Mengumpulkan log pemberitahuan Proofpoint TAP
Didukung di:
Google SecOps
SIEM
Dokumen ini menjelaskan cara mengumpulkan log pemberitahuan Proofpoint Targeted Attack Protection (TAP) dengan menyiapkan feed Google Security Operations.
Untuk mengetahui informasi selengkapnya, lihat Penyerapan data Google SecOps.
Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser
dengan label penyerapan PROOFPOINT_MAIL.
Mengonfigurasi pemberitahuan Proofpoint TAP
- Login ke portal insight ancaman Proofpoint menggunakan kredensial Anda.
- Di tab Setelan, pilih Aplikasi terhubung. Bagian Service credentials akan muncul.
- Di bagian Nama, klik Buat kredensial baru.
- Ketik nama organisasi Anda, seperti
altostrat.com. - Klik Generate. Dalam dialog Generated service credential, nilai Service principal dan Secret akan muncul.
- Salin nilai Service principal dan Secret. Nilai hanya ditampilkan pada saat pembuatan dan diperlukan saat Anda mengonfigurasi feed Google Security Operations.
- Klik Done.
Menyiapkan feed
Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:
- Buka SIEM Settings > Feeds.
- Klik Tambahkan Feed Baru.
- Klik paket feed Proofpoint.
- Temukan jenis log Proofpoint Tap Alerts.
Tentukan nilai untuk kolom berikut:
- Jenis sumber: API pihak ketiga
- Username: tentukan principal layanan yang Anda peroleh sebelumnya.
- Secret: tentukan secret yang Anda peroleh sebelumnya.
Opsi lanjutan
- Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
- Namespace Aset: Namespace yang terkait dengan feed.
- Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
Klik Buat Feed.
Untuk mengetahui informasi selengkapnya tentang feed Google Security Operations, lihat dokumentasi feed Google Security Operations. Untuk mengetahui informasi tentang persyaratan untuk setiap jenis feed, lihat Konfigurasi feed menurut jenis. Jika Anda mengalami masalah saat membuat feed, hubungi dukungan Google Security Operations.
Referensi pemetaan kolom
Parser ini menangani log Proofpoint Mail dalam format JSON atau key-value, mengekstrak detail email dan aktivitas jaringan. Fitur ini memetakan kolom log ke UDM, mengategorikan peristiwa seperti transaksi email dan permintaan HTTP jaringan, serta memperkayanya dengan detail keamanan seperti tindakan, kategori, dan informasi ancaman.
Batasan
Saat menganalisis log PROOFPOINT_MAIL, Anda mungkin mengamati peristiwa dengan stempel waktu historis meskipun penyerapan terjadi secara real-time. Perilaku ini melekat pada Proofpoint API, bukan pipeline penyerapan Google SecOps. Meskipun Google SecOps membuat kueri untuk aktivitas terbaru, Proofpoint API dapat menampilkan peristiwa yang terjadi beberapa hari sebelumnya. Perbedaan antara event_timestamp dan ingestion_time diperkirakan terjadi untuk jenis log PROOFPOINT_MAIL karena cara Proofpoint melakukan buffering dan merilis data peristiwa. Untuk mengetahui detail selengkapnya, lihat dokumentasi stempel waktu peristiwa Proofpoint.
Tabel pemetaan UDM
Tabel berikut mencantumkan pemetaan kolom log mentah pemberitahuan Proofpoint TAP ke kolom UDM, yang dikategorikan menurut formatnya.
Kolom log format JSON terkait klik
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
clicksBlocked[].classification |
security_result.category,security_result.category_details |
Klasifikasi ancaman (misalnya, malware, phish). |
clicksBlocked[].clickIP |
principal.ip,security_result.about.ip |
Alamat IP pengguna yang mengklik URL. |
clicksBlocked[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
Stempel waktu klik. |
clicksBlocked[].GUID |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksBlocked[].guid |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksBlocked[].id |
additional.fields["id"] |
ID Klik unik. |
clicksBlocked[].messageID |
network.email.mail_id |
ID Pesan Email asli. |
clicksBlocked[].recipient |
network.email.to,target.user.email_addresses |
Alamat email penerima. |
clicksBlocked[].sender |
network.email.from,principal.user.email_addresses |
Alamat email pengirim. Bagian pengguna di-hash. Bagian domain adalah teks biasa. |
clicksBlocked[].senderIP |
principal.ip |
Alamat IP pengirim asli. |
clicksBlocked[].threatID |
security_result.threat_id |
ID untuk ancaman yang terdeteksi. |
clicksBlocked[].threatStatus |
security_result.threat_status |
Status ancaman (Active, Cleared, dan sebagainya). |
clicksBlocked[].threatTime |
metadata.event_timestamp if clicksBlocked[].clickTime is null,additional.fields["clicks_clickTime"] |
Waktu saat Proofpoint menetapkan threatStatus. |
clicksBlocked[].threatUrl |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
clicksBlocked[].url |
target.url,security_result.about.url |
URL berbahaya yang diklik. |
clicksBlocked[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Agen pengguna klien yang melakukan klik. |
clicksPermitted[].classification |
security_result.category,security_result.category_details |
Klasifikasi ancaman (misalnya, malware, phish). |
clicksPermitted[].clickIP |
principal.ip,security_result.about.ip |
Alamat IP pengguna yang mengklik URL. |
clicksPermitted[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
Stempel waktu klik. |
clicksPermitted[].GUID |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksPermitted[].guid |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksPermitted[].id |
additional.fields["id"] |
ID Klik unik. |
clicksPermitted[].messageID |
network.email.mail_id |
ID Pesan Email asli. |
clicksPermitted[].recipient |
network.email.to,target.user.email_addresses |
Alamat email penerima. |
clicksPermitted[].sender |
network.email.from,principal.user.email_addresses |
Alamat email pengirim. Bagian pengguna di-hash. Bagian domain adalah teks biasa. |
clicksPermitted[].senderIP |
principal.ip |
Alamat IP pengirim asli. |
clicksPermitted[].threatID |
security_result.threat_id |
ID untuk ancaman yang terdeteksi. |
clicksPermitted[].threatStatus |
security_result.threat_status |
Status ancaman (Aktif, Dibersihkan, dan sebagainya). |
clicksPermitted[].threatTime |
metadata.event_timestamp if clicksPermitted[].clickTime is null,additional.fields["clicks_clickTime"] |
