Collecter les journaux d'alertes Proofpoint TAP

Compatible avec :

Ce document explique comment collecter les journaux d'alertes Proofpoint Targeted Attack Protection (TAP) en configurant un flux Google Security Operations.

Pour en savoir plus, consultez Ingestion de données Google SecOps.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion PROOFPOINT_MAIL.

Configurer les alertes Proofpoint TAP

  1. Connectez-vous au portail d'informations sur les menaces Proofpoint à l'aide de vos identifiants.
  2. Dans l'onglet Paramètres, sélectionnez Applications associées. La section Identifiants de service s'affiche.
  3. Dans la section Nom, cliquez sur Créer des identifiants.
  4. Saisissez le nom de votre organisation, par exemple altostrat.com.
  5. Cliquez sur Générer. Dans la boîte de dialogue Identifiants de service générés, les valeurs Principal de service et Secret s'affichent.
  6. Copiez les valeurs Principal du service et Secret. Les valeurs ne sont affichées qu'au moment de la création et sont requises lorsque vous configurez le flux Google Security Operations.
  7. Cliquez sur OK.

Configurer des flux

Pour configurer le flux, procédez comme suit :

  1. Accédez à Paramètres SIEM > Flux.
  2. Cliquez sur Ajouter un flux.
  3. Cliquez sur le package de flux Proofpoint.
  4. Recherchez le type de journal Alertes Proofpoint TAP.

  5. Indiquez les valeurs des champs suivants :

    • Type de source : API tierce
    • Nom d'utilisateur : spécifiez le principal de service que vous avez obtenu précédemment.
    • Secret : spécifiez le secret que vous avez obtenu précédemment.

    Options avancées

    • Nom du flux : valeur préremplie qui identifie le flux.
    • Espace de noms des composants : espace de noms associé au flux.
    • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

  6. Cliquez sur Créer un flux.

Pour en savoir plus sur les flux Google Security Operations, consultez la documentation sur les flux Google Security Operations. Pour en savoir plus sur les exigences de chaque type de flux, consultez Configuration des flux par type. Si vous rencontrez des problèmes lors de la création de flux, contactez l'assistance Google Security Operations.

Référence du mappage de champs

Cet analyseur gère les journaux Proofpoint Mail au format JSON ou clé-valeur, en extrayant les détails des activités de messagerie et réseau. Il mappe les champs de journaux à l'UDM, en classant les événements tels que les transactions par e-mail et les requêtes HTTP réseau, et en les enrichissant avec des détails de sécurité tels que les actions, les catégories et les informations sur les menaces.

Limites

Lorsque vous analysez les journaux PROOFPOINT_MAIL, vous pouvez observer des événements avec des codes temporels historiques malgré l'ingestion en temps réel. Ce comportement est inhérent à l'API Proofpoint, et non au pipeline d'ingestion Google SecOps. Même lorsque Google SecOps interroge l'API Proofpoint pour obtenir l'activité la plus récente, celle-ci peut renvoyer des événements qui se sont produits plusieurs jours auparavant. Des écarts entre event_timestamp et ingestion_time sont à prévoir pour le type de journal PROOFPOINT_MAIL en raison de la façon dont Proofpoint met en mémoire tampon et publie les données d'événement. Pour en savoir plus, consultez la documentation sur les codes temporels des événements Proofpoint.

Tables de mappage UDM

Les tableaux suivants listent les mappages des champs de journaux bruts des alertes Proofpoint TAP vers les champs UDM, classés par format.

