איסוף יומני התראות של Proofpoint TAP

נתמך ב:

במאמר הזה מוסבר איך מגדירים פיד של Google Security Operations כדי לאסוף יומני התראות של Proofpoint Targeted Attack Protection ‏(TAP).

מידע נוסף זמין במאמר הטמעת נתונים ב-Google SecOps.

תווית הטמעה מזהה את המנתח שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח עם תווית הטמעת הנתונים PROOFPOINT_MAIL.

הגדרת התראות Proofpoint TAP

  1. נכנסים לפורטל התובנות של Proofpoint בנושא איומים באמצעות פרטי הכניסה שלכם.
  2. בכרטיסייה הגדרות, לוחצים על אפליקציות מקושרות. הקטע Service credentials מופיע.
  3. בקטע Name, לוחצים על Create new credential.
  4. מקלידים את שם הארגון, לדוגמה altostrat.com.
  5. לוחצים על יצירה. בתיבת הדו-שיח Generated service credential, הערכים Service principal ו-Secret מופיעים.
  6. מעתיקים את הערכים של Service principal (מנהל השירות) ו-Secret (סוד). הערכים מוצגים רק בזמן היצירה, והם נדרשים כשמגדירים את הפיד של Google Security Operations.
  7. לוחצים על סיום.

הגדרת פידים

כדי להגדיר את הפיד:

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. לוחצים על חבילת הפיד של Proofpoint.
  4. מאתרים את סוג היומן Proofpoint Tap Alerts.

  5. מציינים את הערכים בשדות הבאים:

    • סוג המקור: API של צד שלישי
    • שם משתמש: מציינים את השירות הראשי שקיבלתם קודם.
    • Secret: מציינים את הסוד שקיבלתם קודם.

    אפשרויות מתקדמות

    • שם הפיד: ערך שמולא מראש ומזהה את הפיד.
    • מרחב השמות של הנכס: מרחב השמות שמשויך לפיד.
    • תוויות הטמעה: תוויות שנוספו לכל האירועים מהפיד הזה.

  6. לוחצים על יצירת פיד.

מידע נוסף על פידים של Google Security Operations זמין במסמכי התיעוד של פידים של Google Security Operations. למידע על הדרישות של כל סוג פיד, קראו את המאמר הגדרת פיד לפי סוג. אם נתקלתם בבעיות ביצירת פידים, פנו לתמיכה של Google Security Operations.

הפניה למיפוי שדות

מנתח הנתונים הזה מטפל ביומני Proofpoint Mail בפורמט JSON או בפורמט של מפתח/ערך, ומחלץ פרטים על פעילות באימייל ופעילות ברשת. הוא ממפה את שדות היומן ל-UDM, מסווג אירועים כמו עסקאות באימייל ובקשות HTTP ברשת, ומעשיר אותם בפרטי אבטחה כמו פעולות, קטגוריות ומידע על איומים.

מגבלות

בניתוח של יומני PROOFPOINT_MAIL, יכול להיות שתראו אירועים עם חותמות זמן היסטוריות, למרות שההטמעה מתבצעת בזמן אמת. ההתנהגות הזו היא חלק מובנה מ-Proofpoint API, ולא מצינור עיבוד הנתונים של Google SecOps. גם כש-Google SecOps שולח שאילתה לגבי הפעילות האחרונה, ה-API של Proofpoint יכול להחזיר אירועים שהתרחשו כמה ימים לפני כן. צפויים פערים בין event_timestamp לבין ingestion_time בסוג היומן PROOFPOINT_MAIL בגלל האופן שבו Proofpoint שומרת נתוני אירועים במאגר נתונים זמני ומשחררת אותם. לפרטים נוספים, אפשר לעיין במסמכי התיעוד של Proofpoint בנושא חותמות זמן של אירועים.

טבלאות מיפוי UDM

בטבלאות הבאות מפורטים המיפויים של שדות היומן הגולמי של התראות Proofpoint TAP לשדות UDM, לפי הפורמט.