Waktu saat Proofpoint menetapkan threatStatus. |
clicksPermitted[].threatUrl |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
clicksPermitted[].url |
target.url,security_result.about.url |
URL berbahaya yang diklik. |
clicksPermitted[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Agen pengguna klien yang melakukan klik. |
Kolom log format JSON terkait pesan
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
messagesBlocked[].ccAddresses |
intermediary.user.email_addresses |
Daftar alamat email yang ada dalam header CC:. |
messagesBlocked[].cluster |
additional.fields["cluster"] |
Cluster pemrosesan email Proofpoint (atau deployment tenant) tertentu yang menangani peristiwa email. |
messagesBlocked[].clusterId |
additional.fields |
Nama cluster PPS yang memproses pesan. |
messagesBlocked[].fromAddress |
principal.user.email_addresses,network.email.from jika messagesBlocked[].sender tidak ada |
Alamat email yang ada di header From:, tidak termasuk nama yang mudah diingat. |
messagesBlocked[].guid |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesBlocked[].GUID |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesBlocked[].headerCC |
additional.fields["headerCC "] |
Berisi detail headerCC. |
messagesBlocked[].headerReplyTo |
additional.fields["headerReplyTo "] |
Jika ada, konten lengkap header Reply-To:, termasuk nama singkat. |
messagesBlocked[].id |
additional.fields["id"] |
Berisi detail ID pesan. |
messagesBlocked[].impostorScore |
security_result.detection_fields["impostorScore"] |
Skor peniruan identitas pesan. |
messagesBlocked[].malwareScore |
security_result.detection_fields["malwareScore"] |
Skor malware pesan. |
messagesBlocked[].messageID |
network.email.mail_id |
ID Pesan yang diekstrak dari header pesan email. ID ini dapat digunakan untuk mencari pesan terkait di PPS dan bersifat unik. |
messagesBlocked[].messageParts[].contentType |
about.file.mime_type |
Jenis MIME file. |
messagesBlocked[].messageParts[].disposition |
additional.fields["disposition "] |
Cara bagian pesan ditangani (misalnya, dilampirkan, inline). Diindeks secara dinamis. |
messagesBlocked[].messageParts[].md5 |
about.file.md5 |
Hash MD5 dari bagian/file pesan. |
messagesBlocked[].messageParts[].oContentType |
additional.fields["oContentType "] |
Content-Type yang dideklarasikan dari messagePart. |
messagesBlocked[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Status analisis file di sandbox. |
messagesBlocked[].messageParts[].sha256 |
about.file.sha256 |
Hash SHA256 dari bagian/file pesan. |
messagesBlocked[].messagesBlocked[].messageParts[].filename |
about.file.full_path |
Nama file atau lampiran. |
messagesBlocked[].messageSize |
additional.fields["messageSize"] |
Ukuran pesan dalam byte, termasuk header dan lampiran. |
messagesBlocked[].messageTime |
metadata.event_timestamp |
Saat pesan dikirim ke pengguna atau dikarantina oleh PPS. |
messagesBlocked[].modulesRun |
additional.fields["modulesRun"] |
Daftar modul PPS yang memproses pesan. |
messagesBlocked[].phishScore |
security_result.detection_fields["phishScore"] |
Skor phishing pesan. |
messagesBlocked[].policyRoutes |
additional.fields["PolicyRoutes"] |
Rute kebijakan yang cocok dengan pesan selama pemrosesan oleh PPS. |
messagesBlocked[].QID |
additional.fields["QID"] |
ID antrean pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan tidak unik. |
messagesBlocked[].quarantineFolder |
security_result.priority jika messagesBlocked[].quarantineFolder adalah "Prioritas Rendah" atau "Prioritas Tinggi",security_result.detection_fields ["quarantineFolder"] jika tidak |
Nama folder yang berisi pesan yang dikarantina. |
messagesBlocked[].recipient |
network.email.to |
Array yang berisi alamat email penerima. |
messagesBlocked[].replyToAddress |
network.email.reply_to jika merupakan email yang valid,additional.fields["replyTo"] jika tidak |
Alamat email yang ada di header Reply-To:. |
messagesBlocked[].sender |
network.email.from |
Alamat email pengirim. |
messagesBlocked[].senderIP |
principal.ip,principal.asset.ip |
Alamat email pengirim. |
messagesBlocked[].spamScore |
security_result.detection_fields["spamScore"] |
Skor spam pesan. |
messagesBlocked[].subject |
network.email.subject |
Subjek email. |
messagesBlocked[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Array ID sub-organisasi internal yang ditetapkan ke penerima. |
messagesBlocked[].suborgs.sender |
additional.fields["suborgsSender"] |
ID sub-organisasi internal yang ditetapkan ke pengirim. |
messagesBlocked[].threatsInfoMap[].campaignId |
security_result.rule_id |
ID kampanye yang menjadi anggota ancaman, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye meskipun setelah peristiwa ini diambil. |
messagesBlocked[].threatsInfoMap[].campaignID |
security_result.rule_id |
ID kampanye yang menjadi anggota ancaman, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye meskipun setelah peristiwa ini diambil. |
messagesBlocked[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
Kategori ancaman yang ditemukan dalam pesan. |
messagesBlocked[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
Status penulisan ulang pesan. Jika nilainya adalah true, semua instance ancaman URL dalam pesan berhasil ditulis ulang. Jika nilainya adalah false, setidaknya satu instance URL ancaman tidak ditulis ulang. Jika nilainya adalah na, pesan tidak berisi ancaman berbasis URL. |
messagesBlocked[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Kolom baru detectionType dan ThreatInfo ditambahkan ke respons. |
messagesBlocked[].threatsInfoMap[].threat |
security_result.about.url jika threatType adalahurl,security_result.about.file.sha256 jika attachment,security_result.about.resource.name jika messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Apakah ancaman berupa lampiran, URL, atau jenis pesan. |
messagesBlocked[].threatsInfoMap[].threatID |
security_result.threat_id |
ID unik yang terkait dengan ancaman ini. API ini dapat digunakan untuk membuat kueri endpoint forensik dan kampanye. |