Champ du journal Champ UDM Description
clicksBlocked[].classification security_result.category,
security_result.category_details		 Classification de la menace (par exemple, malware, phish).
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 Adresse IP de l'utilisateur ayant cliqué sur l'URL.
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Code temporel du clic.
clicksBlocked[].GUID metadata.product_log_id Identifiant unique de l'événement de clic.
clicksBlocked[].guid metadata.product_log_id Identifiant unique de l'événement de clic.
clicksBlocked[].id additional.fields["id"] Identifiant de clic unique.
clicksBlocked[].messageID network.email.mail_id ID du message électronique d'origine.
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 Adresse e-mail du destinataire.
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 Adresse e-mail de l'expéditeur. La partie utilisateur est hachée. La partie domaine est en texte brut.
clicksBlocked[].senderIP principal.ip Adresse IP de l'expéditeur d'origine.
clicksBlocked[].threatID security_result.threat_id Identifiant de la menace détectée.
clicksBlocked[].threatStatus security_result.threat_status État de la menace (Active, Cleared, etc.).
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 Heure à laquelle Proofpoint a attribué l'état de la menace.
clicksBlocked[].threatUrl security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
clicksBlocked[].url target.url,
security_result.about.url		 URL malveillante sur laquelle l'utilisateur a cliqué.
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 User-agent du client qui a effectué le clic.
clicksPermitted[].classification security_result.category,
security_result.category_details		 Classification de la menace (par exemple, malware, phish).
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 Adresse IP de l'utilisateur ayant cliqué sur l'URL.
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Code temporel du clic.
clicksPermitted[].GUID metadata.product_log_id Identifiant unique de l'événement de clic.
clicksPermitted[].guid metadata.product_log_id Identifiant unique de l'événement de clic.
clicksPermitted[].id additional.fields["id"] Identifiant de clic unique.
clicksPermitted[].messageID network.email.mail_id ID du message électronique d'origine.
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 Adresse e-mail du destinataire.
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 Adresse e-mail de l'expéditeur. La partie utilisateur est hachée. La partie domaine est en texte brut.
clicksPermitted[].senderIP principal.ip Adresse IP de l'expéditeur d'origine.
clicksPermitted[].threatID security_result.threat_id Identifiant de la menace détectée.
clicksPermitted[].threatStatus security_result.threat_status État de la menace (active, éliminée, etc.).
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 Heure à laquelle Proofpoint a attribué le threatStatus.
clicksPermitted[].threatUrl security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
clicksPermitted[].url target.url,
security_result.about.url		 URL malveillante sur laquelle l'utilisateur a cliqué.
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 User-agent du client qui a effectué le clic.
Champ du journal Champ UDM Description
messagesBlocked[].ccAddresses intermediary.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête CC:.
messagesBlocked[].cluster additional.fields["cluster"] Cluster de traitement du courrier Proofpoint spécifique (ou déploiement du locataire) qui a géré l'événement d'e-mail.
messagesBlocked[].clusterId additional.fields Nom du cluster PPS qui a traité le message.
messagesBlocked[].fromAddress principal.user.email_addresses,
network.email.from si messagesBlocked[].sender n'est pas présent		 Adresse e-mail contenue dans l'en-tête From:, à l'exclusion du nom convivial.
messagesBlocked[].guid metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesBlocked[].GUID metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesBlocked[].headerCC additional.fields["headerCC "] Contient des informations sur l'en-tête CC.
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] S'il est présent, le contenu complet de l'en-tête Reply-To:, y compris les noms conviviaux.
messagesBlocked[].id additional.fields["id"] Contient des informations sur l'ID du message.
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] Score d'imposteur du message.
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] Score de logiciel malveillant du message.
messagesBlocked[].messageID network.email.mail_id ID du message extrait des en-têtes de l'e-mail. Il permet de rechercher le message associé dans PPS et est unique.
messagesBlocked[].messageParts[].contentType about.file.mime_type Type MIME du fichier.
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] Comment la partie du message est gérée (par exemple, en pièce jointe ou intégrée). Indexé de manière dynamique.
messagesBlocked[].messageParts[].md5 about.file.md5 Hachage MD5 de la partie/du fichier du message.
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] Type de contenu déclaré de messagePart.
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] État de l'analyse du fichier dans le bac à sable.
messagesBlocked[].messageParts[].sha256 about.file.sha256 Hachage SHA256 de la partie/du fichier du message.
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path Nom du fichier ou de la pièce jointe.
messagesBlocked[].messageSize additional.fields["messageSize"] Taille du message en octets, y compris les en-têtes et les pièces jointes.
messagesBlocked[].messageTime metadata.event_timestamp Date à laquelle le message a été remis à l'utilisateur ou mis en quarantaine par PPS.
messagesBlocked[].modulesRun additional.fields["modulesRun"] Liste des modules PPS qui ont traité le message.
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] Score de hameçonnage du message.