שדה ביומן שדה UDM תיאור
clicksBlocked[].classification security_result.category,
security_result.category_details		 סיווג האיום (לדוגמה, malware, phish).
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 כתובת ה-IP של המשתמש שלחץ על כתובת ה-URL.
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 חותמת הזמן של הקליק.
clicksBlocked[].GUID metadata.product_log_id המזהה הייחודי של האירוע מסוג קליק.
clicksBlocked[].guid metadata.product_log_id המזהה הייחודי של האירוע מסוג קליק.
clicksBlocked[].id additional.fields["id"] מזהה הקליק הייחודי.
clicksBlocked[].messageID network.email.mail_id מזהה הודעת האימייל המקורי.
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 כתובת האימייל של הנמען.
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 כתובת האימייל של השולח. החלק של המשתמש מגובב. החלק של הדומיין הוא טקסט לא מוצפן.
clicksBlocked[].senderIP principal.ip כתובת ה-IP של השולח המקורי.
clicksBlocked[].threatID security_result.threat_id המזהה של האיום שזוהה.
clicksBlocked[].threatStatus security_result.threat_status סטטוס האיום (Active,‏ Cleared וכו').
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 השעה שבה Proofpoint הקצה את threatStatus.
clicksBlocked[].threatUrl security_result.url_back_to_product קישור לרשומה בלוח הבקרה של TAP לאיום הספציפי.
clicksBlocked[].url target.url,
security_result.about.url		 כתובת ה-URL הזדונית שהמשתמש לחץ עליה.
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 סוכן המשתמש של הלקוח שלחץ על המודעה.
clicksPermitted[].classification security_result.category,
security_result.category_details		 סיווג האיום (לדוגמה, malware, phish).
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 כתובת ה-IP של המשתמש שלחץ על כתובת ה-URL.
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 חותמת הזמן של הקליק.
clicksPermitted[].GUID metadata.product_log_id המזהה הייחודי של האירוע מסוג קליק.
clicksPermitted[].guid metadata.product_log_id המזהה הייחודי של האירוע מסוג קליק.
clicksPermitted[].id additional.fields["id"] מזהה הקליק הייחודי.
clicksPermitted[].messageID network.email.mail_id מזהה הודעת האימייל המקורי.
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 כתובת האימייל של הנמען.
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 כתובת האימייל של השולח. החלק של המשתמש מגובב. החלק של הדומיין הוא טקסט לא מוצפן.
clicksPermitted[].senderIP principal.ip כתובת ה-IP של השולח המקורי.
clicksPermitted[].threatID security_result.threat_id המזהה של האיום שזוהה.
clicksPermitted[].threatStatus security_result.threat_status סטטוס האיום (פעיל, נוקה וכו').
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 השעה שבה Proofpoint הקצתה את ה-threatStatus.
clicksPermitted[].threatUrl security_result.url_back_to_product קישור לרשומה בלוח הבקרה של TAP לאיום הספציפי.
clicksPermitted[].url target.url,
security_result.about.url		 כתובת ה-URL הזדונית שהמשתמש לחץ עליה.
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 סוכן המשתמש של הלקוח שלחץ על המודעה.
שדה ביומן שדה UDM תיאור
messagesBlocked[].ccAddresses intermediary.user.email_addresses רשימה של כתובות אימייל שכלולות בכותרת CC:.
messagesBlocked[].cluster additional.fields["cluster"] אשכול עיבוד הדואר הספציפי של Proofpoint (או פריסת הדייר) שטיפל באירוע האימייל.
messagesBlocked[].clusterId additional.fields שם אשכול ה-PPS שעיבד את ההודעה.
messagesBlocked[].fromAddress ‫principal.user.email_addresses,
network.email.from אם messagesBlocked[].sender לא קיים		 כתובת האימייל שמופיעה בכותרת From:, לא כולל השם הידידותי.
messagesBlocked[].guid metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS והוא תמיד ייחודי.
messagesBlocked[].GUID metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS והוא תמיד ייחודי.
messagesBlocked[].headerCC additional.fields["headerCC "] מכיל פרטים של headerCC.
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] אם יש, התוכן המלא של הכותרת Reply-To:, כולל שמות ידידותיים.
messagesBlocked[].id additional.fields["id"] מכיל פרטים על מזהה ההודעה.
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] ציון ההתחזות של ההודעה.
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] הציון של התוכנה הזדונית בהודעה.
messagesBlocked[].messageID network.email.mail_id מזהה ההודעה שחולץ מהכותרות של הודעת האימייל. אפשר להשתמש בו כדי לחפש את ההודעה המשויכת ב-PPS, והוא ייחודי.
messagesBlocked[].messageParts[].contentType about.file.mime_type סוג ה-MIME של הקובץ.
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] איך המערכת מטפלת בחלק של ההודעה (לדוגמה, מצורף, מוטבע). נוספים לאינדקס באופן דינמי.
messagesBlocked[].messageParts[].md5 about.file.md5 גיבוב (hash) MD5 של החלק בהודעה או של הקובץ.
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] סוג התוכן המוצהר של messagePart.
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] סטטוס ניתוח הקובץ בארגז החול.
messagesBlocked[].messageParts[].sha256 about.file.sha256 גיבוב SHA256 של החלק בהודעה או של הקובץ.
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path שם הקובץ או הקובץ המצורף.
messagesBlocked[].messageSize additional.fields["messageSize"] גודל ההודעה בבייטים, כולל כותרות וקבצים מצורפים.
messagesBlocked[].messageTime metadata.event_timestamp מתי ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