messagesBlocked[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID aktor. |
messagesBlocked[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID aktor. |
messagesBlocked[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID aktor. |
messagesBlocked[].threatsInfoMap[].threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
messagesBlocked[].threatsInfoMap[].threatTime |
metadata.event_timestamp jika messagesBlocked[].messageTime tidak ada,security_result.detection_fields |
Waktu saat Proofpoint menetapkan threatStatus. |
messagesBlocked[].threatsInfoMap[].threatType |
security_result.threat_name |
String yang menentukan jenis ancaman yang akan ditampilkan dalam data. |
messagesBlocked[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Link ke entri tentang ancaman di Dasbor TAP. |
messagesBlocked[].toAddresses |
target.user.email_addresses |
Daftar alamat email yang ada dalam header To:. |
messagesBlocked[].xmailer |
security_result.detection_fields["xmailer"] |
Konten header X-Mailer:. |
messagesDelivered[].ccAddresses |
intermediary.user.email_addresses |
Daftar alamat email yang ada dalam header CC:. |
messagesDelivered[].cluster |
additional.fields["cluster"] |
Cluster pemrosesan email Proofpoint (atau deployment tenant) tertentu yang menangani peristiwa email. |
messagesDelivered[].clusterId |
additional.fields |
Nama cluster PPS yang memproses pesan. |
messagesDelivered[].fromAddress |
principal.user.email_addresses,network.email.from jika messagesDelivered[].sender tidak ada |
Alamat email yang ada di header From:, tidak termasuk nama yang mudah diingat. |
messagesDelivered[].GUID |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesDelivered[].guid |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesDelivered[].headerCC |
additional.fields["headerCC "] |
Berisi detail headerCC. |
messagesDelivered[].headerReplyTo |
additional.fields["headerReplyTo "] |
Jika ada, konten lengkap header Reply-To:, termasuk nama singkat. |
messagesDelivered[].id |
additional.fields["id "] |
Berisi detail ID pesan. |
messagesDelivered[].impostorScore |
security_result.detection_fields["impostorScore"] |
Skor peniruan identitas pesan. |
messagesDelivered[].malwareScore |
security_result.detection_fields["malwareScore"] |
Skor malware pesan. |
messagesDelivered[].messageID |
network.email.mail_id |
ID Pesan yang diekstrak dari header pesan email. ID ini dapat digunakan untuk mencari pesan terkait di PPS dan tidak unik. |
messagesDelivered[].messageParts[].contentType |
about.file.mime_type |
Jenis MIME file. |
messagesDelivered[].messageParts[].disposition |
additional.fields["disposition "] |
Cara bagian pesan ditangani (misalnya, dilampirkan, inline). Diindeks secara dinamis. |
messagesDelivered[].messageParts[].md5 |
about.file.md5 |
Hash MD5 dari bagian/file pesan. |
messagesDelivered[].messageParts[].oContentType |
additional.fields["oContentType "] |
Content-Type yang dideklarasikan dari messagePart. |
messagesDelivered[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Status analisis file di sandbox. |
messagesDelivered[].messageParts[].sha256 |
about.file.sha256 |
Hash SHA256 dari bagian/file pesan. |
messagesDelivered[].messagesDelivered[].messageParts[].filename |
about.file.full_path |
Nama file atau lampiran. |
messagesDelivered[].messageSize |
additional.fields["messageSize"] |
Ukuran pesan dalam byte, termasuk header dan lampiran. |
messagesDelivered[].messageTime |
metadata.event_timestamp |
Saat pesan dikirim ke pengguna atau dikarantina oleh PPS. |
messagesDelivered[].modulesRun |
additional.fields["modulesRun"] |
Daftar modul PPS yang memproses pesan. |
messagesDelivered[].phishScore |
security_result.detection_fields["phishScore"] |
Skor phishing pesan. |
messagesDelivered[].policyRoutes |
additional.fields["PolicyRoutes"] |
Rute kebijakan yang cocok dengan pesan selama pemrosesan oleh PPS. |
messagesDelivered[].QID |
additional.fields["QID"] |
ID antrean pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan tidak unik. |
messagesDelivered[].quarantineFolder |
security_result.priority jika messagesDelivered[].quarantineFolder adalah "Prioritas Rendah" atau "Prioritas Tinggi",security_result.detection_fields ["quarantineFolder"] jika tidak |
Nama folder yang berisi pesan yang dikarantina. |
messagesDelivered[].recipient |
network.email.to |
Array yang berisi alamat email penerima. |
messagesDelivered[].replyToAddress |
network.email.reply_to jika merupakan email yang valid,additional.fields ["replyTo"] jika tidak |
Alamat email yang ada di header Reply-To:. |
messagesDelivered[].senderIP |
principal.ip,principal.asset.ip |
Alamat email pengirim. |
messagesDelivered[].spamScore |
security_result.detection_fields["spamScore"] |
Skor spam pesan. |
messagesDelivered[].subject |
network.email.subject |
Subjek email. |
messagesDelivered[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Array ID sub-organisasi internal yang ditetapkan kepada penerima. |
messagesDelivered[].suborgs.sender |
additional.fields["suborgsSender"] |
ID sub-organisasi internal yang ditetapkan ke pengirim |
messagesDelivered[].threatsInfoMap[].campaignId |
security_result.rule_id |
ID kampanye yang menjadi anggota ancaman, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye meskipun setelah peristiwa ini diambil. |
messagesDelivered[].threatsInfoMap[].campaignID |
security_result.rule_id |
ID kampanye yang menjadi anggota ancaman, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye meskipun setelah peristiwa ini diambil. |
messagesDelivered[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
Kategori ancaman yang ditemukan dalam pesan. |
messagesDelivered[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
Status penulisan ulang pesan. Jika nilainya adalah true, semua instance ancaman URL dalam pesan berhasil ditulis ulang. Jika nilainya adalah false, setidaknya satu instance URL ancaman tidak ditulis ulang. Jika nilainya adalah na, pesan tidak berisi ancaman berbasis URL. |
