Mengumpulkan log pemberitahuan Proofpoint TAP
Didukung di:
Google SecOps
SIEM
Dokumen ini menjelaskan cara mengumpulkan log pemberitahuan Proofpoint Targeted Attack Protection (TAP) dengan menyiapkan feed Google Security Operations.
Untuk mengetahui informasi selengkapnya, lihat Penyerapan data Google SecOps.
Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah
ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser
dengan label penyerapan PROOFPOINT_MAIL.
Mengonfigurasi pemberitahuan Proofpoint TAP
- Login ke portal insight ancaman Proofpoint menggunakan kredensial Anda.
- Di tab Settings, pilih Connected applications. Bagian Service credentials akan muncul.
- Di bagian Name, klik Create new credential.
- Ketik nama organisasi Anda, seperti
altostrat.com. - Klik Generate. Dalam dialog Generated service credential, nilai Service principal dan Secret akan muncul.
- Salin nilai Service principal dan Secret. Nilai hanya ditampilkan pada saat pembuatan dan diperlukan saat Anda mengonfigurasi feed Google Security Operations.
- Klik Done.
Menyiapkan feed
Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:
- Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
- Klik Tambahkan Feed Berita Baru.
- Klik paket feed Proofpoint.
- Temukan jenis log Proofpoint Tap Alerts.
Tentukan nilai untuk kolom berikut:
- Jenis sumber: API pihak ketiga
- Username: tentukan akun utama layanan yang Anda peroleh sebelumnya.
- Secret: tentukan rahasia yang Anda peroleh sebelumnya.
Opsi lanjutan
- Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
- Namespace Aset: Namespace yang terkait dengan feed.
- Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
Klik Buat Feed.
Untuk mengetahui informasi selengkapnya tentang feed Google Security Operations, lihat dokumentasi feed Google Security Operations. Untuk mengetahui informasi tentang persyaratan setiap jenis feed, lihat Konfigurasi feed menurut jenis. Jika Anda mengalami masalah saat membuat feed, hubungi dukungan Google Security Operations.
Referensi pemetaan kolom
Parser ini menangani log Proofpoint Mail dalam format JSON atau key-value, mengekstrak detail aktivitas email dan jaringan. Parser ini memetakan kolom log ke UDM, mengategorikan peristiwa seperti transaksi email dan permintaan HTTP jaringan, serta memperkayanya dengan detail keamanan seperti tindakan, kategori, dan informasi ancaman.
Batasan
Saat menganalisis log PROOFPOINT_MAIL, Anda mungkin mengamati peristiwa dengan stempel waktu historis meskipun penyerapan dilakukan secara real-time. Perilaku ini merupakan bawaan Proofpoint API, bukan pipeline penyerapan Google SecOps. Meskipun Google SecOps mengkueri aktivitas terbaru, Proofpoint API dapat menampilkan peristiwa yang terjadi beberapa hari sebelumnya. Perbedaan antara event_timestamp dan ingestion_time diperkirakan terjadi untuk jenis log PROOFPOINT_MAIL karena cara Proofpoint melakukan buffering dan merilis data peristiwa. Untuk mengetahui detail selengkapnya, lihat dokumentasi stempel waktu peristiwa Proofpoint.
Tabel pemetaan UDM
Tabel berikut mencantumkan pemetaan kolom log mentah pemberitahuan Proofpoint TAP ke kolom UDM, yang dikategorikan menurut formatnya.