messagesBlocked[].modulesRun additional.fields["modulesRun"] רשימת המודולים של PPS שעיבדו את ההודעה.
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] ציון הפישינג של ההודעה.
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] הנתיבים של המדיניות שההודעה תאמה להם במהלך העיבוד על ידי PPS.
messagesBlocked[].QID additional.fields["QID"] מזהה התור של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא לא ייחודי.
messagesBlocked[].quarantineFolder security_result.priority אם messagesBlocked[].quarantineFolder הוא "עדיפות נמוכה" או "עדיפות גבוהה",
security_result.detection_fields ["quarantineFolder"] אחרת		 שם התיקייה שמכילה את ההודעה שהועברה להסגר.
messagesBlocked[].recipient network.email.to מערך שמכיל את כתובות האימייל של הנמענים.
messagesBlocked[].replyToAddress network.email.reply_to אם זו כתובת אימייל תקינה,
additional.fields["replyTo"] אחרת		 כתובת האימייל שמופיעה בכותרת Reply-To:.
messagesBlocked[].sender network.email.from כתובת האימייל של השולח.
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 כתובת האימייל של השולח.
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] ציון הספאם של ההודעה.
messagesBlocked[].subject network.email.subject נושא האימייל.
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] מערך של מזהי ארגוני משנה פנימיים שהוקצו לנמענים.
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] המזהה הפנימי של ארגון המשנה שהוקצה לשולח.
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שהאירועים האלה מאוחזרים.
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שהאירועים האלה מאוחזרים.
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 קטגוריית האיום שנמצא בהודעה.
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 סטטוס השכתוב של ההודעה. אם הערך הוא true, כל המופעים של איומי כתובות URL בהודעה שוכתבו בהצלחה. אם הערך הוא false, לפחות מופע אחד של כתובת URL של איום לא שוכתב. אם הערך הוא na, ההודעה לא הכילה איומים שמבוססים על כתובות URL.
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields השדות החדשים detectionType ו-ThreatInfo נוספו לתגובה.
messagesBlocked[].threatsInfoMap[].threat ‫security_result.about.url אם threatType הואurl,
security_result.about.file.sha256 אם attachment,
security_result.about.resource.name אם messageText,
result.about.resource.attribute.labels עם הערך Email והמפתח threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 אם האיום היה קובץ מצורף, כתובת URL או סוג הודעה.
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id המזהה הייחודי שמשויך לאיום הזה. אפשר להשתמש בו כדי לשלוח שאילתות לנקודות הקצה של ניתוח הנתונים והקמפיינים.
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status המצב הנוכחי של האיום.
messagesBlocked[].threatsInfoMap[].threatTime ‫metadata.event_timestamp אם messagesBlocked[].messageTime לא קיים,
security_result.detection_fields		 השעה שבה Proofpoint הקצתה את ה-threatStatus.
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name מחרוזת שמציינת איזה סוג איום יוחזר בנתונים.
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product קישור לרשומה על האיום במרכז הבקרה של TAP.
messagesBlocked[].toAddresses target.user.email_addresses רשימה של כתובות אימייל שכלולות בכותרת To:.
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] התוכן של הכותרת X-Mailer:.
messagesDelivered[].ccAddresses intermediary.user.email_addresses רשימה של כתובות אימייל שכלולות בכותרת CC:.
messagesDelivered[].cluster additional.fields["cluster"] אשכול עיבוד הדואר הספציפי של Proofpoint (או פריסת הדייר) שטיפל באירוע האימייל.
messagesDelivered[].clusterId additional.fields שם אשכול ה-PPS שעיבד את ההודעה.
messagesDelivered[].fromAddress ‫principal.user.email_addresses,
network.email.from אם messagesDelivered[].sender לא קיים		 כתובת האימייל שמופיעה בכותרת From:, לא כולל השם הידידותי.
messagesDelivered[].GUID metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS והוא תמיד ייחודי.
messagesDelivered[].guid metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS והוא תמיד ייחודי.
messagesDelivered[].headerCC additional.fields["headerCC "] מכיל פרטים של headerCC.
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] אם יש, התוכן המלא של הכותרת Reply-To:, כולל שמות ידידותיים.
messagesDelivered[].id additional.fields["id "] מכיל פרטים על מזהה ההודעה.
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] ציון ההתחזות של ההודעה.
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] הציון של התוכנה הזדונית בהודעה.
messagesDelivered[].messageID network.email.mail_id מזהה ההודעה שחולץ מהכותרות של הודעת האימייל. אפשר להשתמש בו כדי לחפש את ההודעה המשויכת ב-PPS, והוא לא ייחודי.
messagesDelivered[].messageParts[].contentType about.file.mime_type סוג ה-MIME של הקובץ.
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] איך המערכת מטפלת בחלק של ההודעה (לדוגמה, מצורף, מוטבע). נוספים לאינדקס באופן דינמי.
messagesDelivered[].messageParts[].md5 about.file.md5 גיבוב (hash) MD5 של החלק בהודעה או של הקובץ.
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] סוג התוכן המוצהר של messagePart.
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] סטטוס ניתוח הקובץ בארגז החול.
messagesDelivered[].messageParts[].sha256 about.file.sha256 גיבוב SHA256 של החלק בהודעה או של הקובץ.
