איסוף יומני התראות של Proofpoint TAP

נתמך ב:

במאמר הזה מוסבר איך אפשר לאסוף יומני התראות של Proofpoint Targeted Attack Protection ‏ (TAP) באמצעות הגדרת פיד של Google Security Operations.

מידע נוסף זמין במאמר העברת נתונים ל-Google SecOps.

תווית הטמעה מזהה את מנתח התוכן שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן (parser) עם תווית ההטמעה PROOFPOINT_MAIL.

הגדרת התראות של Proofpoint TAP

  1. נכנסים לפורטל התובנות של Proofpoint threat באמצעות פרטי הכניסה.
  2. בכרטיסייה הגדרות, בוחרים באפשרות אפליקציות מקושרות. מופיע הקטע Service credentials (פרטי כניסה לשירות).
  3. בקטע Name, לוחצים על Create new credential.
  4. מקלידים את שם הארגון, למשל altostrat.com.
  5. לוחצים על יצירה. בתיבת הדו-שיח Generated service credential מופיעים הערכים Service principal ו-Secret.
  6. מעתיקים את הערכים של Service principal (סוכן שירות) ו-Secret (סוד). הערכים מוצגים רק בזמן היצירה ונדרשים כשמגדירים את הפיד של Google Security Operations.
  7. לוחצים על סיום.

הגדרת פידים

כדי להגדיר את הפיד, מבצעים את השלבים הבאים:

  1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
  2. לוחצים על הוספת פיד חדש.
  3. לוחצים על חבילת הפידים Proofpoint.
  4. מאתרים את סוג היומן Proofpoint Tap Alerts.

  5. מציינים את הערכים בשדות הבאים:

    • סוג המקור: API של צד שלישי
    • שם משתמש: מציינים את שם השירות הראשי שקיבלתם קודם.
    • Secret: מציינים את הסוד שקיבלתם קודם.

    אפשרויות מתקדמות

    • שם הפיד: ערך שמאכלס מראש את השדה ומזהה את הפיד.
    • מרחב שמות של נכס: מרחב השמות שמשויך לפיד.
    • תוויות להעברה: תוויות שמוחלות על כל האירועים מהפיד הזה.

  6. לוחצים על יצירת פיד.

מידע נוסף על פידים של Google Security Operations זמין במסמכי התיעוד של פידים של Google Security Operations. מידע על הדרישות לכל סוג פיד זמין במאמר הגדרת פיד לפי סוג. אם נתקלתם בבעיות כשאתם יוצרים פידים, אתם יכולים לפנות לתמיכה של Google Security Operations.

הפניה למיפוי שדות

הכלי הזה מנתח יומני אימייל של Proofpoint בפורמט JSON או בפורמט של צמדי מפתח/ערך, ומחלץ פרטים על פעילות באימייל וברשת. הוא ממפה שדות של יומנים ל-UDM, מסווג אירועים כמו עסקאות באימייל ובקשות HTTP ברשת, ומעשיר אותם בפרטי אבטחה כמו פעולות, קטגוריות ומידע על איומים.

מגבלות

כשמנתחים יומנים של PROOFPOINT_MAIL, יכול להיות שתראו אירועים עם חותמות זמן היסטוריות למרות ההטמעה בזמן אמת. ההתנהגות הזו היא חלק מ-Proofpoint API, ולא מצינור ההטמעה של Google SecOps. גם כששאילתות Google SecOps מתייחסות לפעילות האחרונה, יכול להיות ש-Proofpoint API יחזיר אירועים שהתרחשו כמה ימים לפני כן. צפויות אי-התאמות בין event_timestamp לבין ingestion_time עבור סוג היומן PROOFPOINT_MAIL, בגלל האופן שבו Proofpoint מאחסן נתוני אירועים במאגר זמני ומשחרר אותם. פרטים נוספים זמינים במאמר בנושא חותמות זמן של אירועים ב-Proofpoint.

טבלאות מיפוי UDM

בטבלאות הבאות מפורטים המיפויים של שדות ביומן הגולמי של התראות Proofpoint TAP לשדות ב-UDM, לפי קטגוריות בהתאם לפורמט.