Kolom log format JSON terkait klik
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
clicksBlocked[].classification |
security_result.category,security_result.category_details |
Klasifikasi ancaman (misalnya, malware, phish). |
clicksBlocked[].clickIP |
principal.ip,security_result.about.ip |
Alamat IP pengguna yang mengklik URL. |
clicksBlocked[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
Stempel waktu klik. |
clicksBlocked[].GUID |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksBlocked[].guid |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksBlocked[].id |
additional.fields["id"] |
ID Klik unik. |
clicksBlocked[].messageID |
network.email.mail_id |
ID Pesan Email asli. |
clicksBlocked[].recipient |
network.email.to,target.user.email_addresses |
Alamat email penerima. |
clicksBlocked[].sender |
network.email.from,principal.user.email_addresses |
Alamat email pengirim. Bagian pengguna di-hash. Bagian domain adalah teks biasa. |
clicksBlocked[].senderIP |
principal.ip |
Alamat IP pengirim asli. |
clicksBlocked[].threatID |
security_result.threat_id |
ID untuk ancaman yang terdeteksi. |
clicksBlocked[].threatStatus |
security_result.threat_status |
Status ancaman (Active, Cleared, dan sebagainya). |
clicksBlocked[].threatTime |
metadata.event_timestamp if clicksBlocked[].clickTime is null,additional.fields["clicks_clickTime"] |
Waktu saat Proofpoint menetapkan threatStatus. |
clicksBlocked[].threatUrl |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
clicksBlocked[].url |
target.url,security_result.about.url |
URL berbahaya yang diklik. |
clicksBlocked[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Agen pengguna klien yang melakukan klik. |
clicksPermitted[].classification |
security_result.category,security_result.category_details |
Klasifikasi ancaman (misalnya, malware, phish). |
clicksPermitted[].clickIP |
principal.ip,security_result.about.ip |
Alamat IP pengguna yang mengklik URL. |
clicksPermitted[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
Stempel waktu klik. |
clicksPermitted[].GUID |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksPermitted[].guid |
metadata.product_log_id |
ID unik untuk peristiwa klik. |
clicksPermitted[].id |
additional.fields["id"] |
ID Klik unik. |
clicksPermitted[].messageID |
network.email.mail_id |
ID Pesan Email asli. |
clicksPermitted[].recipient |
network.email.to,target.user.email_addresses |
Alamat email penerima. |
clicksPermitted[].sender |
network.email.from,principal.user.email_addresses |
Alamat email pengirim. Bagian pengguna di-hash. Bagian domain adalah teks biasa. |
clicksPermitted[].senderIP |
principal.ip |
Alamat IP pengirim asli. |
clicksPermitted[].threatID |
security_result.threat_id |
ID untuk ancaman yang terdeteksi. |
clicksPermitted[].threatStatus |
security_result.threat_status |
Status ancaman (Aktif, Dihapus, dan sebagainya). |
clicksPermitted[].threatTime |
metadata.event_timestamp if clicksPermitted[].clickTime is null,additional.fields["clicks_clickTime"] |
Waktu saat Proofpoint menetapkan threatStatus. |
clicksPermitted[].threatUrl |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
clicksPermitted[].url |
target.url,security_result.about.url |
URL berbahaya yang diklik. |
clicksPermitted[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Agen pengguna klien yang melakukan klik. |
Kolom log format JSON terkait pesan
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
messagesBlocked[].ccAddresses |
intermediary.user.email_addresses |
Daftar alamat email yang terdapat dalam header CC:. |
messagesBlocked[].cluster |
additional.fields["cluster"] |
Cluster pemrosesan email Proofpoint (atau deployment tenant) tertentu yang menangani peristiwa email. |
messagesBlocked[].clusterId |
additional.fields |
Nama cluster PPS yang memproses pesan. |
messagesBlocked[].fromAddress |
principal.user.email_addresses,network.email.from jika messagesBlocked[].sender tidak ada |
Alamat email yang terdapat dalam header From:, tidak termasuk nama yang mudah diingat. |
messagesBlocked[].guid |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesBlocked[].GUID |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesBlocked[].headerCC |
additional.fields["headerCC "] |
Berisi detail headerCC. |
messagesBlocked[].headerReplyTo |
additional.fields["headerReplyTo "] |
Jika ada, konten lengkap header Reply-To:, termasuk nama yang mudah diingat. |
messagesBlocked[].id |
additional.fields["id"] |
Berisi detail ID pesan. |
messagesBlocked[].impostorScore |
security_result.detection_fields["impostorScore"] |