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path שם הקובץ או הקובץ המצורף.
messagesDelivered[].messageSize additional.fields["messageSize"] גודל ההודעה בבייטים, כולל כותרות וקבצים מצורפים.
messagesDelivered[].messageTime metadata.event_timestamp מתי ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
messagesDelivered[].modulesRun additional.fields["modulesRun"] רשימת המודולים של PPS שעיבדו את ההודעה.
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] ציון הפישינג של ההודעה.
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] הנתיבים של המדיניות שההודעה תאמה להם במהלך העיבוד על ידי PPS.
messagesDelivered[].QID additional.fields["QID"] מזהה התור של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא לא ייחודי.
messagesDelivered[].quarantineFolder security_result.priority אם messagesDelivered[].quarantineFolder הוא "עדיפות נמוכה" או "עדיפות גבוהה",
security_result.detection_fields ["quarantineFolder"] אחרת		 שם התיקייה שמכילה את ההודעה שהועברה להסגר.
messagesDelivered[].recipient network.email.to מערך שמכיל את כתובות האימייל של הנמענים.
messagesDelivered[].replyToAddress network.email.reply_to אם זו כתובת אימייל תקינה,
additional.fields ["replyTo"] אחרת		 כתובת האימייל שמופיעה בכותרת Reply-To:.
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 כתובת האימייל של השולח.
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] ציון הספאם של ההודעה.
messagesDelivered[].subject network.email.subject נושא האימייל.
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] מערך של מזהי תת-ארגונים פנימיים שהוקצו לנמענים.
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] המזהה הפנימי של ארגון המשנה שהוקצה לשולח
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שהאירועים האלה מאוחזרים.
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שהאירועים האלה מאוחזרים.
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 קטגוריית האיום שנמצא בהודעה.
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 סטטוס השכתוב של ההודעה. אם הערך הוא true, כל המופעים של איומי כתובות URL בהודעה שוכתבו בהצלחה. אם הערך הוא false, לפחות מופע אחד של כתובת URL של איום לא שוכתב. אם הערך הוא na, ההודעה לא הכילה איומים שמבוססים על כתובות URL.
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields השדות החדשים detectionType ו-ThreatInfo נוספו לתגובה.
messagesDelivered[].threatsInfoMap[].threat security_result.about.url אם threatType הואurl,
security_result.about.file.sha256 אם threatType הוא attachment
security_result.about.resource.name אם threatType הוא messageText,
security_result.about.resource.name אחרת,
result.about.resource.attribute.labels עם הערך Email והמפתח threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 אם האיום היה קובץ מצורף, כתובת URL או סוג הודעה.
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id המזהה הייחודי שמשויך לאיום הזה. אפשר להשתמש בו כדי לשלוח שאילתות לנקודות הקצה של ניתוח הנתונים והקמפיינים.
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status המצב הנוכחי של האיום.
messagesDelivered[].threatsInfoMap[].threatTime ‫metadata.event_timestamp אם messagesDelivered[].messageTime לא קיים,
security_result.detection_fields		 השעה שבה Proofpoint הקצתה את ה-threatStatus.
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name מחרוזת שמציינת איזה סוג איום יוחזר בנתונים.
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product קישור לרשומה על האיום במרכז הבקרה של TAP.
messagesDelivered[].toAddresses target.user.email_addresses רשימת כתובות אימייל שכלולות בכותרת To:.
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] התוכן של הכותרת X-Mailer:.
msg.accountType שדות נוספים ספציפיים לספק.
msg.address principal.user.email_addresses כתובת האימייל הספציפית שמשויכת לחשבון שנמצא במעקב או בבדיקה לגבי פעילות שמהווה איום.
msg.dashboardLink security_result.url_back_to_product קישור למרכז הבקרה של Threat Insight.
msg.deliveredMessages שדות נוספים ספציפיים לספק.
msg.eventTime metadata.event_timestamp אם messageTime ו-threatTime ריקים חותמת הזמן המדויקת ב-UTC שבה נוצר האירוע ביומן או תצפית האיום.
msg.highRisk security_result.action דגל בוליאני (נכון/לא נכון) שמציין אם Proofpoint מסווגת את החשבון הזה כחשבון שמהווה סיכון אבטחה מוגבר או רמת פגיעה מוגברת.
msg.identity שדות נוספים ספציפיים לספק.
msg.maliciousMessages שדות נוספים ספציפיים לספק.
msg.observations[] additional.fields["observations"] רשימה של תגי התנהגות ספציפיים של מודיעין איומי סייבר או אינדיקטורים של חריגות שסומנו על ידי האלגוריתמים של Proofpoint.
msg.timeRanges[].end additional.fields מערך של חלונות זמן שבהם נצפו באופן פעיל התנהגויות חשודות או אינדיקטורים לאיומים בחשבון הזה.
msg.timeRanges[].falsePositive additional.fields מערך של חלונות זמן שבהם נצפו באופן פעיל התנהגויות חשודות או אינדיקטורים לאיומים בחשבון הזה.
msg.timeRanges[].start,msg additional.fields מערך של חלונות זמן שבהם נצפו באופן פעיל התנהגויות חשודות או אינדיקטורים לאיומים בחשבון הזה.
msg.trafficType שדות נוספים ספציפיים לספק.
queryEndTime metadata.collected_timestamp השעה שבה הסתיימה התקופה שבה נשלחה השאילתה לקבלת נתונים.
sender_domain principal.domain.name חולץ מ-messagesBlocked[].fromAddress או מ-messagesDelivered[].fromAddress, ומורכב משם הדומיין של השולח.

