file.sha256 Détails du fichier SHA256.
size principal.process.file.size` Contient des informations sur la taille du fichier.
smtputf8 additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
spamscore security_result.detection_fields Score de spam du message.
src_host principal.hostname,
principal.asset.hostname		 Contient les détails du nom d'hôte principal.
STARTTLS additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
stat additional.fields Contient des informations sur l'état.
status additional.fields Contient des informations sur l'état.
sts network.http.response_code Contient les données response_code.
subject network.email.subject Contient email.subject.
subject network.email.subject Contient des informations sur l'objet de l'e-mail.
suspectscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sys additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sz principal.process.file.size Contient des informations sur la taille du fichier.
tests additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
threat security_result.about.url si threatType est url,
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels avec la clé ["threatType"]
threatID security_result.threat_id Contient des informations sur l'ID de la menace.
threatsInfoMap[].campaignID security_result1.rule_id Identifiant de la campagne dont la menace fait partie, s'il est disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
threatsInfoMap[].classification security_result.category
security_result.category_details		 Catégorie de menace détectée dans le message.
threatsInfoMap[].threat security_result.about.url si threatType est url,
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatsInfoMap[].threatType
security_result.about.resource.name sinon,
security_result.about.resource.attribute.labels avec la clé ["threatType"]		 Tableau de structures contenant des détails sur les menaces détectées dans le message. Un message peut contenir plusieurs menaces.
threatsInfoMap[].threatID security_result.threat_id Contient des informations sur l'ID de la menace.
threatsInfoMap[].threatStatus security_result.threat_status État actuel de la menace.
threatsInfoMap[].threatTime metadata.event_timestamp si messageTime et clickTime ne sont pas présents,
security_result.detection_fields
threatsInfoMap[].threatType security_result.about.url si threatType est url
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText
result.about.resource.attribute.labels avec la valeur Email et la clé threatsInfoMap[].threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels avec la clé ["threatType"]		 Tableau de structures contenant des informations sur les menaces détectées dans le message. Un message peut contenir plusieurs menaces.
threatsInfoMap[].threatUrl security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
threatStatus security_result.threat_status État actuel de la menace.
threatTime metadata.event_timestamp si messageTime et clickTime ne sont pas présents Heure à laquelle Proofpoint a identifié l'URL comme une menace.
threatType security_result.about.url si threatType est url,
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels avec la clé ["threatType"]
threatURL security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
threshold additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
tls network.tls.cipher Contient des détails sur tls.cipher.
tls-alert security_result.description Fournit une description
tls_verify security_result.action Contient les détails de la validation.
tls_version network.tls.version Contient des informations sur la version TLS.
to network.email.to Contient l'adresse e-mail du destinataire.
toAddresses network.email.to Liste des adresses e-mail contenues dans l'en-tête To:.
token additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
ts metadata.event_timestamp si messageTime, clickTime et threatTime ne sont pas présents Le code temporel présent dans le syslog.
type additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
uri principal.url Contient des informations sur l'URL.
url_count additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
userAgent network.http.user_agent,
network.http.parsed_user_agent		 User-agent HTTP.
value network.email.from Contient l'adresse e-mail de l'expéditeur.
vendor additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
verify security_result.action Contient les détails de la validation.
version network.tls.version Contient des informations sur la version TLS.
virtual additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
virusthreat security_result.threat_name Contient des informations sur le nom de la menace.
virusthreatid security_result.threat_id Contient des informations sur l'ID de la menace.
warn additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
x additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
X-Proofpoint-Spam-Details additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
xdelay additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
xmailer security_result.detection_fields Contenu de l'en-tête X-Mailer:, s'il est présent, ou champs de détection de sécurité spécifiques au fournisseur.