Skor penipu pesan. |
messagesBlocked[].malwareScore |
security_result.detection_fields["malwareScore"] |
Skor malware pesan. |
messagesBlocked[].messageID |
network.email.mail_id |
ID Pesan yang diekstrak dari header pesan email. ID ini dapat digunakan untuk mencari pesan terkait di PPS dan bersifat unik. |
messagesBlocked[].messageParts[].contentType |
about.file.mime_type |
Jenis MIME file. |
messagesBlocked[].messageParts[].disposition |
additional.fields["disposition "] |
Cara bagian pesan ditangani (misalnya, dilampirkan, inline). Diindeks secara dinamis. |
messagesBlocked[].messageParts[].md5 |
about.file.md5 |
Hash MD5 dari bagian/file pesan. |
messagesBlocked[].messageParts[].oContentType |
additional.fields["oContentType "] |
Content-Type yang dideklarasikan dari messagePart. |
messagesBlocked[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Status analisis file di sandbox. |
messagesBlocked[].messageParts[].sha256 |
about.file.sha256 |
Hash SHA256 dari bagian/file pesan. |
messagesBlocked[].messagesBlocked[].messageParts[].filename |
about.file.full_path |
Nama file atau lampiran. |
messagesBlocked[].messageSize |
additional.fields["messageSize"] |
Ukuran pesan dalam byte, termasuk header dan lampiran. |
messagesBlocked[].messageTime |
metadata.event_timestamp |
Waktu pesan dikirimkan kepada pengguna atau dikarantina oleh PPS. |
messagesBlocked[].modulesRun |
additional.fields["modulesRun"] |
Daftar modul PPS yang memproses pesan. |
messagesBlocked[].phishScore |
security_result.detection_fields["phishScore"] |
Skor phishing pesan. |
messagesBlocked[].policyRoutes |
additional.fields["PolicyRoutes"] |
Rute kebijakan yang cocok dengan pesan selama pemrosesan oleh PPS. |
messagesBlocked[].QID |
additional.fields["QID"] |
ID antrean pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan tidak bersifat unik. |
messagesBlocked[].quarantineFolder |
security_result.priority jika messagesBlocked[].quarantineFolder adalah "Prioritas Rendah" atau "Prioritas Tinggi",security_result.detection_fields ["quarantineFolder"] jika tidak |
Nama folder yang berisi pesan yang dikarantina. |
messagesBlocked[].recipient |
network.email.to |
Array yang berisi alamat email penerima. |
messagesBlocked[].replyToAddress |
network.email.reply_to jika email valid,additional.fields["replyTo"] jika tidak |
Alamat email yang terdapat di header Reply-To:. |
messagesBlocked[].sender |
network.email.from |
Alamat email pengirim. |
messagesBlocked[].senderIP |
principal.ip,principal.asset.ip |
Alamat email pengirim. |
messagesBlocked[].spamScore |
security_result.detection_fields["spamScore"] |
Skor spam pesan. |
messagesBlocked[].subject |
network.email.subject |
Subjek email. |
messagesBlocked[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Array ID suborganisasi internal yang ditetapkan untuk penerima. |
messagesBlocked[].suborgs.sender |
additional.fields["suborgsSender"] |
ID sub-organisasi internal yang ditetapkan untuk pengirim. |
messagesBlocked[].threatsInfoMap[].campaignId |
security_result.rule_id |
ID untuk kampanye yang menyertakan ancaman tersebut, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye bahkan setelah peristiwa ini diambil. |
messagesBlocked[].threatsInfoMap[].campaignID |
security_result.rule_id |
ID untuk kampanye yang menyertakan ancaman tersebut, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye bahkan setelah peristiwa ini diambil. |
messagesBlocked[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
Kategori ancaman yang ditemukan dalam pesan. |
messagesBlocked[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
Status penulisan ulang pesan. Jika nilainya adalah true, semua ancaman URL dalam pesan berhasil ditulis ulang. Jika nilainya adalah false, setidaknya satu instance URL ancaman tidak ditulis ulang. Jika nilainya adalah na, pesan tidak berisi ancaman berbasis URL. |
messagesBlocked[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Kolom baru detectionType dan ThreatInfo ditambahkan ke respons. |
messagesBlocked[].threatsInfoMap[].threat |
security_result.about.url jika threatType adalahurl,security_result.about.file.sha256 jika attachment,security_result.about.resource.name jika messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Apakah ancaman tersebut berupa lampiran, URL, atau jenis pesan. |
messagesBlocked[].threatsInfoMap[].threatID |
security_result.threat_id |
ID unik yang terkait dengan ancaman ini. API ini dapat digunakan untuk mengkueri endpoint forensik dan kampanye. |