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] Les routes de règles auxquelles le message correspondait lors du traitement par PPS.
messagesBlocked[].QID additional.fields["QID"] ID de la file d'attente du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et n'est pas unique.
messagesBlocked[].quarantineFolder security_result.priority si messagesBlocked[].quarantineFolder est "Low Priority" (Priorité faible) ou "High Priority" (Priorité élevée),
security_result.detection_fields ["quarantineFolder"] sinon		 Nom du dossier contenant le message mis en quarantaine.
messagesBlocked[].recipient network.email.to Tableau contenant les adresses e-mail des destinataires.
messagesBlocked[].replyToAddress network.email.reply_to si l'adresse e-mail est valide,
additional.fields["replyTo"] sinon		 Adresse e-mail contenue dans l'en-tête Reply-To:.
messagesBlocked[].sender network.email.from Adresse e-mail de l'expéditeur.
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 Adresse e-mail de l'expéditeur.
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] Score de spam du message.
messagesBlocked[].subject network.email.subject Objet de l'e-mail.
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] Tableau des ID de sous-organisations internes attribués aux destinataires.
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] ID de la sous-organisation interne attribué à l'expéditeur.
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id Identifiant de la campagne à laquelle appartient la menace, si disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id Identifiant de la campagne à laquelle appartient la menace, si disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Catégorie de menace détectée dans le message.
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 État de réécriture du message. Si la valeur est true, toutes les instances de menaces liées aux URL dans le message ont été réécrites avec succès. Si la valeur est false, au moins une instance d'URL de menace n'a pas été réécrite. Si la valeur est na, cela signifie que le message ne contenait aucune menace basée sur une URL.
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields Les nouveaux champs detectionType et ThreatInfo ont été ajoutés à la réponse.
messagesBlocked[].threatsInfoMap[].threat security_result.about.url si threatType esturl,
security_result.about.file.sha256 si attachment,
security_result.about.resource.name si messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Indique si la menace était une pièce jointe, une URL ou un type de message.
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id Identifiant unique associé à cette menace. Il peut être utilisé pour interroger les points de terminaison de données forensiques et de campagne.
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status État actuel de la menace.
messagesBlocked[].threatsInfoMap[].threatTime metadata.event_timestamp si messagesBlocked[].messageTime n'est pas présent,
security_result.detection_fields		 Heure à laquelle Proofpoint a attribué le threatStatus.
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name Chaîne spécifiant le type de menace qui sera renvoyé dans les données.
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product Lien vers l'entrée concernant la menace sur le tableau de bord TAP.
messagesBlocked[].toAddresses target.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête To:.
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] Contenu de l'en-tête X-Mailer:.
messagesDelivered[].ccAddresses intermediary.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête CC:.
messagesDelivered[].cluster additional.fields["cluster"] Cluster de traitement du courrier Proofpoint spécifique (ou déploiement du locataire) qui a géré l'événement d'e-mail.
messagesDelivered[].clusterId additional.fields Nom du cluster PPS qui a traité le message.
messagesDelivered[].fromAddress principal.user.email_addresses,
network.email.from si messagesDelivered[].sender n'est pas présent		 Adresse e-mail contenue dans l'en-tête From:, à l'exclusion du nom convivial.
messagesDelivered[].GUID metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesDelivered[].guid metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
messagesDelivered[].headerCC additional.fields["headerCC "] Contient des informations sur l'en-tête CC.
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] S'il est présent, le contenu complet de l'en-tête Reply-To:, y compris les noms conviviaux.
messagesDelivered[].id additional.fields["id "] Contient des informations sur l'ID du message.
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] Score d'imposteur du message.
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] Score de logiciel malveillant du message.
messagesDelivered[].messageID network.email.mail_id ID du message extrait des en-têtes de l'e-mail. Il peut être utilisé pour rechercher le message associé dans PPS et n'est pas unique.
messagesDelivered[].messageParts[].contentType about.file.mime_type Type MIME du fichier.
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] Comment la partie du message est gérée (par exemple, en pièce jointe ou intégrée). Indexé de manière dynamique.
messagesDelivered[].messageParts[].md5 about.file.md5 Hachage MD5 de la partie/du fichier du message.
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] Type de contenu déclaré de messagePart.
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] État de l'analyse du fichier dans le bac à sable.
messagesDelivered[].messageParts[].sha256 about.file.sha256 Hachage SHA256 de la partie/du fichier du message.
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path Nom du fichier ou de la pièce jointe.
messagesDelivered[].messageSize additional.fields["messageSize"] Taille du message en octets, y compris les en-têtes et les pièces jointes.
messagesDelivered[].messageTime metadata.event_timestamp Date à laquelle le message a été remis à l'utilisateur ou mis en quarantaine par PPS.