messagesDelivered[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Kolom baru detectionType dan ThreatInfo ditambahkan ke respons. |
messagesDelivered[].threatsInfoMap[].threat |
security_result.about.url jika threatType adalahurl,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,security_result.about.resource.name jika tidak,result.about.resource.attribute.labels dengan nilai Email dan kunci threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Apakah ancaman berupa lampiran, URL, atau jenis pesan. |
messagesDelivered[].threatsInfoMap[].threatID |
security_result.threat_id |
ID unik yang terkait dengan ancaman ini. API ini dapat digunakan untuk membuat kueri endpoint forensik dan kampanye. |
messagesDelivered[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID aktor. |
messagesDelivered[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID aktor. |
messagesDelivered[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID aktor. |
messagesDelivered[].threatsInfoMap[].threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
messagesDelivered[].threatsInfoMap[].threatTime |
metadata.event_timestamp jika messagesDelivered[].messageTime tidak ada,security_result.detection_fields |
Waktu saat Proofpoint menetapkan threatStatus. |
messagesDelivered[].threatsInfoMap[].threatType |
security_result.threat_name |
String yang menentukan jenis ancaman yang akan ditampilkan dalam data. |
messagesDelivered[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Link ke entri tentang ancaman di Dasbor TAP. |
messagesDelivered[].toAddresses |
target.user.email_addresses |
Daftar alamat email yang ada dalam header To:. |
messagesDelivered[].xmailer |
security_result.detection_fields["xmailer"] |
Konten header X-Mailer:. |
msg.accountType |
Kolom tambahan khusus vendor. | |
msg.address |
principal.user.email_addresses |
Alamat email tertentu yang terkait dengan akun yang dipantau atau dievaluasi untuk aktivitas ancaman. |
msg.dashboardLink |
security_result.url_back_to_product |
Link ke dasbor Insight Ancaman. |
msg.deliveredMessages |
Kolom tambahan khusus vendor. | |
msg.eventTime |
metadata.event_timestamp jika messageTime dan threatTime kosong |
Stempel waktu UTC yang tepat saat pengamatan ancaman atau peristiwa log ini dibuat. |
msg.highRisk |
security_result.action |
Tanda boolean (benar/salah) yang menunjukkan apakah Proofpoint mengklasifikasikan akun ini sebagai menimbulkan risiko keamanan atau tingkat kompromi yang lebih tinggi. |
msg.identity |
Kolom tambahan khusus vendor. | |
msg.maliciousMessages |
Kolom tambahan khusus vendor. | |
msg.observations[] |
additional.fields["observations"] | Daftar tag perilaku atau indikator anomali threat intelligence spesifik yang ditandai oleh algoritma Proofpoint. |
msg.timeRanges[].end |
additional.fields |
Array jangka waktu yang menunjukkan kapan perilaku mencurigakan atau indikator ancaman diamati secara aktif untuk akun ini. |
msg.timeRanges[].falsePositive |
additional.fields |
Array jangka waktu yang menunjukkan kapan perilaku mencurigakan atau indikator ancaman diamati secara aktif untuk akun ini. |
msg.timeRanges[].start,msg |
additional.fields |
Array jangka waktu yang menunjukkan kapan perilaku mencurigakan atau indikator ancaman diamati secara aktif untuk akun ini. |
msg.trafficType |
Kolom tambahan khusus vendor. | |
queryEndTime |
metadata.collected_timestamp |
Waktu saat periode yang dikueri untuk data berakhir. |
sender_domain |
principal.domain.name |
Diekstrak dari messagesBlocked[].fromAddress atau messagesDelivered[].fromAddress yang terdiri dari nama domain pengirim. |
Kolom log format Syslog
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
a |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
action |
security_result.action,security_result.action_details |
Berisi detail tindakan. |
active |
security_result.threat_status |
Status ancaman. |
adjust |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
adultscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
application |
principal.application |
Berisi detail aplikasi utama. |
attachments |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
bits |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
bulkscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
campaignID |
security_result.rule_id |
ID kampanye yang menjadi anggota ancaman, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye meskipun setelah peristiwa ini diambil. |
ccAddresses |
intermediary.user.email_addresses |
Daftar alamat email yang ada dalam header CC:. |
cid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
cipher |
network.tls.cipher |
Berisi detail tls.cipher. |
cipher_bits |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
class |
security_result.category,security_result.category_details |
Kategori ancaman URL berbahaya. |
classifier |
security_result.category |
Kategori ancaman yang ditemukan dalam pesan. |
clickIP |
security_result.about.ip, principal.ip,principal.asset.ip |
Alamat IP eksternal pengguna yang mengklik link. Jika pengguna berada di belakang firewall yang melakukan terjemahan alamat jaringan, alamat IP firewall akan ditampilkan. |
clickTime |
metadata.event_timestamp jika messageTime tidak ada |
Waktu pengguna mengklik URL. |
cluster |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clusterId |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clx_result_group |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clx_score |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clx_shade |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clxscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
cmd |
network.http.method jika STS tidak kosong,principal.process.command_line jika tidak |
Jika STS tidak kosong, STS berisi metode HTTP. Jika tidak, STS berisi detail command line. |
completelyRewritten |
security_result.action,security_result.detection_fields["completelyRewritten"] |
Status penulisan ulang pesan. Jika nilainya adalah true, semua instance ancaman URL dalam pesan berhasil ditulis ulang. Jika nilainya adalah false, setidaknya satu instance URL ancaman tidak ditulis ulang. Jika nilainya adalah na, pesan tidak berisi ancaman berbasis URL. |