messagesBlocked[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID pelaku. |
messagesBlocked[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID pelaku. |
messagesBlocked[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID pelaku. |
messagesBlocked[].threatsInfoMap[].threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
messagesBlocked[].threatsInfoMap[].threatTime |
metadata.event_timestamp jika messagesBlocked[].messageTime tidak ada,security_result.detection_fields |
Waktu saat Proofpoint menetapkan threatStatus. |
messagesBlocked[].threatsInfoMap[].threatType |
security_result.threat_name |
String yang menentukan jenis ancaman yang akan ditampilkan dalam data. |
messagesBlocked[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Link ke entri tentang ancaman di Dasbor TAP. |
messagesBlocked[].toAddresses |
target.user.email_addresses |
Daftar alamat email yang terdapat dalam header To:. |
messagesBlocked[].xmailer |
security_result.detection_fields["xmailer"] |
Konten header X-Mailer:. |
messagesDelivered[].ccAddresses |
intermediary.user.email_addresses |
Daftar alamat email yang terdapat dalam header CC:. |
messagesDelivered[].cluster |
additional.fields["cluster"] |
Cluster pemrosesan email Proofpoint (atau deployment tenant) tertentu yang menangani peristiwa email. |
messagesDelivered[].clusterId |
additional.fields |
Nama cluster PPS yang memproses pesan. |
messagesDelivered[].fromAddress |
principal.user.email_addresses,network.email.from jika messagesDelivered[].sender tidak ada |
Alamat email yang terdapat dalam header From:, tidak termasuk nama yang mudah diingat. |
messagesDelivered[].GUID |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesDelivered[].guid |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
messagesDelivered[].headerCC |
additional.fields["headerCC "] |
Berisi detail headerCC. |
messagesDelivered[].headerReplyTo |
additional.fields["headerReplyTo "] |
Jika ada, konten lengkap header Reply-To:, termasuk nama yang mudah diingat. |
messagesDelivered[].id |
additional.fields["id "] |
Berisi detail ID pesan. |
messagesDelivered[].impostorScore |
security_result.detection_fields["impostorScore"] |
Skor penipu pesan. |
messagesDelivered[].malwareScore |
security_result.detection_fields["malwareScore"] |
Skor malware pesan. |
messagesDelivered[].messageID |
network.email.mail_id |
ID Pesan yang diekstrak dari header pesan email. ID ini dapat digunakan untuk mencari pesan terkait di PPS dan tidak bersifat unik. |
messagesDelivered[].messageParts[].contentType |
about.file.mime_type |
Jenis MIME file. |
messagesDelivered[].messageParts[].disposition |
additional.fields["disposition "] |
Cara bagian pesan ditangani (misalnya, dilampirkan, inline). Diindeks secara dinamis. |
messagesDelivered[].messageParts[].md5 |
about.file.md5 |
Hash MD5 dari bagian/file pesan. |
messagesDelivered[].messageParts[].oContentType |
additional.fields["oContentType "] |
Content-Type yang dideklarasikan dari messagePart. |
messagesDelivered[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Status analisis file di sandbox. |
messagesDelivered[].messageParts[].sha256 |
about.file.sha256 |
Hash SHA256 dari bagian/file pesan. |
messagesDelivered[].messagesDelivered[].messageParts[].filename |
about.file.full_path |
Nama file atau lampiran. |
messagesDelivered[].messageSize |
additional.fields["messageSize"] |
Ukuran pesan dalam byte, termasuk header dan lampiran. |
messagesDelivered[].messageTime |
metadata.event_timestamp |
Waktu pesan dikirimkan kepada pengguna atau dikarantina oleh PPS. |
messagesDelivered[].modulesRun |
additional.fields["modulesRun"] |
Daftar modul PPS yang memproses pesan. |
messagesDelivered[].phishScore |
security_result.detection_fields["phishScore"] |
Skor phishing pesan. |
messagesDelivered[].policyRoutes |
additional.fields["PolicyRoutes"] |
Rute kebijakan yang cocok dengan pesan selama pemrosesan oleh PPS. |
messagesDelivered[].QID |
additional.fields["QID"] |
ID antrean pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan tidak bersifat unik. |
messagesDelivered[].quarantineFolder |
security_result.priority jika messagesDelivered[].quarantineFolder adalah "Prioritas Rendah" atau "Prioritas Tinggi",security_result.detection_fields ["quarantineFolder"] jika tidak |
Nama folder yang berisi pesan yang dikarantina. |
messagesDelivered[].recipient |
network.email.to |
Array yang berisi alamat email penerima. |
messagesDelivered[].replyToAddress |
network.email.reply_to jika email valid,additional.fields ["replyTo"] jika tidak |
Alamat email yang terdapat di header Reply-To:. |