messagesDelivered[].modulesRun additional.fields["modulesRun"] Liste des modules PPS qui ont traité le message.
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] Score de hameçonnage du message.
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] Les routes de règles auxquelles le message correspondait lors du traitement par PPS.
messagesDelivered[].QID additional.fields["QID"] ID de la file d'attente du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et n'est pas unique.
messagesDelivered[].quarantineFolder security_result.priority si messagesDelivered[].quarantineFolder est "Low Priority" (Priorité faible) ou "High Priority" (Priorité élevée),
security_result.detection_fields ["quarantineFolder"] sinon		 Nom du dossier contenant le message mis en quarantaine.
messagesDelivered[].recipient network.email.to Tableau contenant les adresses e-mail des destinataires.
messagesDelivered[].replyToAddress network.email.reply_to si l'adresse e-mail est valide,
additional.fields ["replyTo"] sinon		 Adresse e-mail contenue dans l'en-tête Reply-To:.
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 Adresse e-mail de l'expéditeur.
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] Score de spam du message.
messagesDelivered[].subject network.email.subject Objet de l'e-mail.
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] Tableau des ID de sous-organisations internes attribués aux destinataires.
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] ID de la sous-organisation interne attribué à l'expéditeur
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id Identifiant de la campagne à laquelle appartient la menace, si disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id Identifiant de la campagne à laquelle appartient la menace, si disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 Catégorie de menace détectée dans le message.
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 État de réécriture du message. Si la valeur est true, toutes les instances de menaces liées aux URL dans le message ont été réécrites avec succès. Si la valeur est false, au moins une instance d'URL de menace n'a pas été réécrite. Si la valeur est na, cela signifie que le message ne contenait aucune menace basée sur une URL.
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields Les nouveaux champs detectionType et ThreatInfo ont été ajoutés à la réponse.
messagesDelivered[].threatsInfoMap[].threat security_result.about.url si threatType esturl,
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText,
security_result.about.resource.name sinon,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Indique si la menace était une pièce jointe, une URL ou un type de message.
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id Identifiant unique associé à cette menace. Il peut être utilisé pour interroger les points de terminaison de données forensiques et de campagne.
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Tableau de structures contenant des informations sur l'ID de l'acteur.
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status État actuel de la menace.
messagesDelivered[].threatsInfoMap[].threatTime metadata.event_timestamp si messagesDelivered[].messageTime n'est pas présent,
security_result.detection_fields		 Heure à laquelle Proofpoint a attribué le threatStatus.
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name Chaîne spécifiant le type de menace qui sera renvoyé dans les données.
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product Lien vers l'entrée concernant la menace sur le tableau de bord TAP.
messagesDelivered[].toAddresses target.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête To:.
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] Contenu de l'en-tête X-Mailer:.
msg.accountType Champs supplémentaires spécifiques aux fournisseurs.
msg.address principal.user.email_addresses Adresse e-mail spécifique associée au compte surveillé ou évalué pour détecter les activités suspectes.
msg.dashboardLink security_result.url_back_to_product Lien vers le tableau de bord "Informations sur les menaces".
msg.deliveredMessages Champs supplémentaires spécifiques aux fournisseurs.
msg.eventTime metadata.event_timestamp si messageTime et threatTime sont vides Code temporel UTC exact auquel cette observation de menace ou cet événement de journal a été généré.
msg.highRisk security_result.action Indicateur booléen (true/false) indiquant si Proofpoint classe ce compte comme présentant un risque de sécurité ou un niveau de compromission élevés.
msg.identity Champs supplémentaires spécifiques aux fournisseurs.
msg.maliciousMessages Champs supplémentaires spécifiques aux fournisseurs.
msg.observations[] additional.fields["observations"] Liste des tags comportementaux ou des indicateurs d'anomalie spécifiques de renseignements sur les menaces signalés par les algorithmes Proofpoint.
msg.timeRanges[].end additional.fields Il s'agit d'un tableau de périodes indiquant à quel moment des comportements suspects ou des indicateurs de menace ont été activement observés pour ce compte.
msg.timeRanges[].falsePositive additional.fields Il s'agit d'un tableau de périodes indiquant à quel moment des comportements suspects ou des indicateurs de menace ont été activement observés pour ce compte.
msg.timeRanges[].start,msg additional.fields Il s'agit d'un tableau de périodes indiquant à quel moment des comportements suspects ou des indicateurs de menace ont été activement observés pour ce compte.
msg.trafficType Champs supplémentaires spécifiques aux fournisseurs.
queryEndTime metadata.collected_timestamp Heure de fin de la période pour laquelle les données ont été demandées.
sender_domain principal.domain.name Extrait de messagesBlocked[].fromAddress ou messagesDelivered[].fromAddress, composé du nom de domaine de l'expéditeur.