corrupted |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
country |
principal.location.country_or_region |
Berisi detail negara. |
daemon |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
date_log |
metadata.event_timestamp jika messageTime, clickTime, dan threatTime tidak ada |
Stempel waktu yang ada di syslog. |
date_log_rebase |
metadata.event_timestamp jika messageTime, clickTime, dan threatTime tidak ada |
Stempel waktu yang ada di syslog. |
default |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
definitions |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
delay |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
dict |
security_result.category_details |
Berisi category_details. |
dnsid |
network.dns.id |
Berisi detail ID DNS. |
domain |
principal.administrative_domain |
Berisi detail administrative_domain. |
dsn |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
duration |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
eid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
elapsed |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
engine |
metadata.product_version |
Berisi detail product_version. |
envid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
err |
security_result.description |
Deskripsi. |
evt |
extensions.auth.auth_details |
Detail autentikasi. |
expires |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
file |
about.process.file.full_path |
Berisi detail jalur lengkap file. |
from |
network.email.from |
Berisi email pengirim. |
fromAddress |
network.email.from |
Alamat email yang ada di header From:. |
guid |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
hdr_mid |
network.email.mail_id |
Berisi detail mail_id. |
headerFrom |
additional.fields["headerFrom"] |
Konten lengkap header From:, termasuk nama yang mudah diingat. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Jika ada, konten lengkap header Reply-To:. |
headerTo |
additional.fields |
Kolom tambahan khusus vendor. |
helo |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
hfrom |
network.email.from |
Berisi alamat email pengirim. |
hfrom_domain |
principal.administrative_domain |
Berisi detail administrative_domain. |
hops-ip |
intermediary.ip |
Berisi alamat IP perantara. |
host |
principal.hostname |
Berisi detail nama host. |
id |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
id |
additional.fields |
Kolom tambahan khusus vendor. |
impostor_score |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
impostorScore |
security_result.detection_fields |
Skor peniruan identitas pesan. |
inter_host |
intermediary.hostname |
Berisi detail nama host perantara. |
intermediary_hostname |
intermediary.hostname |
Berisi nama host perantara. |
intermediary_ip |
intermediary.ip |
Berisi alamat IP perantara. |
ip |
principal.ip,principal.asset.ip |
Berisi alamat IP pengirim |
len |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
lint |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
lip |
intermediary.ip |
Berisi alamat IP perantara. |
log_level |
security_result.severity |
Berisi detail tingkat keparahan. |
lowpriorityscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
m |
network.email.mail_id |
Berisi detail mail_id. |
mailer |
network.application_protocol |
Berisi detail application_protocol. |
malwareScore |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
messageID |
network.email.mail_id |
ID Pesan yang diekstrak dari header pesan email. |
messageParts[].contentType |
about.file.mime_type |
Jenis MIME file. |
messageParts[].disposition |
additional.fields["disposition "] |
Cara bagian pesan ditangani (misalnya, dilampirkan, inline). Diindeks secara dinamis. |
messageParts[].filename |
about.file.full_path |
Nama file atau lampiran. |
messageParts[].md5 |
about.file.md5 |
Hash MD5 dari bagian/file pesan. |
messageParts[].oContentType |
additional.fields["oContentType "] |
Content-Type yang dideklarasikan dari messagePart. |
messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Status analisis file di sandbox. |
messageParts[].sha256 |
about.file.sha256 |
Hash SHA256 dari bagian/file pesan. |
messageTime |
metadata.event_timestamp |
Saat pesan dikirim ke pengguna atau dikarantina oleh PPS. |
mime |
principal.process.file.mime_type |
Berisi detail file mime_type. |
mlxscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
mod |
network.application_protocol |
Berisi detail application_protocol. |
module |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
modulesRun |
security_result.detection_fields |
Daftar modul PPS yang memproses pesan. |
modulesRun |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
msg |
security_result.description |
Deskripsi. |
msghold_response |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
msgid |
network.email.mail_id |
Berisi detail mail_id. |
msgs |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
name |
about.process.file.full_path |
Berisi jalur lengkap file. |
notroutes |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
nrcpts |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
path |
principal.url |
Berisi detail URL. |
phishscore |
security_result.detection_fields |
Skor phishing pesan. |
pid |
principal.process.pid |
Berisi detail PID. |
policy |
network.direction |
Menjelaskan alur jaringan. Berisi nilai masuk/keluar. |
pri |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
principal_hostname |
principal.hostname,principal.asset.hostname |
Berisi detail nama host utama. |