שדה ביומן שדה UDM תיאור
clicksBlocked[].classification security_result.category,
security_result.category_details		 הסיווג של האיום (לדוגמה, malware, ‏ phish).
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 כתובת ה-IP של המשתמש שלחץ על כתובת ה-URL.
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 חותמת הזמן של הקליק.
clicksBlocked[].GUID metadata.product_log_id המזהה הייחודי של אירוע מסוג קליק.
clicksBlocked[].guid metadata.product_log_id המזהה הייחודי של אירוע מסוג קליק.
clicksBlocked[].id additional.fields["id"] מזהה הקליק הייחודי.
clicksBlocked[].messageID network.email.mail_id מזהה הודעת האימייל המקורית.
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 כתובת האימייל של הנמען.
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 כתובת האימייל של השולח. החלק שמתייחס למשתמש מגובב. החלק של הדומיין הוא טקסט לא מוצפן.
clicksBlocked[].senderIP principal.ip כתובת ה-IP של השולח המקורי.
clicksBlocked[].threatID security_result.threat_id המזהה של האיום שזוהה.
clicksBlocked[].threatStatus security_result.threat_status סטטוס האיום (Active,‏ Cleared וכן הלאה).
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 השעה שבה Proofpoint הקצתה את הערך threatStatus.
clicksBlocked[].threatUrl security_result.url_back_to_product קישור לרשומה במרכז השליטה של TAP לגבי האיום הספציפי.
clicksBlocked[].url target.url,
security_result.about.url		 כתובת ה-URL הזדונית שעליה לחצו.
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 סוכן המשתמש של הלקוח שמבצע את הקליק.
clicksPermitted[].classification security_result.category,
security_result.category_details		 הסיווג של האיום (לדוגמה, malware, ‏ phish).
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 כתובת ה-IP של המשתמש שלחץ על כתובת ה-URL.
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 חותמת הזמן של הקליק.
clicksPermitted[].GUID metadata.product_log_id המזהה הייחודי של אירוע מסוג קליק.
clicksPermitted[].guid metadata.product_log_id המזהה הייחודי של אירוע מסוג קליק.
clicksPermitted[].id additional.fields["id"] מזהה הקליק הייחודי.
clicksPermitted[].messageID network.email.mail_id מזהה הודעת האימייל המקורית.
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 כתובת האימייל של הנמען.
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 כתובת האימייל של השולח. החלק שמתייחס למשתמש מגובב. החלק של הדומיין הוא טקסט לא מוצפן.
clicksPermitted[].senderIP principal.ip כתובת ה-IP של השולח המקורי.
clicksPermitted[].threatID security_result.threat_id המזהה של האיום שזוהה.
clicksPermitted[].threatStatus security_result.threat_status הסטטוס של האיום (פעיל, נוקה וכו').
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 השעה שבה Proofpoint הקצה את threatStatus.
clicksPermitted[].threatUrl security_result.url_back_to_product קישור לרשומה במרכז השליטה של TAP לגבי האיום הספציפי.
clicksPermitted[].url target.url,
security_result.about.url		 כתובת ה-URL הזדונית שעליה לחצו.
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 סוכן המשתמש של הלקוח שמבצע את הקליק.
שדה ביומן שדה UDM תיאור
messagesBlocked[].ccAddresses intermediary.user.email_addresses רשימה של כתובות אימייל שמופיעות בכותרת CC:.
messagesBlocked[].cluster additional.fields["cluster"] הקלאסטר הספציפי לעיבוד אימייל של Proofpoint (או פריסת הדייר) שטיפל באירוע האימייל.
messagesBlocked[].clusterId additional.fields השם של אשכול ה-PPS שעיבד את ההודעה.
messagesBlocked[].fromAddress ‫principal.user.email_addresses,
network.email.from אם messagesBlocked[].sender לא מופיע		 כתובת האימייל שמופיעה בכותרת From:, לא כולל את השם הידידותי.
messagesBlocked[].guid metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא תמיד ייחודי.
messagesBlocked[].GUID metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא תמיד ייחודי.
messagesBlocked[].headerCC additional.fields["headerCC "] מכיל פרטים של headerCC.
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] אם הכותרת Reply-To: קיימת, צריך להזין את התוכן המלא שלה, כולל שמות ידידותיים.
messagesBlocked[].id additional.fields["id"] מכיל פרטים של מזהה ההודעה.
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] ניקוד המתחזה של ההודעה.
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] הניקוד של התוכנה הזדונית בהודעה.
messagesBlocked[].messageID network.email.mail_id מזהה ההודעה שחולץ מהכותרות של הודעת האימייל. אפשר להשתמש בו כדי לחפש את ההודעה המשויכת ב-PPS, והוא ייחודי.
messagesBlocked[].messageParts[].contentType about.file.mime_type סוג ה-MIME של הקובץ.
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] איך החלק של ההודעה מטופל (לדוגמה, מצורף, מוטמע). נוספו לאינדקס באופן דינמי.
messagesBlocked[].messageParts[].md5 about.file.md5 גיבוב MD5 של חלק ההודעה או הקובץ.
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] השדה Content-Type המוצהר של messagePart.
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] הסטטוס של ניתוח הקובץ בסביבת הארגז.
messagesBlocked[].messageParts[].sha256 about.file.sha256 גיבוב SHA256 של החלק או הקובץ בהודעה.
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path השם של הקובץ או הקובץ המצורף.
messagesBlocked[].messageSize additional.fields["messageSize"] הגודל של ההודעה בבייטים, כולל הכותרות והקבצים המצורפים.
messagesBlocked[].messageTime metadata.event_timestamp מתי ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