messagesDelivered[].senderIP |
principal.ip,principal.asset.ip |
Alamat email pengirim. |
messagesDelivered[].spamScore |
security_result.detection_fields["spamScore"] |
Skor spam pesan. |
messagesDelivered[].subject |
network.email.subject |
Subjek email. |
messagesDelivered[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Array ID sub-organisasi internal yang ditetapkan ke penerima. |
messagesDelivered[].suborgs.sender |
additional.fields["suborgsSender"] |
ID suborganisasi internal yang ditetapkan untuk pengirim |
messagesDelivered[].threatsInfoMap[].campaignId |
security_result.rule_id |
ID untuk kampanye yang menyertakan ancaman tersebut, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye bahkan setelah peristiwa ini diambil. |
messagesDelivered[].threatsInfoMap[].campaignID |
security_result.rule_id |
ID untuk kampanye yang menyertakan ancaman tersebut, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye bahkan setelah peristiwa ini diambil. |
messagesDelivered[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
Kategori ancaman yang ditemukan dalam pesan. |
messagesDelivered[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
Status penulisan ulang pesan. Jika nilainya adalah true, semua ancaman URL dalam pesan berhasil ditulis ulang. Jika nilainya adalah false, setidaknya satu instance URL ancaman tidak ditulis ulang. Jika nilainya adalah na, pesan tidak berisi ancaman berbasis URL. |
messagesDelivered[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Kolom baru detectionType dan ThreatInfo ditambahkan ke respons. |
messagesDelivered[].threatsInfoMap[].threat |
security_result.about.url jika threatType adalahurl,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,security_result.about.resource.name jika tidak,result.about.resource.attribute.labels dengan nilai Email dan kunci threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Apakah ancaman tersebut berupa lampiran, URL, atau jenis pesan. |
messagesDelivered[].threatsInfoMap[].threatID |
security_result.threat_id |
ID unik yang terkait dengan ancaman ini. API ini dapat digunakan untuk mengkueri endpoint forensik dan kampanye. |
messagesDelivered[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID pelaku. |
messagesDelivered[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID pelaku. |
messagesDelivered[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Array struktur, yang berisi detail tentang ID pelaku. |
messagesDelivered[].threatsInfoMap[].threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
messagesDelivered[].threatsInfoMap[].threatTime |
metadata.event_timestamp jika messagesDelivered[].messageTime tidak ada,security_result.detection_fields |
Waktu saat Proofpoint menetapkan threatStatus. |
messagesDelivered[].threatsInfoMap[].threatType |
security_result.threat_name |
String yang menentukan jenis ancaman yang akan ditampilkan dalam data. |
messagesDelivered[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Link ke entri tentang ancaman di Dasbor TAP. |
messagesDelivered[].toAddresses |
target.user.email_addresses |
Daftar alamat email yang terdapat dalam header To:. |
messagesDelivered[].xmailer |
security_result.detection_fields["xmailer"] |
Konten header X-Mailer:. |
msg.accountType |
Kolom tambahan khusus vendor. | |
msg.address |
principal.user.email_addresses |
Alamat email spesifik yang terkait dengan akun yang dipantau atau dievaluasi untuk aktivitas ancaman. |
msg.dashboardLink |
security_result.url_back_to_product |
Link ke dasbor Threat Insight. |
msg.deliveredMessages |
Kolom tambahan khusus vendor. | |
msg.eventTime |
metadata.event_timestamp jika messageTime dan threatTime kosong |
Stempel waktu UTC yang tepat saat pengamatan ancaman atau peristiwa log ini dibuat. |
msg.highRisk |
security_result.action |
Tanda boolean (true/false) yang menunjukkan apakah Proofpoint mengklasifikasikan akun ini sebagai akun yang menimbulkan risiko keamanan atau tingkat penyusupan yang tinggi. |
msg.identity |
Kolom tambahan khusus vendor. | |
msg.maliciousMessages |
Kolom tambahan khusus vendor. | |
msg.observations[] |
additional.fields["observations"] | Daftar tag perilaku threat intelligence atau indikator anomali tertentu yang ditandai oleh algoritma Proofpoint. |
msg.timeRanges[].end |
additional.fields |
Array rentang waktu yang menunjukkan kapan perilaku mencurigakan atau indikator ancaman diamati secara aktif untuk akun ini. |
msg.timeRanges[].falsePositive |
additional.fields |
Array rentang waktu yang menunjukkan kapan perilaku mencurigakan atau indikator ancaman diamati secara aktif untuk akun ini. |