Champs de journaux au format Syslog

Champ du journal Champ UDM Description
a additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
action security_result.action,
security_result.action_details		 Contient des informations sur l'action.
active security_result.threat_status État de la menace.
adjust additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
adultscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
application principal.application Contient les informations détaillées sur la demande du principal.
attachments additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
bits additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
bulkscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
campaignID security_result.rule_id Identifiant de la campagne à laquelle appartient la menace, si disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
ccAddresses intermediary.user.email_addresses Liste des adresses e-mail contenues dans l'en-tête CC:.
cid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
cipher network.tls.cipher Contient des informations sur tls.cipher.
cipher_bits additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
class security_result.category,
security_result.category_details		 Catégorie de menace de l'URL malveillante.
classifier security_result.category Catégorie de menace détectée dans le message.
clickIP security_result.about.ip, principal.ip,
principal.asset.ip		 Adresse IP externe de l'utilisateur qui a cliqué sur le lien. Si l'utilisateur se trouve derrière un pare-feu effectuant une traduction d'adresse réseau, l'adresse IP du pare-feu s'affiche.
clickTime metadata.event_timestamp si messageTime n'est pas présent Heure à laquelle l'utilisateur a cliqué sur l'URL.
cluster additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clusterId additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clx_result_group additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clx_score additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clx_shade additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
clxscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
cmd network.http.method si STS n'est pas vide,
principal.process.command_line sinon		 Lorsque STS n'est pas vide, il contient la méthode HTTP. Sinon, il contient les détails de la ligne de commande.
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 État de réécriture du message. Si la valeur est true, toutes les instances de menaces liées aux URL dans le message ont été réécrites avec succès. Si la valeur est false, au moins une instance d'URL de menace n'a pas été réécrite. Si la valeur est na, cela signifie que le message ne contenait aucune menace basée sur une URL.
corrupted additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
country principal.location.country_or_region Contient des informations sur le pays.
daemon additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
date_log metadata.event_timestamp si messageTime, clickTime et threatTime ne sont pas présents Code temporel présent dans le syslog.
date_log_rebase metadata.event_timestamp si messageTime, clickTime et threatTime ne sont pas présents Code temporel présent dans le syslog.
default additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
definitions additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
delay additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
dict security_result.category_details Contient category_details.
dnsid network.dns.id Contient des informations sur l'ID DNS.
domain principal.administrative_domain Contient des informations sur administrative_domain.
dsn additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
duration additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
eid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
elapsed additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
engine metadata.product_version Contient des informations sur product_version.
envid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
err security_result.description Une description.
evt extensions.auth.auth_details Informations d'authentification.
expires additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
file about.process.file.full_path Contient des informations sur le chemin d'accès complet au fichier.
from network.email.from Contient l'adresse e-mail de l'expéditeur.
fromAddress network.email.from Adresse e-mail contenue dans l'en-tête From:.
guid metadata.product_log_id ID du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et est toujours unique.
hdr_mid network.email.mail_id Contient des informations sur mail_id.
headerFrom additional.fields["headerFrom"] Contenu complet de l'en-tête From:, y compris tout nom convivial.
headerReplyTo additional.fields["headerReplyTo"] Si elle est présente, il s'agit du contenu complet de l'en-tête Reply-To:.
headerTo additional.fields Champs supplémentaires spécifiques aux fournisseurs.
helo security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
hfrom network.email.from Contient l'adresse e-mail de l'expéditeur.
hfrom_domain principal.administrative_domain Contient les détails de administrative_domain.
hops-ip intermediary.ip Contient l'adresse IP intermédiaire.
host principal.hostname Contient des informations sur le nom d'hôte.
id additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
id additional.fields Champs supplémentaires spécifiques aux fournisseurs.
impostor_score security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
impostorScore security_result.detection_fields Score d'imposteur du message.
inter_host intermediary.hostname Contient des informations sur le nom d'hôte intermédiaire.
intermediary_hostname intermediary.hostname Contient le nom d'hôte intermédiaire.
intermediary_ip intermediary.ip Contient l'adresse IP intermédiaire.
ip principal.ip,
principal.asset.ip		 Contient l'adresse IP de l'expéditeur
len additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