principal_ip_1 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_2 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_3 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_4 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_5 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_6 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_7 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_8 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_port_1 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_2 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_3 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_4 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_5 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_6 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_7 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_8 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_pid |
principal.process.pid |
Mencatat PID proses. |
priority_score |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
priorityscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
profile |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
prot |
network.application_protocol |
Berisi detail application_protocol. |
protected |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
proto |
network.application_protocol |
Berisi detail application_protocol. |
pss |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
qid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
quarantineFolder |
security_result.priority |
Nama folder yang berisi pesan yang dikarantina. |
quarantineRule |
security_result.rule_name |
Nama aturan yang mengarantina pesan. |
query |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
querydepth |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rcode |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rcpt |
network.email.to | Berisi alamat email penerima. |
rcpts |
network.email.to | Berisi alamat email penerima |
reason |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
recipient |
target.user.email_addresses |
Berisi detail email penerima. |
reject |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
reply |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
replyToAddress |
network.email.reply_to | Alamat email yang ada di header Reply-To:. |
resolve |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
restquery_stage |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
result |
security_result.action |
Berisi detail tindakan. |
result |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
result_detail |
security_result.description |
Memberikan deskripsi. |
reverse |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
routes |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rss |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rule |
security_result.rule_name |
Berisi rule_name. |
s |
network.session_id |
Berisi detail session_id. |
scancount |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
scope |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
score |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
selector |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sender |
principal.user.email_addresses |
Berisi detail email pengirim. |
senderIP |
principal.ip,principal.assest.ip |
Berisi detail IP pengirim. |
sendmail_queue_id |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sha256 |
security_result.about.file.sha256 |
Detail file SHA256. |
size |
principal.process.file.size` | Berisi detail ukuran file. |
smtputf8 |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
spamscore |
security_result.detection_fields |
Skor spam pesan. |
src_host |
principal.hostname,principal.asset.hostname |
Berisi detail nama host utama. |
STARTTLS |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
stat |
additional.fields |
Berisi detail status. |
status |
additional.fields |
Berisi detail status. |
sts |
network.http.response_code |
Berisi data response_code. |
subject |
network.email.subject |
Berisi email.subject. |
subject |
network.email.subject |
Berisi detail subjek email. |
suspectscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sys |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sz |
principal.process.file.size |
Berisi detail ukuran file. |
tests |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
threat |
security_result.about.url jika threatType adalah url,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
|
threatID |
security_result.threat_id |
Berisi detail ID ancaman. |
threatsInfoMap[].campaignID |
security_result1.rule_id |
ID kampanye yang menjadi anggota ancaman, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye meskipun setelah peristiwa ini diambil. |
threatsInfoMap[].classification |
security_result.categorysecurity_result.category_details |
Kategori ancaman yang ditemukan dalam pesan. |
threatsInfoMap[].threat |
security_result.about.url jika threatType adalah url,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatsInfoMap[].threatTypesecurity_result.about.resource.name jika tidak,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
Array struktur, yang berisi detail tentang ancaman yang terdeteksi dalam pesan. Mungkin ada lebih dari satu ancaman per pesan. |
threatsInfoMap[].threatID |
security_result.threat_id |
Berisi detail ID ancaman. |
threatsInfoMap[].threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
threatsInfoMap[].threatTime |
metadata.event_timestamp jika messageTime dan clickTime tidak ada,security_result.detection_fields |
|
threatsInfoMap[].threatType |
security_result.about.url jika threatType adalah urlsecurity_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageTextresult.about.resource.attribute.labels dengan nilai Email dan kunci threatsInfoMap[].threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
Array struktur yang berisi detail tentang ancaman yang terdeteksi dalam pesan. Mungkin ada lebih dari satu ancaman per pesan. |
threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
threatTime |
metadata.event_timestamp jika messageTime dan clickTime tidak ada |
Waktu saat Proofpoint mengidentifikasi URL sebagai ancaman. |
threatType |
security_result.about.url jika threatType adalah url,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
|
threatURL |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
threshold |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
tls |
network.tls.cipher |
Berisi detail tls.cipher. |