messagesBlocked[].modulesRun additional.fields["modulesRun"] רשימת מודולי ה-PPS שעיבדו את ההודעה.
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] ציון הפישינג של ההודעה.
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] נתיבי המדיניות שההודעה תאמה להם במהלך העיבוד על ידי PPS.
messagesBlocked[].QID additional.fields["QID"] מזהה התור של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא לא ייחודי.
messagesBlocked[].quarantineFolder ‫security_result.priority if messagesBlocked[].quarantineFolder is 'Low Priority' or 'High Priority',
security_result.detection_fields ["quarantineFolder"] otherwise		 השם של התיקייה שמכילה את ההודעה שהוכנסה להסגר.
messagesBlocked[].recipient network.email.to מערך שמכיל את כתובות האימייל של הנמענים.
messagesBlocked[].replyToAddress network.email.reply_to אם זו כתובת אימייל תקינה,
additional.fields["replyTo"] אחרת		 כתובת האימייל שמופיעה בכותרת Reply-To:.
messagesBlocked[].sender network.email.from כתובת האימייל של השולח.
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 כתובת האימייל של השולח.
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] ציון הספאם של ההודעה.
messagesBlocked[].subject network.email.subject נושא האימייל.
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] מערך של מזהי ארגוני משנה פנימיים שהוקצו לנמענים.
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] המזהה הפנימי של הארגון המשני שהוקצה לשולח.
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שליפת האירועים האלה.
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שליפת האירועים האלה.
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 קטגוריית האיום שנמצא בהודעה.
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 סטטוס השכתוב של ההודעה. אם הערך הוא true, כל המקרים של איומים בכתובות URL בהודעה נכתבו מחדש בהצלחה. אם הערך הוא false, לפחות מופע אחד של כתובת URL של איום לא נכתב מחדש. אם הערך הוא na, ההודעה לא הכילה איומים שמבוססים על כתובות URL.
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields השדות החדשים detectionType ו-ThreatInfo נוספו לתגובה.
messagesBlocked[].threatsInfoMap[].threat ‫security_result.about.url אם threatType הואurl,
security_result.about.file.sha256 אם attachment,
security_result.about.resource.name אם messageText,
result.about.resource.attribute.labels עם הערך Email והמפתח threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 אם האיום היה קובץ מצורף, כתובת URL או סוג הודעה.
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id המזהה הייחודי שמשויך לאיום הזה. אפשר להשתמש בו כדי לשלוח שאילתות לנקודות הקצה של הניתוח הפורנזי ושל הקמפיינים.
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status המצב הנוכחי של האיום.
messagesBlocked[].threatsInfoMap[].threatTime ‫metadata.event_timestamp if messagesBlocked[].messageTime isn't present,
security_result.detection_fields		 השעה שבה Proofpoint הקצה את threatStatus.
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name מחרוזת שמציינת איזה סוג איום יוחזר בנתונים.
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product קישור לרשומה על האיום בלוח הבקרה של TAP.
messagesBlocked[].toAddresses target.user.email_addresses רשימה של כתובות אימייל שמופיעות בכותרת To:.
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] התוכן של הכותרת X-Mailer:.
messagesDelivered[].ccAddresses intermediary.user.email_addresses רשימה של כתובות אימייל שמופיעות בכותרת CC:.
messagesDelivered[].cluster additional.fields["cluster"] הקלאסטר הספציפי לעיבוד אימייל של Proofpoint (או פריסת הדייר) שטיפל באירוע האימייל.
messagesDelivered[].clusterId additional.fields השם של אשכול ה-PPS שעיבד את ההודעה.
messagesDelivered[].fromAddress ‫principal.user.email_addresses,
network.email.from אם messagesDelivered[].sender לא מופיע		 כתובת האימייל שמופיעה בכותרת From:, לא כולל את השם הידידותי.
messagesDelivered[].GUID metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא תמיד ייחודי.
messagesDelivered[].guid metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא תמיד ייחודי.
messagesDelivered[].headerCC additional.fields["headerCC "] מכיל פרטים של headerCC.
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] אם הכותרת Reply-To: קיימת, צריך להזין את התוכן המלא שלה, כולל שמות ידידותיים.
messagesDelivered[].id additional.fields["id "] מכיל פרטים של מזהה ההודעה.
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] ניקוד המתחזה של ההודעה.
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] הניקוד של התוכנה הזדונית בהודעה.
messagesDelivered[].messageID network.email.mail_id מזהה ההודעה שחולץ מהכותרות של הודעת האימייל. אפשר להשתמש בו כדי לחפש את ההודעה המשויכת ב-PPS, והוא לא ייחודי.
messagesDelivered[].messageParts[].contentType about.file.mime_type סוג ה-MIME של הקובץ.
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] איך החלק של ההודעה מטופל (לדוגמה, מצורף, מוטמע). נוספו לאינדקס באופן דינמי.
messagesDelivered[].messageParts[].md5 about.file.md5 גיבוב MD5 של חלק ההודעה או הקובץ.
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] השדה Content-Type המוצהר של messagePart.
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] הסטטוס של ניתוח הקובץ בסביבת הארגז.
messagesDelivered[].messageParts[].sha256 about.file.sha256 גיבוב SHA256 של החלק או הקובץ בהודעה.
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path השם של הקובץ או הקובץ המצורף.