msg.timeRanges[].start,msg |
additional.fields |
Array rentang waktu yang menunjukkan kapan perilaku mencurigakan atau indikator ancaman diamati secara aktif untuk akun ini. |
msg.trafficType |
Kolom tambahan khusus vendor. | |
queryEndTime |
metadata.collected_timestamp |
Waktu saat periode kueri data berakhir. |
sender_domain |
principal.domain.name |
Diekstrak dari messagesBlocked[].fromAddress atau messagesDelivered[].fromAddress yang terdiri dari nama domain pengirim. |
Kolom log berformat syslog
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
a |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
action |
security_result.action,security_result.action_details |
Berisi detail tindakan. |
active |
security_result.threat_status |
Status ancaman. |
adjust |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
adultscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
application |
principal.application |
Berisi detail permohonan utama. |
attachments |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
bits |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
bulkscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
campaignID |
security_result.rule_id |
ID untuk kampanye yang menyertakan ancaman tersebut, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye bahkan setelah peristiwa ini diambil. |
ccAddresses |
intermediary.user.email_addresses |
Daftar alamat email yang terdapat dalam header CC:. |
cid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
cipher |
network.tls.cipher |
Berisi detail tls.cipher. |
cipher_bits |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
class |
security_result.category,security_result.category_details |
Kategori ancaman URL berbahaya. |
classifier |
security_result.category |
Kategori ancaman yang ditemukan dalam pesan. |
clickIP |
security_result.about.ip, principal.ip,principal.asset.ip |
Alamat IP eksternal pengguna yang mengklik link. Jika pengguna berada di balik firewall yang melakukan penafsiran alamat jaringan, alamat IP firewall akan ditampilkan. |
clickTime |
metadata.event_timestamp jika messageTime tidak ada |
Waktu saat pengguna mengklik URL. |
cluster |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clusterId |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clx_result_group |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clx_score |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clx_shade |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
clxscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
cmd |
network.http.method jika STS tidak kosong,principal.process.command_line jika tidak |
Jika tidak kosong, STS berisi metode HTTP. Jika kosong, STS berisi detail command line. |
completelyRewritten |
security_result.action,security_result.detection_fields["completelyRewritten"] |
Status penulisan ulang pesan. Jika nilainya adalah true, semua ancaman URL dalam pesan berhasil ditulis ulang. Jika nilainya adalah false, setidaknya satu instance URL ancaman tidak ditulis ulang. Jika nilainya adalah na, pesan tidak berisi ancaman berbasis URL. |
corrupted |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
country |
principal.location.country_or_region |
Berisi detail negara. |
daemon |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
date_log |
metadata.event_timestamp jika messageTime, clickTime, dan threatTime tidak ada |
Stempel waktu yang ada di syslog. |
date_log_rebase |
metadata.event_timestamp jika messageTime, clickTime, dan threatTime tidak ada |
Stempel waktu yang ada di syslog. |
default |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
definitions |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
delay |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
dict |
security_result.category_details |
Berisi category_details. |
dnsid |
network.dns.id |
Berisi detail ID DNS. |
domain |
principal.administrative_domain |
Berisi detail administrative_domain. |
dsn |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
duration |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
eid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
elapsed |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
engine |
metadata.product_version |
Berisi detail product_version. |
envid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
err |
security_result.description |
Deskripsi. |
evt |
extensions.auth.auth_details |
Detail autentikasi. |
expires |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
file |
about.process.file.full_path |