tls-alert |
security_result.description |
Memberikan deskripsi |
tls_verify |
security_result.action |
Berisi detail verifikasi. |
tls_version |
network.tls.version |
Berisi detail versi TLS. |
to |
network.email.to |
Berisi alamat email penerima. |
toAddresses |
network.email.to |
Daftar alamat email yang ada dalam header To:. |
token |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
ts |
metadata.event_timestamp jika messageTime, clickTime, dan threatTime tidak ada |
Stempel waktu yang ada di syslog. |
type |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
uri |
principal.url |
Berisi detail URL. |
url_count |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Agen Pengguna HTTP. |
value |
network.email.from |
Berisi alamat email pengirim. |
vendor |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
verify |
security_result.action |
Berisi detail verifikasi. |
version |
network.tls.version |
Berisi detail versi TLS. |
virtual |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
virusthreat |
security_result.threat_name |
Berisi detail nama ancaman. |
virusthreatid |
security_result.threat_id |
Berisi detail ID ancaman. |
warn |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
x |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
X-Proofpoint-Spam-Details |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
xdelay |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
xmailer |
security_result.detection_fields |
Konten header X-Mailer:, jika ada, atau kolom deteksi keamanan khusus vendor. |
Kolom log CEF
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
cluster |
additional.fields |
Kolom tambahan khusus vendor. |
file_hash |
principal.file.md5 |
Berisi detail MD5 file. |
file_name |
principal.file.full_path |
Berisi jalur. |
GUID |
metadata.product_log_id |
Berisi product_log_id. |
guid |
metadata.product_log_id |
Berisi product_log_id. |
headerFrom |
additional.fields |
Konten lengkap header From:. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Konten lengkap header Reply-To:. |
host |
principal.hostname,principal.assest.hostname |
Berisi nama host utama. |
id |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
id |
additional.fields |
Kolom tambahan khusus vendor. |
impostorScore |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
malwareScore |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
message_id |
network.email.mail_id |
Berisi detail mail_id. |
messageParts_contentType |
principal.file.mime_type |
Mewakili jenis MIME bagian/komponen tertentu dari pesan email. |
messageParts_disposition |
additional.fields |
Kolom tambahan khusus vendor. |
messageParts_oContentType |
additional.fields |
Kolom tambahan khusus vendor. |
messageParts_sandboxStatus |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
messageParts_sha256 |
principal.file.sha256 |
Berisi detail file 256. |
messageTime |
metadata.event_timestamp |
Waktu saat pesan dikirim ke pengguna atau dikarantina oleh PPS. |
modulesRun |
security_result.detection_fields |
Daftar modul PPS yang memproses pesan. |
modulesRun |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
orig_dest |
network.email.to |
Alamat email di header/amplop SMTP awal saat email mencapai gateway. |
orig_recipient |
target.user.email_addresses |
Alamat email penerima. |
orig_src |
network.email.from |
Alamat email sumber. |
policyRoutes |
additional.fields |
Kolom tambahan khusus vendor. |
process_id |
principal.process.pid |
Berisi detail PID proses. |
QID |
additional.fields |
ID antrean pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan tidak unik. |
quarantineFolder |
security_result.priority |
Nama folder yang berisi pesan yang dikarantina. |
quarantineRule |
security_result.rule_name |
Nama aturan yang mengarantina pesan. |
return_addr |
principal.user.email_addresses |
Alamat amplop yang ditentukan selama transportasi SMTP (MAIL FROM). |
rt |
additional.fields |
Kolom tambahan khusus vendor. |
sender |
principal.user.email_addresses |
Berisi alamat email pengirim. |
src |
principal.ip,principal.asset.ip |
Berisi alamat IP utama. |
stag |
additional.fields |
Kolom tambahan khusus vendor. |
start |
additional.fields |
Kolom tambahan khusus vendor. |
status_code |
additional.fields |
Kolom tambahan khusus vendor. |
subject |
network.email.subject |
Berisi email.subject. |
threatsInfoMap_campaignID |
security_result.rule_id |
ID kampanye yang menjadi anggota ancaman, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye meskipun setelah peristiwa ini diambil. |
threatsInfoMap_classification |
security_result.category,security_result.category_details |
Kategori ancaman URL berbahaya. |
threatsInfoMap_detectionType |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatsInfoMap_threatID |
security_result.threat_id |
Berisi detail ID ancaman. |
threatsInfoMap_threatTime |
metadata.event_timestamp jika messageTime kosong |
Waktu saat Proofpoint menetapkan threatStatus. |
threatsInfoMap_threatTime |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatsInfoMap_threatType |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatsInfoMap_threatUrl |
security_result.url_back_to_product |
Berisi URL yang mengalihkan untuk melihat intelijen ancaman, analisis sandbox, dan detail forensik Proofpoint. |
threatStatistics_families_name0 |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatStatistics_families_score0 |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
url |
security_result.about.url |
URL Mencurigakan/Berbahaya yang sebenarnya. |
version |
additional.fields |
Kolom tambahan khusus vendor. |
vip |
additional.fields |
Kolom tambahan khusus vendor. |
xmailer |
security_result.detection_fields |
Konten header X-Mailer:, jika ada, atau kolom deteksi keamanan khusus vendor. |
Referensi delta pemetaan UDM
Pada 9 September 2025, Google SecOps merilis versi baru parser notifikasi Proofpoint TAP, yang mencakup perubahan signifikan pada pemetaan kolom log notifikasi Proofpoint TAP ke kolom UDM dan pembaruan pada klasifikasi (pemetaan) jenis peristiwa.