Champs de journal CEF

Champ du journal Champ UDM Description
cluster additional.fields Champs supplémentaires spécifiques au fournisseur.
file_hash principal.file.md5 Contient les détails MD5 du fichier.
file_name principal.file.full_path Contient le chemin d'accès.
GUID metadata.product_log_id Contient product_log_id.
guid metadata.product_log_id Contient product_log_id.
headerFrom additional.fields Contenu complet de l'en-tête From:.
headerReplyTo additional.fields["headerReplyTo"] Contenu complet de l'en-tête Reply-To:.
host principal.hostname,
principal.assest.hostname		 Contient le nom d'hôte principal.
id additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
id additional.fields Champs supplémentaires spécifiques au fournisseur.
impostorScore security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
malwareScore security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
message_id network.email.mail_id Contient des détails sur mail_id.
messageParts_contentType principal.file.mime_type Représente le type MIME d'une partie/composant spécifique de l'e-mail.
messageParts_disposition additional.fields Champs supplémentaires spécifiques au fournisseur.
messageParts_oContentType additional.fields Champs supplémentaires spécifiques au fournisseur.
messageParts_sandboxStatus security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
messageParts_sha256 principal.file.sha256 Contient les détails du fichier 256.
messageTime metadata.event_timestamp Heure à laquelle le message a été distribué à l'utilisateur ou mis en quarantaine par PPS.
modulesRun security_result.detection_fields Liste des modules PPS qui ont traité le message.
modulesRun security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
orig_dest network.email.to Adresse e-mail figurant dans l'enveloppe/en-tête SMTP initial lorsque l'e-mail est arrivé sur la passerelle.
orig_recipient target.user.email_addresses Adresse e-mail du destinataire.
orig_src network.email.from Adresse e-mail de la source.
policyRoutes additional.fields Champs supplémentaires spécifiques au fournisseur.
process_id principal.process.pid Contient les détails du PID du processus.
QID additional.fields ID de file d'attente du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et n'est pas unique.
quarantineFolder security_result.priority Nom du dossier contenant le message mis en quarantaine.
quarantineRule security_result.rule_name Nom de la règle qui a mis le message en quarantaine.
return_addr principal.user.email_addresses Adresse de l'enveloppe spécifiée lors du transport SMTP (MAIL FROM).
rt additional.fields Champs supplémentaires spécifiques au fournisseur.
sender principal.user.email_addresses Contient l'adresse e-mail de l'expéditeur.
src principal.ip,
principal.asset.ip		 Contient l'adresse IP principale.
stag additional.fields Champs supplémentaires spécifiques au fournisseur.
start additional.fields Champs supplémentaires spécifiques au fournisseur.
status_code additional.fields Champs supplémentaires spécifiques au fournisseur.
subject network.email.subject Contient email.subject.
threatsInfoMap_campaignID security_result.rule_id Identifiant de la campagne dont la menace fait partie, s'il est disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
threatsInfoMap_classification security_result.category,
security_result.category_details		 Catégorie de menace de l'URL malveillante.
threatsInfoMap_detectionType security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
threatsInfoMap_threatID security_result.threat_id Contient des informations sur l'ID de la menace.
threatsInfoMap_threatTime metadata.event_timestamp si messageTime est vide Heure à laquelle Proofpoint a attribué l'threatStatus.
threatsInfoMap_threatTime security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
threatsInfoMap_threatType security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
threatsInfoMap_threatUrl security_result.url_back_to_product Contient l'URL qui redirige vers les renseignements sur les menaces, l'analyse de bac à sable et les détails d'investigation de Proofpoint.
threatStatistics_families_name0 security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
threatStatistics_families_score0 security_result.detection_fields Champs de détection de sécurité spécifiques au fournisseur.
url security_result.about.url L'URL suspecte/malveillante réelle.
version additional.fields Champs supplémentaires spécifiques au fournisseur.
vip additional.fields Champs supplémentaires spécifiques au fournisseur.
xmailer security_result.detection_fields Contenu de l'en-tête X-Mailer:, s'il est présent, ou champs de détection de sécurité spécifiques au fournisseur.

Référence des deltas de mappage UDM

Le 9 septembre 2025, Google SecOps a publié une nouvelle version de l'analyseur d'alertes Proofpoint TAP, qui inclut des modifications importantes du mappage des champs de journaux d'alertes Proofpoint TAP aux champs UDM et des mises à jour des classifications des types d'événements (mappages).

Delta de mappage des champs de journal

Le tableau suivant présente les modifications apportées au mappage des champs de journal des alertes Proofpoint TAP avec les champs UDM. La colonne Ancien mappage liste les champs exposés avant le 9 septembre 2025, et la colonne Mappage actuel liste les nouveaux champs.

Champ du journal Ancienne correspondance Mappage actuel
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields Si quarantineFolder est égal à low priority ou high priority, mappez sur security_result.priority. Sinon, mappez sur security_result.detection_fields.
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields Si quarantineFolder est égal à low priority ou high priority, mappez sur security_result.priority. Sinon, mappez sur security_result.detection_fields.
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields Si quarantineFolder est égal à low priority ou high priority, mappez-le au champ UDM security_result.priority. Sinon, mappez sur security_result.detection_fields.
spamScore additional.fields security_result.detection_fields

Delta de mappage du type d'événement

Plusieurs événements qui étaient auparavant classés comme événements génériques sont désormais correctement classés avec des types d'événements plus pertinents.

Le tableau suivant liste les différences dans la gestion des types d'événements d'alertes Proofpoint TAP avant le 9 septembre 2025 et après (listés respectivement dans les colonnes Ancien event_type et event_type actuel).

Format eventType du journal Ancien event_type Valeur event_type actuelle
SYSLOG+KV Si le journal comporte les champs fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts ou mailer,proto,mod EMAIL_TRANSACTION
Si le journal ne contient que des détails sur mail_id EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
Journaux CEF eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
si le journal contient emails, sender, headerReplyTo, orig_recipient USER_UNCATEGORIED
si le journal contient src, host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.