שדות ביומן בפורמט Syslog

שדה ביומן שדה UDM תיאור
a additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
action security_result.action,
security_result.action_details		 מכיל את פרטי הפעולה.
active security_result.threat_status סטטוס האיום.
adjust additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
adultscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
application principal.application מכיל את פרטי הבקשה העיקריים.
attachments additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
bits additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
bulkscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שהאירועים האלה מאוחזרים.
ccAddresses intermediary.user.email_addresses רשימה של כתובות אימייל שכלולות בכותרת CC:.
cid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
cipher network.tls.cipher מכיל פרטים של tls.cipher.
cipher_bits additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
class security_result.category,
security_result.category_details		 קטגוריית האיום של כתובת ה-URL הזדונית.
classifier security_result.category קטגוריית האיום שנמצא בהודעה.
clickIP security_result.about.ip, principal.ip,
principal.asset.ip		 כתובת ה-IP החיצונית של המשתמש שלחץ על הקישור. אם המשתמש נמצא מאחורי חומת אש שמבצעת תרגום כתובות רשת, תוצג כתובת ה-IP של חומת האש.
clickTime ‫metadata.event_timestamp אם messageTime לא קיים השעה שבה המשתמש לחץ על כתובת ה-URL.
cluster additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
clusterId additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
clx_result_group additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
clx_score additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
clx_shade additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
clxscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
cmd ‫network.http.method אם STS לא ריק, אחרת
principal.process.command_line		 כשהשדה STS לא ריק, הוא מכיל את שיטת ה-HTTP. אחרת, הוא מכיל פרטים של שורת הפקודה.
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 סטטוס השכתוב של ההודעה. אם הערך הוא true, כל המופעים של איומי כתובות URL בהודעה שוכתבו בהצלחה. אם הערך הוא false, לפחות מופע אחד של כתובת URL של איום לא שוכתב. אם הערך הוא na, ההודעה לא הכילה איומים שמבוססים על כתובות URL.
corrupted additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
country principal.location.country_or_region מכיל פרטים על המדינה.
daemon additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
date_log ‫metadata.event_timestamp אם messageTime,‏ clickTime ו-threatTime לא קיימים חותמת הזמן שמופיעה ב-syslog.
date_log_rebase ‫metadata.event_timestamp אם messageTime,‏ clickTime ו-threatTime לא קיימים חותמת הזמן שמופיעה ב-syslog.
default additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
definitions additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
delay additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
dict security_result.category_details מכיל category_details.
dnsid network.dns.id מכיל פרטים של מזהה DNS.
domain principal.administrative_domain מכיל פרטים של administrative_domain.
dsn additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
duration additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
eid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
elapsed additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
engine metadata.product_version מכיל פרטים של product_version.
envid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
err security_result.description תיאור.
evt extensions.auth.auth_details פרטי האימות.
expires additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
file about.process.file.full_path מכיל את פרטי הנתיב המלא של הקובץ.
from network.email.from מכיל את כתובת האימייל של השולח.
fromAddress network.email.from כתובת האימייל שמופיעה בכותרת From:.
guid metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS והוא תמיד ייחודי.
hdr_mid network.email.mail_id מכיל פרטים של mail_id.
headerFrom additional.fields["headerFrom"] התוכן המלא של הכותרת From:, כולל שם ידידותי.
headerReplyTo additional.fields["headerReplyTo"] אם היא קיימת, התוכן המלא של הכותרת Reply-To:.
headerTo additional.fields שדות נוספים ספציפיים לספק.
helo security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
hfrom network.email.from מכיל את כתובת האימייל של השולח.
hfrom_domain principal.administrative_domain מכיל את פרטי ה-administrative_domain.
hops-ip intermediary.ip מכיל את כתובת ה-IP של המתווך.
host principal.hostname מכיל פרטים של שם המארח.
id additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
id additional.fields שדות נוספים ספציפיים לספק.
impostor_score security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
impostorScore security_result.detection_fields ציון ההתחזות של ההודעה.
inter_host intermediary.hostname מכיל פרטים על שם המארח של המתווך.
intermediary_hostname intermediary.hostname מכיל את שם המארח של המתווך.
intermediary_ip intermediary.ip מכיל את כתובת ה-IP של המתווך.
ip principal.ip,
principal.asset.ip		 מכיל את כתובת ה-IP של השולח
len additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
lint security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
lip intermediary.ip מכיל את כתובת ה-IP של המתווך.
log_level security_result.severity מכיל פרטים על חומרת הבעיה.
lowpriorityscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
m network.email.mail_id מכיל פרטים של mail_id.
mailer network.application_protocol מכיל פרטים של application_protocol.