lint security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
lip intermediary.ip Contient l'adresse IP intermédiaire.
log_level security_result.severity Contient des informations sur la gravité.
lowpriorityscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
m network.email.mail_id Contient des informations sur mail_id.
mailer network.application_protocol Contient des informations sur application_protocol.
malwareScore security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
messageID network.email.mail_id ID du message extrait des en-têtes de l'e-mail.
messageParts[].contentType about.file.mime_type Type MIME du fichier.
messageParts[].disposition additional.fields["disposition "] Comment la partie du message est gérée (par exemple, en pièce jointe ou intégrée). Indexé de manière dynamique.
messageParts[].filename about.file.full_path Nom du fichier ou de la pièce jointe.
messageParts[].md5 about.file.md5 Hachage MD5 de la partie/du fichier du message.
messageParts[].oContentType additional.fields["oContentType "] Type de contenu déclaré de messagePart.
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] État de l'analyse du fichier dans le bac à sable.
messageParts[].sha256 about.file.sha256 Hachage SHA256 de la partie/du fichier du message.
messageTime metadata.event_timestamp Date à laquelle le message a été remis à l'utilisateur ou mis en quarantaine par PPS.
mime principal.process.file.mime_type Contient les détails du fichier mime_type.
mlxscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
mod network.application_protocol Contient des informations sur application_protocol.
module additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
modulesRun security_result.detection_fields Liste des modules PPS qui ont traité le message.
modulesRun security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
msg security_result.description Une description.
msghold_response additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
msgid network.email.mail_id Contient des informations sur mail_id.
msgs additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
name about.process.file.full_path Contient le chemin d'accès complet du fichier.
notroutes additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
nrcpts additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
path principal.url Contient des informations sur l'URL.
phishscore security_result.detection_fields Score de hameçonnage du message.
pid principal.process.pid Contient des informations sur le PID.
policy network.direction Décrit le flux réseau. Contient une valeur entrante/sortante.
pri additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
principal_hostname principal.hostname,
principal.asset.hostname		 Contient des informations sur le nom d'hôte principal.
principal_ip_1 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_2 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_3 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_4 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_5 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_6 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_7 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_8 principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP principale.
principal_ip_port_1 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_ip_port_2 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_ip_port_3 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_ip_port_4 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_ip_port_5 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_ip_port_6 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_ip_port_7 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_ip_port_8 principal.resource.attribute.labels Contient les informations sur le port principal.
principal_pid principal.process.pid Capture le PID du processus.
priority_score security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
priorityscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
profile additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
prot network.application_protocol Contient des informations sur application_protocol.
protected additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
proto network.application_protocol Contient des informations sur application_protocol.
pss additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
qid additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
quarantineFolder security_result.priority Nom du dossier contenant le message mis en quarantaine.
quarantineRule security_result.rule_name Nom de la règle qui a mis le message en quarantaine.
query additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
querydepth additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rcode additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rcpt network.email.to Contient l'adresse e-mail du destinataire.
rcpts network.email.to Contient l'adresse e-mail du destinataire
reason additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
recipient target.user.email_addresses Contient les informations sur l'adresse e-mail du destinataire.
reject additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
reply additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
replyToAddress network.email.reply_to Adresse e-mail contenue dans l'en-tête Reply-To:.
resolve additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
restquery_stage additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
result security_result.action Contient des informations sur l'action.
result additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
result_detail security_result.description Fournit une description.
reverse additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
routes additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rss additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
rule security_result.rule_name Contient rule_name.
s network.session_id Contient des informations sur session_id.