messagesDelivered[].messageSize additional.fields["messageSize"] הגודל של ההודעה בבייטים, כולל הכותרות והקבצים המצורפים.
messagesDelivered[].messageTime metadata.event_timestamp מתי ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
messagesDelivered[].modulesRun additional.fields["modulesRun"] רשימת מודולי ה-PPS שעיבדו את ההודעה.
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] ציון הפישינג של ההודעה.
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] נתיבי המדיניות שההודעה תאמה להם במהלך העיבוד על ידי PPS.
messagesDelivered[].QID additional.fields["QID"] מזהה התור של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא לא ייחודי.
messagesDelivered[].quarantineFolder ‫security_result.priority if messagesDelivered[].quarantineFolder is 'Low Priority' or 'High Priority',
security_result.detection_fields ["quarantineFolder"] otherwise		 השם של התיקייה שמכילה את ההודעה שהוכנסה להסגר.
messagesDelivered[].recipient network.email.to מערך שמכיל את כתובות האימייל של הנמענים.
messagesDelivered[].replyToAddress network.email.reply_to אם זו כתובת אימייל תקינה,
additional.fields ["replyTo"] אחרת		 כתובת האימייל שמופיעה בכותרת Reply-To:.
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 כתובת האימייל של השולח.
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] ציון הספאם של ההודעה.
messagesDelivered[].subject network.email.subject נושא האימייל.
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] מערך של מזהים פנימיים של יחידות משנה בארגון שהוקצו לנמענים.
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] המזהה הפנימי של הארגון המשני שהוקצה לשולח
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שליפת האירועים האלה.
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שליפת האירועים האלה.
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 קטגוריית האיום שנמצא בהודעה.
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 סטטוס השכתוב של ההודעה. אם הערך הוא true, כל המקרים של איומים בכתובות URL בהודעה נכתבו מחדש בהצלחה. אם הערך הוא false, לפחות מופע אחד של כתובת URL של איום לא נכתב מחדש. אם הערך הוא na, ההודעה לא הכילה איומים שמבוססים על כתובות URL.
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields השדות החדשים detectionType ו-ThreatInfo נוספו לתגובה.
messagesDelivered[].threatsInfoMap[].threat ‫security_result.about.url אם threatType הואurl,‏
security_result.about.file.sha256 אם threatType הוא attachment,‏
security_result.about.resource.name אם threatType הוא messageText,‏
security_result.about.resource.name אחרת,‏
result.about.resource.attribute.labels עם הערך Email והמפתח threatType,‏
security_result.about.resource.name,‏
security_result.about.resource.attribute.labels		 אם האיום היה קובץ מצורף, כתובת URL או סוג הודעה.
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id המזהה הייחודי שמשויך לאיום הזה. אפשר להשתמש בו כדי לשלוח שאילתות לנקודות הקצה של הניתוח הפורנזי ושל הקמפיינים.
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields מערך של מבנים שמכילים פרטים על מזהה השחקן.
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status המצב הנוכחי של האיום.
messagesDelivered[].threatsInfoMap[].threatTime ‫metadata.event_timestamp if messagesDelivered[].messageTime isn't present,
security_result.detection_fields		 השעה שבה Proofpoint הקצה את threatStatus.
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name מחרוזת שמציינת איזה סוג איום יוחזר בנתונים.
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product קישור לרשומה על האיום בלוח הבקרה של TAP.
messagesDelivered[].toAddresses target.user.email_addresses רשימה של כתובות אימייל שמופיעות בכותרת To:.
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] התוכן של הכותרת X-Mailer:.
msg.accountType שדות נוספים שספציפיים לספק.
msg.address principal.user.email_addresses כתובת האימייל הספציפית שמשויכת לחשבון שנבדק או מוערך לגבי פעילות שקשורה לאיומים.
msg.dashboardLink security_result.url_back_to_product קישור למרכז הבקרה של תובנות לגבי איומים.
msg.deliveredMessages שדות נוספים שספציפיים לספק.
msg.eventTime ‫metadata.event_timestamp אם messageTime ו-threatTime ריקים חותמת הזמן המדויקת בשעון UTC שבה נוצר אירוע היומן או התצפית על האיום.
msg.highRisk security_result.action דגל בוליאני (true/false) שמציין אם Proofpoint מסווגת את החשבון הזה כבעל סיכון אבטחה גבוה או רמת פשרה גבוהה.
msg.identity שדות נוספים שספציפיים לספק.
msg.maliciousMessages שדות נוספים שספציפיים לספק.
msg.observations[] additional.fields["observations"] רשימה של תגי התנהגות ספציפיים של מודיעין איומי סייבר או אינדיקטורים לאנומליות שסומנו על ידי אלגוריתמים של Proofpoint.
msg.timeRanges[].end additional.fields מערך של חלונות זמן שבהם נצפו התנהגויות חשודות או אינדיקטורים של איומים בחשבון הזה.
msg.timeRanges[].falsePositive additional.fields מערך של חלונות זמן שבהם נצפו התנהגויות חשודות או אינדיקטורים של איומים בחשבון הזה.
msg.timeRanges[].start,msg additional.fields מערך של חלונות זמן שבהם נצפו התנהגויות חשודות או אינדיקטורים של איומים בחשבון הזה.
msg.trafficType שדות נוספים שספציפיים לספק.
queryEndTime metadata.collected_timestamp השעה שבה הסתיימה התקופה שבה נשאלה השאילתה לגבי הנתונים.
sender_domain principal.domain.name הערך הזה מחולץ מ-messagesBlocked[].fromAddress או מ-messagesDelivered[].fromAddress ומורכב משם הדומיין של השולח.