malwareScore security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
messageID network.email.mail_id מזהה ההודעה שחולץ מהכותרות של הודעת האימייל.
messageParts[].contentType about.file.mime_type סוג ה-MIME של הקובץ.
messageParts[].disposition additional.fields["disposition "] איך המערכת מטפלת בחלק של ההודעה (לדוגמה, מצורף, מוטבע). נוספים לאינדקס באופן דינמי.
messageParts[].filename about.file.full_path שם הקובץ או הקובץ המצורף.
messageParts[].md5 about.file.md5 גיבוב (hash) MD5 של החלק בהודעה או של הקובץ.
messageParts[].oContentType additional.fields["oContentType "] סוג התוכן המוצהר של messagePart.
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] סטטוס ניתוח הקובץ בארגז החול.
messageParts[].sha256 about.file.sha256 גיבוב SHA256 של החלק בהודעה או של הקובץ.
messageTime metadata.event_timestamp מתי ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
mime principal.process.file.mime_type מכיל את פרטי הקובץ mime_type.
mlxscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
mod network.application_protocol מכיל פרטים של application_protocol.
module additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
modulesRun security_result.detection_fields רשימת המודולים של PPS שעיבדו את ההודעה.
modulesRun security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
msg security_result.description תיאור.
msghold_response additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
msgid network.email.mail_id מכיל פרטים של mail_id.
msgs additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
name about.process.file.full_path מכיל את הנתיב המלא של הקובץ.
notroutes additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
nrcpts additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
path principal.url מכיל את פרטי כתובת ה-URL.
phishscore security_result.detection_fields ציון הפישינג של ההודעה.
pid principal.process.pid מכיל פרטים אישיים מזהים (PID).
policy network.direction מתאר את זרימת הרשת. מכיל ערך של שיחה נכנסת/יוצאת.
pri additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
principal_hostname principal.hostname,
principal.asset.hostname		 מכיל פרטים על שם המארח הראשי.
principal_ip_1 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_2 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_3 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_4 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_5 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_6 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_7 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_8 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של החשבון הראשי.
principal_ip_port_1 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_ip_port_2 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_ip_port_3 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_ip_port_4 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_ip_port_5 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_ip_port_6 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_ip_port_7 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_ip_port_8 principal.resource.attribute.labels מכיל את פרטי היציאה הראשית.
principal_pid principal.process.pid מתעד את מזהה התהליך (PID).
priority_score security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
priorityscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
profile additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
prot network.application_protocol מכיל פרטים של application_protocol.
protected additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
proto network.application_protocol מכיל פרטים של application_protocol.
pss additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
qid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
quarantineFolder security_result.priority שם התיקייה שמכילה את ההודעה שהועברה להסגר.
quarantineRule security_result.rule_name שם הכלל שהכניס את ההודעה להסגר.
query additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
querydepth additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
rcode additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
rcpt network.email.to מכיל את כתובת האימייל של הנמען.
rcpts network.email.to מכיל את כתובת האימייל של הנמען
reason additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
recipient target.user.email_addresses מכיל את פרטי האימייל של הנמען.
reject additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
reply additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
replyToAddress network.email.reply_to כתובת האימייל שמופיעה בכותרת Reply-To:.
resolve additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
restquery_stage additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
result security_result.action מכיל את פרטי הפעולה.
result additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
result_detail security_result.description מספק תיאור.
reverse additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
routes additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
rss additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
rule security_result.rule_name מכיל את rule_name.
s network.session_id מכיל פרטים של session_id.
scancount additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
scope additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
score additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
selector additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