scancount additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
scope additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
score additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
selector additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sender principal.user.email_addresses Contient des informations sur l'adresse e-mail de l'expéditeur.
senderIP principal.ip,
principal.assest.ip		 Contient des informations sur l'adresse IP de l'expéditeur.
sendmail_queue_id additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sha256 security_result.about.file.sha256 Détails du fichier SHA256.
size principal.process.file.size` Contient des informations sur la taille du fichier.
smtputf8 additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
spamscore security_result.detection_fields Score de spam du message.
src_host principal.hostname,
principal.asset.hostname		 Contient des informations sur le nom d'hôte principal.
STARTTLS additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
stat additional.fields Contient des informations sur l'état.
status additional.fields Contient des informations sur l'état.
sts network.http.response_code Contient les données response_code.
subject network.email.subject Contient email.subject.
subject network.email.subject Contient des informations sur l'objet de l'e-mail.
suspectscore additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sys additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
sz principal.process.file.size Contient des informations sur la taille du fichier.
tests additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
threat security_result.about.url si threatType est url,
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels avec la clé ["threatType"]
threatID security_result.threat_id Contient des informations sur l'ID de la menace.
threatsInfoMap[].campaignID security_result1.rule_id Identifiant de la campagne à laquelle appartient la menace, si disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
threatsInfoMap[].classification security_result.category
security_result.category_details		 Catégorie de menace détectée dans le message.
threatsInfoMap[].threat security_result.about.url si threatType est url,
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatsInfoMap[].threatType
security_result.about.resource.name sinon,
security_result.about.resource.attribute.labels avec la clé ["threatType"]		 Tableau de structures contenant des informations sur les menaces détectées dans le message. Il peut y avoir plusieurs menaces par message.
threatsInfoMap[].threatID security_result.threat_id Contient des informations sur l'ID de la menace.
threatsInfoMap[].threatStatus security_result.threat_status État actuel de la menace.
threatsInfoMap[].threatTime metadata.event_timestamp si messageTime et clickTime sont absents,
security_result.detection_fields
threatsInfoMap[].threatType security_result.about.url si threatType est url
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText
result.about.resource.attribute.labels avec la valeur Email et la clé threatsInfoMap[].threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels avec la clé ["threatType"]		 Tableau de structures contenant des informations sur les menaces détectées dans le message. Il peut y avoir plusieurs menaces par message.
threatsInfoMap[].threatUrl security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
threatStatus security_result.threat_status État actuel de la menace.
threatTime metadata.event_timestamp si messageTime et clickTime ne sont pas présents Heure à laquelle Proofpoint a identifié l'URL comme une menace.
threatType security_result.about.url si threatType est url,
security_result.about.file.sha256 si threatType est attachment
security_result.about.resource.name si threatType est messageText,
result.about.resource.attribute.labels avec la valeur Email et la clé threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels avec la clé ["threatType"]
threatURL security_result.url_back_to_product Lien vers l'entrée du tableau de bord TAP pour la menace en question.
threshold additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
tls network.tls.cipher Contient des informations sur tls.cipher.
tls-alert security_result.description Fournit une description
tls_verify security_result.action Contient les informations de validation.
tls_version network.tls.version Contient des informations sur la version TLS.
to network.email.to Contient l'adresse e-mail du destinataire.
toAddresses network.email.to Liste des adresses e-mail contenues dans l'en-tête To:.
token additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
ts metadata.event_timestamp si messageTime, clickTime et threatTime ne sont pas présents Code temporel présent dans le syslog.
type additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
uri principal.url Contient des informations sur l'URL.
url_count additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
userAgent network.http.user_agent,
network.http.parsed_user_agent		 User-agent HTTP.
value network.email.from Contient l'adresse e-mail de l'expéditeur.
vendor additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
verify security_result.action Contient les informations de validation.
version network.tls.version Contient des informations sur la version TLS.
virtual additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
virusthreat security_result.threat_name Contient des informations sur le nom de la menace.
virusthreatid security_result.threat_id Contient des informations sur l'ID de la menace.
warn additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
x additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
X-Proofpoint-Spam-Details additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
xdelay additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
xmailer security_result.detection_fields Contenu de l'en-tête X-Mailer:, le cas échéant, ou des champs de détection de sécurité spécifiques au fournisseur.