שדות ביומן בפורמט Syslog

שדה ביומן שדה UDM תיאור
a additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
action security_result.action,
security_result.action_details		 מכיל פרטים על הפעולה.
active security_result.threat_status סטטוס האיום.
adjust additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
adultscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
application principal.application מכיל פרטים עיקריים על האפליקציה.
attachments additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
bits additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
bulkscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שליפת האירועים האלה.
ccAddresses intermediary.user.email_addresses רשימה של כתובות אימייל שמופיעות בכותרת CC:.
cid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
cipher network.tls.cipher כולל פרטים על tls.cipher.
cipher_bits additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
class security_result.category,
security_result.category_details		 קטגוריית האיום של כתובת ה-URL הזדונית.
classifier security_result.category קטגוריית האיום שנמצא בהודעה.
clickIP ‫security_result.about.ip, principal.ip,
principal.asset.ip		 כתובת ה-IP החיצונית של המשתמש שלחץ על הקישור. אם המשתמש נמצא מאחורי חומת אש שמבצעת תרגום כתובות רשת, תוצג כתובת ה-IP של חומת האש.
clickTime ‫metadata.event_timestamp אם messageTime לא מופיע השעה שבה המשתמש לחץ על כתובת ה-URL.
cluster additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
clusterId additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
clx_result_group additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
clx_score additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
clx_shade additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
clxscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
cmd ‫network.http.method אם STS לא ריק,
principal.process.command_line אחרת		 אם המשתנה STS לא ריק, הוא מכיל את שיטת ה-HTTP. אחרת, הוא מכיל פרטים משורת הפקודה.
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 סטטוס השכתוב של ההודעה. אם הערך הוא true, כל המקרים של איומים בכתובות URL בהודעה נכתבו מחדש בהצלחה. אם הערך הוא false, לפחות מופע אחד של כתובת URL של איום לא נכתב מחדש. אם הערך הוא na, ההודעה לא הכילה איומים שמבוססים על כתובות URL.
corrupted additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
country principal.location.country_or_region מכיל פרטים על המדינה.
daemon additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
date_log ‫metadata.event_timestamp אם messageTime, ‏ clickTime ו-threatTime לא מופיעים חותמת הזמן שמופיעה ב-syslog.
date_log_rebase ‫metadata.event_timestamp אם messageTime, ‏ clickTime ו-threatTime לא מופיעים חותמת הזמן שמופיעה ב-syslog.
default additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
definitions additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
delay additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
dict security_result.category_details כולל category_details.
dnsid network.dns.id מכיל פרטים של מזהה DNS.
domain principal.administrative_domain כולל פרטים על administrative_domain.
dsn additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
duration additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
eid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
elapsed additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
engine metadata.product_version כולל פרטים על product_version.
envid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
err security_result.description תיאור.
evt extensions.auth.auth_details פרטי האימות.
expires additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
file about.process.file.full_path מכיל פרטים של נתיב הקובץ המלא.
from network.email.from מכיל את האימייל של השולח.
fromAddress network.email.from כתובת האימייל שמופיעה בכותרת From:.
guid metadata.product_log_id המזהה של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא תמיד ייחודי.
hdr_mid network.email.mail_id כולל פרטים על mail_id.
headerFrom additional.fields["headerFrom"] התוכן המלא של הכותרת From:, כולל שם ידידותי.
headerReplyTo additional.fields["headerReplyTo"] אם הכותרת Reply-To: קיימת, התוכן המלא שלה.
headerTo additional.fields שדות נוספים שספציפיים לספק.
helo security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
hfrom network.email.from מכיל את כתובת האימייל של השולח.
hfrom_domain principal.administrative_domain מכיל את הפרטים של administrative_domain.
hops-ip intermediary.ip מכיל את כתובת ה-IP של השרת המתווך.
host principal.hostname מכיל פרטים של שם המארח.
id additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
id additional.fields שדות נוספים שספציפיים לספק.
impostor_score security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
impostorScore security_result.detection_fields ניקוד המתחזה של ההודעה.
inter_host intermediary.hostname מכיל פרטים על שם המארח המתווך.
intermediary_hostname intermediary.hostname מכיל את שם המארח של המתווך.
intermediary_ip intermediary.ip מכיל את כתובת ה-IP של השרת המתווך.
ip principal.ip,
principal.asset.ip		 מכיל את כתובת ה-IP של השולח
len additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
lint security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
lip intermediary.ip מכיל את כתובת ה-IP של השרת המתווך.
log_level security_result.severity מכיל פרטים על חומרת הבעיה.
lowpriorityscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
m network.email.mail_id כולל פרטים על mail_id.
mailer network.application_protocol כולל פרטים על application_protocol.