sender principal.user.email_addresses מכיל את פרטי האימייל של השולח.
senderIP principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של השולח.
sendmail_queue_id additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
sha256 security_result.about.file.sha256 פרטי הקובץ SHA256.
size principal.process.file.size` מכיל פרטים על גודל הקובץ.
smtputf8 additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
spamscore security_result.detection_fields ציון הספאם של ההודעה.
src_host principal.hostname,
principal.asset.hostname		 מכיל פרטים על שם המארח הראשי.
STARTTLS additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
stat additional.fields מכיל פרטים על הסטטוס.
status additional.fields מכיל פרטים על הסטטוס.
sts network.http.response_code מכיל את הנתונים של response_code.
subject network.email.subject מכיל את email.subject.
subject network.email.subject מכיל פרטים על נושא האימייל.
suspectscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
sys additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
sz principal.process.file.size מכיל פרטים על גודל הקובץ.
tests additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
threat ‫security_result.about.url אם threatType הוא url,
security_result.about.file.sha256 אם threatType הוא attachment
security_result.about.resource.name אם threatType הוא messageText,
result.about.resource.attribute.labels עם הערך Email והמפתח threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels עם המפתח ["threatType"]
threatID security_result.threat_id מכיל פרטים על מזהה האיום.
threatsInfoMap[].campaignID security_result1.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שהאירועים האלה מאוחזרים.
threatsInfoMap[].classification security_result.category
security_result.category_details		 קטגוריית האיום שנמצא בהודעה.
threatsInfoMap[].threat ‫security_result.about.url אם threatType הוא url,
security_result.about.file.sha256 אם threatType הוא attachment
security_result.about.resource.name אם threatType הוא messageText,
result.about.resource.attribute.labels עם הערך Email והמפתח threatsInfoMap[].threatType
security_result.about.resource.name אחרת,
security_result.about.resource.attribute.labels עם המפתח ["threatType"]		 מערך של מבנים שמכילים פרטים על איומים שזוהו בהודעה. יכול להיות שבהודעה אחת יהיה יותר מאיום אחד.
threatsInfoMap[].threatID security_result.threat_id מכיל פרטים על מזהה האיום.
threatsInfoMap[].threatStatus security_result.threat_status המצב הנוכחי של האיום.
threatsInfoMap[].threatTime metadata.event_timestamp אם messageTime ו-clickTime לא קיימים,
security_result.detection_fields
threatsInfoMap[].threatType ‫security_result.about.url אם threatType הוא url
security_result.about.file.sha256 אם threatType הוא attachment
security_result.about.resource.name אם threatType הוא messageText
result.about.resource.attribute.labels עם הערך Email והמפתח threatsInfoMap[].threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels עם המפתח ["threatType"]		 מערך של מבנים שמכילים פרטים על איומים שזוהו בהודעה. יכול להיות שבהודעה אחת יהיה יותר מאיום אחד.
threatsInfoMap[].threatUrl security_result.url_back_to_product קישור לרשומה בלוח הבקרה של TAP לאיום הספציפי.
threatStatus security_result.threat_status המצב הנוכחי של האיום.
threatTime ‫metadata.event_timestamp אם messageTime ו-clickTime לא קיימים השעה שבה Proofpoint זיהתה את כתובת ה-URL כאיום.
threatType ‫security_result.about.url אם threatType הוא url,
security_result.about.file.sha256 אם threatType הוא attachment
security_result.about.resource.name אם threatType הוא messageText,
result.about.resource.attribute.labels עם הערך Email והמפתח threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels עם המפתח ["threatType"]
threatURL security_result.url_back_to_product קישור לרשומה בלוח הבקרה של TAP לאיום הספציפי.
threshold additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
tls network.tls.cipher מכיל פרטים של tls.cipher.
tls-alert security_result.description תיאור
tls_verify security_result.action מכיל פרטי אימות.
tls_version network.tls.version מכיל פרטים על גרסת ה-TLS.
to network.email.to מכיל את כתובת האימייל של הנמען.
toAddresses network.email.to רשימה של כתובות אימייל שכלולות בכותרת To:.
token additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
ts ‫metadata.event_timestamp אם messageTime,‏ clickTime ו-threatTime לא קיימים חותמת הזמן שמופיעה ב-syslog.
type additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
uri principal.url מכיל את פרטי כתובת ה-URL.
url_count additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
userAgent network.http.user_agent,
network.http.parsed_user_agent		 סוכן המשתמש של ה-HTTP.
value network.email.from מכיל את כתובת האימייל של השולח.
vendor additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
verify security_result.action מכיל פרטי אימות.
version network.tls.version מכיל פרטים על גרסת ה-TLS.
virtual additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
virusthreat security_result.threat_name מכיל פרטים על שם האיום.
virusthreatid security_result.threat_id מכיל פרטים על מזהה האיום.
warn additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
x additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
X-Proofpoint-Spam-Details additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
xdelay additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
xmailer security_result.detection_fields התוכן של הכותרת X-Mailer:, אם היא קיימת, או שדות זיהוי אבטחה ספציפיים לספק.