Champs de journaux CEF

Champ du journal Champ UDM Description
cluster additional.fields Champs supplémentaires spécifiques aux fournisseurs.
file_hash principal.file.md5 Contient les détails MD5 du fichier.
file_name principal.file.full_path Contient le chemin d'accès.
GUID metadata.product_log_id Contient product_log_id.
guid metadata.product_log_id Contient product_log_id.
headerFrom additional.fields Contenu complet de l'en-tête From:.
headerReplyTo additional.fields["headerReplyTo"] Contenu complet de l'en-tête Reply-To:.
host principal.hostname,
principal.assest.hostname		 Contient le nom d'hôte principal.
id additional.fields Champs supplémentaires contenant des données d'événement spécifiques au fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM.
id additional.fields Champs supplémentaires spécifiques aux fournisseurs.
impostorScore security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
malwareScore security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
message_id network.email.mail_id Contient des informations sur mail_id.
messageParts_contentType principal.file.mime_type Représente le type MIME d'une partie/d'un composant spécifique de l'e-mail.
messageParts_disposition additional.fields Champs supplémentaires spécifiques aux fournisseurs.
messageParts_oContentType additional.fields Champs supplémentaires spécifiques aux fournisseurs.
messageParts_sandboxStatus security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
messageParts_sha256 principal.file.sha256 Contient les détails du fichier 256.
messageTime metadata.event_timestamp Heure à laquelle le message a été remis à l'utilisateur ou mis en quarantaine par PPS.
modulesRun security_result.detection_fields Liste des modules PPS qui ont traité le message.
modulesRun security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
orig_dest network.email.to Adresse e-mail figurant dans l'enveloppe/l'en-tête SMTP initial lorsque l'e-mail a atteint la passerelle.
orig_recipient target.user.email_addresses Adresse e-mail du destinataire.
orig_src network.email.from Adresse e-mail de la source.
policyRoutes additional.fields Champs supplémentaires spécifiques aux fournisseurs.
process_id principal.process.pid Contient des informations sur le PID du processus.
QID additional.fields ID de la file d'attente du message dans PPS. Il peut être utilisé pour identifier le message dans PPS et n'est pas unique.
quarantineFolder security_result.priority Nom du dossier contenant le message mis en quarantaine.
quarantineRule security_result.rule_name Nom de la règle qui a mis le message en quarantaine.
return_addr principal.user.email_addresses Adresse de l'enveloppe spécifiée lors du transport SMTP (MAIL FROM).
rt additional.fields Champs supplémentaires spécifiques aux fournisseurs.
sender principal.user.email_addresses Contient l'adresse e-mail de l'expéditeur.
src principal.ip,
principal.asset.ip		 Contient l'adresse IP principale.
stag additional.fields Champs supplémentaires spécifiques aux fournisseurs.
start additional.fields Champs supplémentaires spécifiques aux fournisseurs.
status_code additional.fields Champs supplémentaires spécifiques aux fournisseurs.
subject network.email.subject Contient email.subject.
threatsInfoMap_campaignID security_result.rule_id Identifiant de la campagne à laquelle appartient la menace, si disponible au moment de la requête. Les menaces peuvent être associées à des campagnes même après la récupération de ces événements.
threatsInfoMap_classification security_result.category,
security_result.category_details		 Catégorie de menace de l'URL malveillante.
threatsInfoMap_detectionType security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
threatsInfoMap_threatID security_result.threat_id Contient des informations sur l'ID de la menace.
threatsInfoMap_threatTime metadata.event_timestamp si messageTime est vide Heure à laquelle Proofpoint a attribué le threatStatus.
threatsInfoMap_threatTime security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
threatsInfoMap_threatType security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
threatsInfoMap_threatUrl security_result.url_back_to_product Contient l'URL qui redirige vers les informations de Proofpoint sur les renseignements sur les menaces, l'analyse du bac à sable et les détails d'investigation.
threatStatistics_families_name0 security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
threatStatistics_families_score0 security_result.detection_fields Champs de détection de sécurité spécifiques aux fournisseurs.
url security_result.about.url URL suspecte/malveillante réelle.
version additional.fields Champs supplémentaires spécifiques aux fournisseurs.
vip additional.fields Champs supplémentaires spécifiques aux fournisseurs.
xmailer security_result.detection_fields Contenu de l'en-tête X-Mailer:, le cas échéant, ou des champs de détection de sécurité spécifiques au fournisseur.

Référence delta du mappage UDM

Le 9 septembre 2025, Google SecOps a publié une nouvelle version du parser d'alertes Proofpoint TAP, qui inclut des modifications importantes apportées au mappage des champs de journaux d'alertes Proofpoint TAP vers les champs UDM, ainsi qu'aux classifications (mappages) des types d'événements.

Delta de mappage champ de journal

Le tableau suivant montre comment les champs de journaux des alertes Proofpoint TAP sont mappés aux champs UDM. La colonne Ancien mappage liste les champs exposés avant le 9 septembre 2025, et la colonne Mappage actuel liste les nouveaux champs.

Champ du journal Ancien mappage Mappage actuel
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields Si quarantineFolder est égal à low priority ou high priority, mappez sur security_result.priority. Sinon, mappez sur security_result.detection_fields.
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields Si quarantineFolder est égal à low priority ou high priority, mappez sur security_result.priority. Sinon, mappez sur security_result.detection_fields.
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields Si quarantineFolder est égal à low priority ou high priority, mappez-le sur le champ UDM security_result.priority. Sinon, mappez sur security_result.detection_fields.
spamScore additional.fields security_result.detection_fields

Delta de mappage des types d'événements

Plusieurs événements qui étaient auparavant classés comme événements génériques sont désormais correctement classés avec des types d'événements plus pertinents.

Le tableau suivant indique la différence de traitement des types d'événements d'alertes Proofpoint TAP avant et après le 9 septembre 2025 (respectivement listés dans les colonnes Ancien event_type et event_type actuel).

Format eventType à partir du journal Ancien event_type Current event_type
SYSLOG+KV Si les champs fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts,mailer,proto ou mod sont présents dans le journal EMAIL_TRANSACTION
Si le journal ne contient que des détails mail_id EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
Journaux CEF eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
si le journal comporte emails, sender, headerReplyTo, orig_recipient USER_UNCATEGORIED
si le journal comporte src, host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.