Berisi detail jalur lengkap file. |
from |
network.email.from |
Berisi email pengirim. |
fromAddress |
network.email.from |
Alamat email yang terdapat di header From:. |
guid |
metadata.product_log_id |
ID pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan selalu unik. |
hdr_mid |
network.email.mail_id |
Berisi detail mail_id. |
headerFrom |
additional.fields["headerFrom"] |
Konten lengkap header From:, termasuk nama yang mudah diingat. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Jika ada, konten lengkap header Reply-To:. |
headerTo |
additional.fields |
Kolom tambahan khusus vendor. |
helo |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
hfrom |
network.email.from |
Berisi alamat email pengirim. |
hfrom_domain |
principal.administrative_domain |
Berisi detail administrative_domain. |
hops-ip |
intermediary.ip |
Berisi alamat IP perantara. |
host |
principal.hostname |
Berisi detail nama host. |
id |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
id |
additional.fields |
Kolom tambahan khusus vendor. |
impostor_score |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
impostorScore |
security_result.detection_fields |
Skor penipu pesan. |
inter_host |
intermediary.hostname |
Berisi detail nama host perantara. |
intermediary_hostname |
intermediary.hostname |
Berisi nama host perantara. |
intermediary_ip |
intermediary.ip |
Berisi alamat IP perantara. |
ip |
principal.ip,principal.asset.ip |
Berisi alamat IP pengirim |
len |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
lint |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
lip |
intermediary.ip |
Berisi alamat IP perantara. |
log_level |
security_result.severity |
Berisi detail tingkat keparahan. |
lowpriorityscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
m |
network.email.mail_id |
Berisi detail mail_id. |
mailer |
network.application_protocol |
Berisi detail application_protocol. |
malwareScore |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
messageID |
network.email.mail_id |
ID Pesan yang diekstrak dari header pesan email. |
messageParts[].contentType |
about.file.mime_type |
Jenis MIME file. |
messageParts[].disposition |
additional.fields["disposition "] |
Cara bagian pesan ditangani (misalnya, dilampirkan, inline). Diindeks secara dinamis. |
messageParts[].filename |
about.file.full_path |
Nama file atau lampiran. |
messageParts[].md5 |
about.file.md5 |
Hash MD5 dari bagian/file pesan. |
messageParts[].oContentType |
additional.fields["oContentType "] |
Content-Type yang dideklarasikan dari messagePart. |
messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
Status analisis file di sandbox. |
messageParts[].sha256 |
about.file.sha256 |
Hash SHA256 dari bagian/file pesan. |
messageTime |
metadata.event_timestamp |
Waktu pesan dikirimkan kepada pengguna atau dikarantina oleh PPS. |
mime |
principal.process.file.mime_type |
Berisi detail file mime_type. |
mlxscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
mod |
network.application_protocol |
Berisi detail application_protocol. |
module |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
modulesRun |
security_result.detection_fields |
Daftar modul PPS yang memproses pesan. |
modulesRun |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
msg |
security_result.description |
Deskripsi. |
msghold_response |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
msgid |
network.email.mail_id |
Berisi detail mail_id. |
msgs |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
name |
about.process.file.full_path |
Berisi jalur lengkap file. |
notroutes |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
nrcpts |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
path |
principal.url |
Berisi detail URL. |
phishscore |
security_result.detection_fields |
Skor phishing pesan. |
pid |
principal.process.pid |
Berisi detail PID. |
policy |
network.direction |
Menjelaskan alur jaringan. Berisi nilai masuk/keluar. |
pri |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
principal_hostname |
principal.hostname,principal.asset.hostname |
Berisi detail nama host utama. |
principal_ip_1 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_2 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_3 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_4 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_5 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_6 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_7 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_8 |
principal.ip,principal.assest.ip |