Delta pemetaan kolom log
Tabel berikut menunjukkan perubahan pada cara kolom log pemberitahuan Proofpoint TAP dipetakan ke kolom UDM. Kolom Pemetaan lama mencantumkan kolom yang diekspos sebelum 9 September 2025, dan kolom Pemetaan saat ini mencantumkan kolom baru.
| Kolom log | Pemetaan lama | Pemetaan saat ini |
|---|---|---|
clicks.impostorScore |
additional.fields |
security_result.detection_fields |
clicks.malwareScore |
additional.fields |
security_result.detection_fields |
clicks.phishScore |
additional.fields |
security_result.detection_fields |
clicks.quarantineFolder |
additional.fields |
Jika quarantineFolder sama dengan low priority atau high priority, maka petakan ke security_result.priority. Jika tidak, petakan ke security_result.detection_fields. |
clicks.quarantineRule |
additional.fields |
security_result.rule_name |
clicks.sender |
about.email |
Not Mapped |
clicks.senderIP |
about.ip |
principal.ip |
clicks.spamScore |
additional.fields |
security_result.detection_fields |
impostorScore |
additional.fields |
security_result.detection_fields |
malwareScore |
additional.fields |
security_result.detection_fields |
msg.impostorScore |
additional.fields |
security_result.detection_fields |
msg.malwareScore |
additional.fields |
security_result.detection_fields |
msg.phishScore |
additional.fields |
security_result.detection_fields |
msg.quarantineFolder |
additional.fields |
Jika quarantineFolder sama dengan low priority atau high priority, maka petakan ke security_result.priority. Jika tidak, petakan ke security_result.detection_fields. |
msg.quarantineRule |
additional.fields |
security_result.rule_name |
msg.spamScore |
additional.fields |
security_result.detection_fields |
msgPart.contentType |
additional.fields |
Not Mapped |
partData.contentType |
principal.process.file.mime_type |
about.file.mime_type |
partData.disposition |
security_result.detection_fields |
additional.fields |
partData.filename |
principal.process.file.full_path |
about.file.full_path |
partData.md5 |
principal.process.file.md5 |
about.file.md5 |
partData.sha256 |
about.file.sha1 |
about.file.sha256 |
phishScore |
additional.fields |
security_result.detection_fields |
quarantineFolder |
additional.fields |
Jika quarantineFolder sama dengan low priority atau high priority, petakan ke kolom UDM security_result.priority. Jika tidak, petakan ke security_result.detection_fields. |
spamScore |
additional.fields |
security_result.detection_fields |
Delta pemetaan jenis peristiwa
Beberapa peristiwa yang sebelumnya diklasifikasikan sebagai peristiwa umum kini diklasifikasikan dengan benar menggunakan jenis peristiwa yang lebih bermakna.
Tabel berikut mencantumkan perbedaan penanganan jenis peristiwa pemberitahuan Proofpoint TAP sebelum 9 September 2025 dan setelahnya (masing-masing tercantum dalam kolom Old event_type dan Current event_type).
| Format | eventType dari log | event_type lama | event_type saat ini |
|---|---|---|---|
SYSLOG+KV |
Jika log memiliki kolom fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts, atau mailer,proto,mod |
EMAIL_TRANSACTION |
|
Jika log hanya berisi detail mail_id |
EMAIL_TRANSACTION |
EMAIL_UNCATEGORIZED |
|
CEF log |
eventname= messagesDelivered, messagesBlocked |
EMAIL_TRANSACTION |
|
jika log memiliki emails, sender, headerReplyTo, orig_recipient |
USER_UNCATEGORIED |
||
jika log memiliki src, host |
STATUS_UPDATE |
||
SYSLOG+JSON |
eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked |
EMAIL_TRANSACTION |
|
JSON |
record.address |
USER_UNCATEGORIZED |
|
lookalikeDomain.name |
STATUS_UPDATE |
Log Perubahan
Melihat Log Perubahan untuk parser ini
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.