malwareScore security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
messageID network.email.mail_id מזהה ההודעה שחולץ מהכותרות של הודעת האימייל.
messageParts[].contentType about.file.mime_type סוג ה-MIME של הקובץ.
messageParts[].disposition additional.fields["disposition "] איך החלק של ההודעה מטופל (לדוגמה, מצורף, מוטמע). נוספו לאינדקס באופן דינמי.
messageParts[].filename about.file.full_path השם של הקובץ או הקובץ המצורף.
messageParts[].md5 about.file.md5 גיבוב MD5 של חלק ההודעה או הקובץ.
messageParts[].oContentType additional.fields["oContentType "] השדה Content-Type המוצהר של messagePart.
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] הסטטוס של ניתוח הקובץ בסביבת הארגז.
messageParts[].sha256 about.file.sha256 גיבוב SHA256 של החלק או הקובץ בהודעה.
messageTime metadata.event_timestamp מתי ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
mime principal.process.file.mime_type מכיל פרטים של הקובץ mime_type.
mlxscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
mod network.application_protocol כולל פרטים על application_protocol.
module additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
modulesRun security_result.detection_fields רשימת מודולי ה-PPS שעיבדו את ההודעה.
modulesRun security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
msg security_result.description תיאור.
msghold_response additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
msgid network.email.mail_id כולל פרטים על mail_id.
msgs additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
name about.process.file.full_path מכילה את הנתיב המלא של הקובץ.
notroutes additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
nrcpts additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
path principal.url מכיל פרטים של כתובת URL.
phishscore security_result.detection_fields ציון הפישינג של ההודעה.
pid principal.process.pid מכיל פרטים של מזהה המוצר.
policy network.direction תיאור של זרימת הנתונים ברשת. מכיל ערך של תנועה נכנסת או יוצאת.
pri additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
principal_hostname principal.hostname,
principal.asset.hostname		 מכיל פרטים של שם המארח הראשי.
principal_ip_1 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_2 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_3 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_4 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_5 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_6 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_7 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_8 principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP הראשית.
principal_ip_port_1 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_ip_port_2 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_ip_port_3 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_ip_port_4 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_ip_port_5 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_ip_port_6 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_ip_port_7 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_ip_port_8 principal.resource.attribute.labels מכיל את פרטי הניוד העיקריים.
principal_pid principal.process.pid תיעוד של מספר ה-PID של התהליך.
priority_score security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
priorityscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
profile additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
prot network.application_protocol כולל פרטים על application_protocol.
protected additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
proto network.application_protocol כולל פרטים על application_protocol.
pss additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
qid additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
quarantineFolder security_result.priority השם של התיקייה שמכילה את ההודעה שהוכנסה להסגר.
quarantineRule security_result.rule_name השם של הכלל שהכניס את ההודעה להסגר.
query additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
querydepth additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
rcode additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
rcpt network.email.to מכיל את כתובת האימייל של הנמען.
rcpts network.email.to מכיל את כתובת האימייל של הנמען
reason additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
recipient target.user.email_addresses מכיל את פרטי האימייל של הנמען.
reject additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
reply additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
replyToAddress network.email.reply_to כתובת האימייל שמופיעה בכותרת Reply-To:.
resolve additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
restquery_stage additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
result security_result.action מכיל פרטים על הפעולה.
result additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
result_detail security_result.description מספק תיאור.
reverse additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
routes additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
rss additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
rule security_result.rule_name מכיל את rule_name.
s network.session_id כולל פרטים על session_id.
scancount additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
scope additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
score additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
selector additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
sender principal.user.email_addresses מכיל פרטים על כתובת האימייל של השולח.