שדות ביומן CEF

שדה ביומן שדה UDM תיאור
cluster additional.fields שדות נוספים ספציפיים לספק.
file_hash principal.file.md5 מכיל פרטי MD5 של קבצים.
file_name principal.file.full_path מכיל את הנתיב.
GUID metadata.product_log_id מכיל את product_log_id.
guid metadata.product_log_id מכיל את product_log_id.
headerFrom additional.fields התוכן המלא של הכותרת From:.
headerReplyTo additional.fields["headerReplyTo"] התוכן המלא של הכותרת Reply-To:.
host principal.hostname,
principal.assest.hostname		 מכיל את שם המארח הראשי.
id additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג אותם בצורה הולמת בקטעים הרשמיים של מודל ה-UDM.
id additional.fields שדות נוספים ספציפיים לספק.
impostorScore security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
malwareScore security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
message_id network.email.mail_id מכיל פרטים של mail_id.
messageParts_contentType principal.file.mime_type מייצג את סוג ה-MIME של חלק או רכיב ספציפי בהודעת האימייל.
messageParts_disposition additional.fields שדות נוספים ספציפיים לספק.
messageParts_oContentType additional.fields שדות נוספים ספציפיים לספק.
messageParts_sandboxStatus security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
messageParts_sha256 principal.file.sha256 מכיל פרטים של קובץ 256.
messageTime metadata.event_timestamp השעה שבה ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
modulesRun security_result.detection_fields רשימת המודולים של PPS שעיבדו את ההודעה.
modulesRun security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
orig_dest network.email.to כתובת האימייל במעטפה או בכותרת הראשונית של ה-SMTP כשהאימייל הגיע לשער.
orig_recipient target.user.email_addresses כתובת האימייל של הנמען.
orig_src network.email.from כתובת האימייל של המקור.
policyRoutes additional.fields שדות נוספים ספציפיים לספק.
process_id principal.process.pid מכיל פרטים על מזהה התהליך (PID).
QID additional.fields מזהה התור של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא לא ייחודי.
quarantineFolder security_result.priority שם התיקייה שמכילה את ההודעה שהועברה להסגר.
quarantineRule security_result.rule_name שם הכלל שהכניס את ההודעה להסגר.
return_addr principal.user.email_addresses כתובת השולח שצוינה במהלך ההעברה ב-SMTP ‏(MAIL FROM).
rt additional.fields שדות נוספים ספציפיים לספק.
sender principal.user.email_addresses מכיל את כתובת האימייל של השולח.
src principal.ip,
principal.asset.ip		 מכיל את כתובת ה-IP של חשבון המשתמש.
stag additional.fields שדות נוספים ספציפיים לספק.
start additional.fields שדות נוספים ספציפיים לספק.
status_code additional.fields שדות נוספים ספציפיים לספק.
subject network.email.subject מכיל את email.subject.
threatsInfoMap_campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שהאירועים האלה מאוחזרים.
threatsInfoMap_classification security_result.category,
security_result.category_details		 קטגוריית האיום של כתובת ה-URL הזדונית.
threatsInfoMap_detectionType security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
threatsInfoMap_threatID security_result.threat_id מכיל פרטים על מזהה האיום.
threatsInfoMap_threatTime metadata.event_timestamp אם messageTime ריק השעה שבה Proofpoint הקצתה את ה-threatStatus.
threatsInfoMap_threatTime security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
threatsInfoMap_threatType security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
threatsInfoMap_threatUrl security_result.url_back_to_product מכיל את כתובת ה-URL שמפנה לצפייה במודיעין איומי הסייבר, בניתוח ארגז החול ובפרטים הפורנזיים של Proofpoint.
threatStatistics_families_name0 security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
threatStatistics_families_score0 security_result.detection_fields שדות זיהוי אבטחה ספציפיים לספק.
url security_result.about.url כתובת ה-URL החשודה או הזדונית בפועל.
version additional.fields שדות נוספים ספציפיים לספק.
vip additional.fields שדות נוספים ספציפיים לספק.
xmailer security_result.detection_fields התוכן של הכותרת X-Mailer:, אם היא קיימת, או שדות זיהוי אבטחה ספציפיים לספק.

הפניה לדלתא של מיפוי UDM

ב-9 בספטמבר 2025, Google SecOps פרסמה גרסה חדשה של מנתח ההתראות של Proofpoint TAP, שכוללת שינויים משמעותיים במיפוי של שדות יומן ההתראות של Proofpoint TAP לשדות UDM ועדכונים לסיווגים (מיפויים) של סוגי אירועים.

ההבדל במיפוי של שדות היומן

בטבלה הבאה מוצגים השינויים במיפוי של שדות היומן של התראות Proofpoint TAP לשדות UDM. בעמודה מיפוי ישן מפורטים השדות שנחשפו לפני 9 בספטמבר 2025, ובעמודה מיפוי נוכחי מפורטים השדות החדשים.

שדה ביומן מיפוי ישן המיפוי הנוכחי
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields אם quarantineFolder שווה ל-low priority או ל-high priority, ממפים ל-security_result.priority. אחרת, ממפים אל security_result.detection_fields.
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields אם quarantineFolder שווה ל-low priority או ל-high priority, ממפים ל-security_result.priority. אחרת, ממפים אל security_result.detection_fields.
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields אם quarantineFolder שווה ל-low priority או ל-high priority, ממפים לשדה UDM‏ security_result.priority. אחרת, ממפים אל security_result.detection_fields.
spamScore additional.fields security_result.detection_fields

ההפרש במיפוי של סוגי האירועים

אירועים רבים שסווגו בעבר כאירועים כלליים מסווגים עכשיו בצורה נכונה עם סוגי אירועים משמעותיים יותר.

בטבלה הבאה מפורטים ההבדלים בטיפול בסוגי האירועים של התראות Proofpoint TAP לפני 9 בספטמבר 2025 ואחריו (מפורטים בעמודות event_type הישן וevent_type הנוכחי, בהתאמה).

פורמט ‫eventType מהיומן Old event_type סוג האירוע הנוכחי
SYSLOG+KV אם ביומן יש את השדות fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts או mailer,proto,mod EMAIL_TRANSACTION
אם היומן מכיל רק פרטים של mail_id EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
CEF יומנים eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
אם ביומן יש emails, sender, headerReplyTo, orig_recipient USER_UNCATEGORIED
אם ביומן יש src, host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.