senderIP principal.ip,
principal.assest.ip		 מכיל פרטים על כתובת ה-IP של השולח.
sendmail_queue_id additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
sha256 security_result.about.file.sha256 פרטי הקובץ בגיבוב SHA256.
size principal.process.file.size` כולל פרטים על גודל הקובץ.
smtputf8 additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
spamscore security_result.detection_fields ציון הספאם של ההודעה.
src_host principal.hostname,
principal.asset.hostname		 מכיל פרטים של שם המארח הראשי.
STARTTLS additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
stat additional.fields כולל פרטים על הסטטוס.
status additional.fields כולל פרטים על הסטטוס.
sts network.http.response_code מכיל את הנתונים של response_code.
subject network.email.subject מכיל את email.subject.
subject network.email.subject מכיל פרטים של נושא האימייל.
suspectscore additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
sys additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
sz principal.process.file.size כולל פרטים על גודל הקובץ.
tests additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
threat ‫security_result.about.url אם threatType הוא url,‏
security_result.about.file.sha256 אם threatType הוא attachment,‏
security_result.about.resource.name אם threatType הוא messageText,‏
result.about.resource.attribute.labels עם הערך Email והמפתח threatType
security_result.about.resource.name,‏
security_result.about.resource.attribute.labels עם המפתח ["threatType"]
threatID security_result.threat_id מכיל פרטים של מזהה האיום.
threatsInfoMap[].campaignID security_result1.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שליפת האירועים האלה.
threatsInfoMap[].classification security_result.category
security_result.category_details		 הקטגוריה של האיום שנמצא בהודעה.
threatsInfoMap[].threat ‫security_result.about.url אם threatType הוא url,‏
security_result.about.file.sha256 אם threatType הוא attachment,‏
security_result.about.resource.name אם threatType הוא messageText,‏
result.about.resource.attribute.labels עם הערך Email והמפתח threatsInfoMap[].threatType,‏
security_result.about.resource.name אחרת,‏
security_result.about.resource.attribute.labels עם המפתח ["threatType"]		 מערך של מבנים שמכילים פרטים על איומים שאותרו בהודעה. יכול להיות שיש יותר מאיום אחד בכל הודעה.
threatsInfoMap[].threatID security_result.threat_id מכיל פרטים של מזהה האיום.
threatsInfoMap[].threatStatus security_result.threat_status המצב הנוכחי של האיום.
threatsInfoMap[].threatTime ‫metadata.event_timestamp if messageTime and clickTime isn't present,
security_result.detection_fields
threatsInfoMap[].threatType ‫security_result.about.url אם threatType הוא url
security_result.about.file.sha256 אם threatType הוא attachment
security_result.about.resource.name אם threatType הוא messageText
result.about.resource.attribute.labels עם הערך Email והמפתח threatsInfoMap[].threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels עם המפתח ["threatType"]		 מערך של מבנים שמכילים פרטים על איומים שאותרו בהודעה. יכול להיות שיש יותר מאיום אחד בכל הודעה.
threatsInfoMap[].threatUrl security_result.url_back_to_product קישור לרשומה במרכז השליטה של TAP לגבי האיום הספציפי.
threatStatus security_result.threat_status המצב הנוכחי של האיום.
threatTime ‫metadata.event_timestamp אם messageTime ו-clickTime לא מופיעים השעה שבה Proofpoint זיהה את כתובת ה-URL כאיום.
threatType ‫security_result.about.url אם threatType הוא url,‏
security_result.about.file.sha256 אם threatType הוא attachment,‏
security_result.about.resource.name אם threatType הוא messageText,‏
result.about.resource.attribute.labels עם הערך Email והמפתח threatType
security_result.about.resource.name,‏
security_result.about.resource.attribute.labels עם המפתח ["threatType"]
threatURL security_result.url_back_to_product קישור לרשומה במרכז השליטה של TAP לגבי האיום הספציפי.
threshold additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
tls network.tls.cipher כולל פרטים על tls.cipher.
tls-alert security_result.description מספק תיאור
tls_verify security_result.action כולל פרטים לאימות.
tls_version network.tls.version כולל פרטים על גרסת TLS.
to network.email.to מכיל את כתובת האימייל של הנמען.
toAddresses network.email.to רשימה של כתובות אימייל שמופיעות בכותרת To:.
token additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
ts ‫metadata.event_timestamp אם messageTime, ‏ clickTime ו-threatTime לא מופיעים חותמת הזמן שמופיעה ב-syslog.
type additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
uri principal.url מכיל פרטים של כתובת URL.
url_count additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
userAgent network.http.user_agent,
network.http.parsed_user_agent		 סוכן המשתמש של HTTP.
value network.email.from מכיל את כתובת האימייל של השולח.
vendor additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
verify security_result.action כולל פרטים לאימות.
version network.tls.version כולל פרטים על גרסת TLS.
virtual additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
virusthreat security_result.threat_name מכיל פרטים על שם האיום.
virusthreatid security_result.threat_id מכיל פרטים של מזהה האיום.
warn additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
x additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
X-Proofpoint-Spam-Details additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
xdelay additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
xmailer security_result.detection_fields התוכן של הכותרת X-Mailer:, אם היא קיימת, או שדות זיהוי אבטחה ספציפיים לספק.

שדות ביומן CEF

שדה ביומן שדה UDM תיאור
cluster additional.fields שדות נוספים שספציפיים לספק.
file_hash principal.file.md5 מכיל פרטים של MD5 של הקובץ.
file_name principal.file.full_path מכיל את הנתיב.
GUID metadata.product_log_id מכיל את product_log_id.
guid metadata.product_log_id מכיל את product_log_id.
headerFrom additional.fields התוכן המלא של הכותרת From:.
headerReplyTo additional.fields["headerReplyTo"] התוכן המלא של הכותרת Reply-To:.
host principal.hostname,
principal.assest.hostname		 מכיל את שם המארח הראשי.
id additional.fields שדות נוספים עם נתוני אירועים ספציפיים לספק, שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל UDM.
id additional.fields שדות נוספים שספציפיים לספק.
impostorScore security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
malwareScore security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
message_id network.email.mail_id כולל פרטים על mail_id.
messageParts_contentType principal.file.mime_type מייצג את סוג ה-MIME של חלק או רכיב ספציפיים בהודעת האימייל.
messageParts_disposition additional.fields שדות נוספים שספציפיים לספק.
messageParts_oContentType additional.fields שדות נוספים שספציפיים לספק.
messageParts_sandboxStatus security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
messageParts_sha256 principal.file.sha256 מכיל פרטים על קובץ 256.
messageTime metadata.event_timestamp השעה שבה ההודעה נמסרה למשתמש או הועברה להסגר על ידי PPS.
modulesRun security_result.detection_fields רשימת מודולי ה-PPS שעיבדו את ההודעה.
modulesRun security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
orig_dest network.email.to כתובת האימייל במעטפת או בכותרת ה-SMTP הראשונית כשהאימייל הגיע לשער.
orig_recipient target.user.email_addresses כתובת האימייל של הנמען.
orig_src network.email.from כתובת האימייל של המקור.
policyRoutes additional.fields שדות נוספים שספציפיים לספק.
process_id principal.process.pid כולל פרטים על מזהה התהליך (PID).
QID additional.fields מזהה התור של ההודעה ב-PPS. אפשר להשתמש בו כדי לזהות את ההודעה ב-PPS, והוא לא ייחודי.
quarantineFolder security_result.priority השם של התיקייה שמכילה את ההודעה שהוכנסה להסגר.
quarantineRule security_result.rule_name השם של הכלל שהכניס את ההודעה להסגר.
return_addr principal.user.email_addresses הכתובת בשרת הדואר שצוינה במהלך העברה ב-SMTP ‏ (MAIL FROM).
rt additional.fields שדות נוספים שספציפיים לספק.
sender principal.user.email_addresses מכיל את כתובת האימייל של השולח.
src principal.ip,
principal.asset.ip		 מכיל את כתובת ה-IP של החשבון הראשי.
stag additional.fields שדות נוספים שספציפיים לספק.
start additional.fields שדות נוספים שספציפיים לספק.
status_code additional.fields שדות נוספים שספציפיים לספק.
subject network.email.subject מכיל את email.subject.
threatsInfoMap_campaignID security_result.rule_id מזהה של הקמפיין שהאיום שייך אליו, אם הוא זמין בזמן השאילתה. אפשר לקשר איומים לקמפיינים גם אחרי שליפת האירועים האלה.
threatsInfoMap_classification security_result.category,
security_result.category_details		 קטגוריית האיום של כתובת ה-URL הזדונית.
threatsInfoMap_detectionType security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
threatsInfoMap_threatID security_result.threat_id מכיל פרטים של מזהה האיום.
threatsInfoMap_threatTime ‫metadata.event_timestamp אם messageTime ריק השעה שבה Proofpoint הקצה את threatStatus.
threatsInfoMap_threatTime security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
threatsInfoMap_threatType security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
threatsInfoMap_threatUrl security_result.url_back_to_product כתובת ה-URL שמפנה מחדש לצפייה במודיעין איומי סייבר, בניתוח ארגז חול ובפרטים פורנזיקה דיגיטלית של Proofpoint.
threatStatistics_families_name0 security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
threatStatistics_families_score0 security_result.detection_fields שדות לזיהוי אבטחה שספציפיים לספק.
url security_result.about.url כתובת ה-URL החשודה או הזדונית בפועל.
version additional.fields שדות נוספים שספציפיים לספק.
vip additional.fields שדות נוספים שספציפיים לספק.
xmailer security_result.detection_fields התוכן של הכותרת X-Mailer:, אם היא קיימת, או שדות זיהוי אבטחה ספציפיים לספק.

הפניה לדלתא של מיפוי UDM

ב-9 בספטמבר 2025, צוות Google SecOps פרסם גרסה חדשה של כלי הניתוח של התראות Proofpoint TAP, שכוללת שינויים משמעותיים במיפוי של שדות יומן ההתראות של Proofpoint TAP לשדות UDM, ועדכונים בסיווגים (מיפויים) של סוגי אירועים.

דלתא של מיפוי שדות ביומן

בטבלה הבאה מוצגים השינויים במיפוי של שדות ביומן של התראות Proofpoint TAP לשדות UDM. בעמודה מיפוי ישן מפורטים השדות שנחשפו לפני 9 בספטמבר 2025, ובעמודה מיפוי נוכחי מפורטים השדות החדשים.

שדה ביומן מיפוי ישן המיפוי הנוכחי
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields אם quarantineFolder שווה ל-low priority או ל-high priority, המיפוי הוא ל-security_result.priority. אחרת, ממפים אל security_result.detection_fields.
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields אם quarantineFolder שווה ל-low priority או ל-high priority, המיפוי הוא ל-security_result.priority. אחרת, ממפים אל security_result.detection_fields.
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields אם quarantineFolder שווה ל-low priority או ל-high priority, אז ממופה לשדה UDM‏ security_result.priority. אחרת, ממפים אל security_result.detection_fields.
spamScore additional.fields security_result.detection_fields

דלתא של מיפוי סוגי אירועים

כמה אירועים שסווגו בעבר כאירועים כלליים מסווגים עכשיו בצורה נכונה עם סוגי אירועים משמעותיים יותר.

בטבלה הבאה מפורטות השינויים בטיפול בסוגי האירועים של התראות Proofpoint TAP לפני 9 בספטמבר 2025 ואחריו (מפורטים בעמודות Old event_type ו-Current event_type בהתאמה).

פורמט ‫eventType מתוך היומן Old event_type סוג האירוע הנוכחי
SYSLOG+KV אם היומן מכיל את השדות fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts או mailer,השדות proto,mod מופיעים EMAIL_TRANSACTION
אם היומן מכיל רק פרטים של mail_id EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
יומנים CEF eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
אם ביומן מופיעים emails, sender, headerReplyTo, orig_recipient USER_UNCATEGORIED
אם ביומן יש src, host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.