Berisi detail IP utama. |
principal_ip_port_1 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_2 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_3 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_4 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_5 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_6 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_7 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_ip_port_8 |
principal.resource.attribute.labels |
Berisi detail port utama. |
principal_pid |
principal.process.pid |
Merekam PID proses. |
priority_score |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
priorityscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
profile |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
prot |
network.application_protocol |
Berisi detail application_protocol. |
protected |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
proto |
network.application_protocol |
Berisi detail application_protocol. |
pss |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
qid |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
quarantineFolder |
security_result.priority |
Nama folder yang berisi pesan yang dikarantina. |
quarantineRule |
security_result.rule_name |
Nama aturan yang mengarantina pesan. |
query |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
querydepth |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rcode |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rcpt |
network.email.to | Berisi alamat email penerima. |
rcpts |
network.email.to | Berisi alamat email penerima |
reason |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
recipient |
target.user.email_addresses |
Berisi detail email penerima. |
reject |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
reply |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
replyToAddress |
network.email.reply_to | Alamat email yang terdapat di header Reply-To:. |
resolve |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
restquery_stage |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
result |
security_result.action |
Berisi detail tindakan. |
result |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
result_detail |
security_result.description |
Memberikan deskripsi. |
reverse |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
routes |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rss |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
rule |
security_result.rule_name |
Berisi rule_name. |
s |
network.session_id |
Berisi detail session_id. |
scancount |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
scope |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
score |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
selector |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sender |
principal.user.email_addresses |
Berisi detail email pengirim. |
senderIP |
principal.ip,principal.assest.ip |
Berisi detail IP pengirim. |
sendmail_queue_id |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sha256 |
security_result.about.file.sha256 |
Detail file SHA256. |
size |
principal.process.file.size` | Berisi detail ukuran file. |
smtputf8 |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
spamscore |
security_result.detection_fields |
Skor spam pesan. |
src_host |
principal.hostname,principal.asset.hostname |
Berisi detail nama host utama. |
STARTTLS |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
stat |
additional.fields |
Berisi detail status. |
status |
additional.fields |
Berisi detail status. |
sts |
network.http.response_code |
Berisi data response_code. |
subject |
network.email.subject |
Berisi email.subject. |
subject |
network.email.subject |
Berisi detail subjek email. |
suspectscore |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sys |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
sz |
principal.process.file.size |
Berisi detail ukuran file. |
tests |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
threat |
security_result.about.url jika threatType adalah url,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
|
threatID |
security_result.threat_id |
Berisi detail ID ancaman. |
threatsInfoMap[].campaignID |
security_result1.rule_id |
ID untuk kampanye yang menyertakan ancaman tersebut, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye bahkan setelah peristiwa ini diambil. |
threatsInfoMap[].classification |
security_result.categorysecurity_result.category_details |
Kategori ancaman yang ditemukan dalam pesan. |
threatsInfoMap[].threat |
security_result.about.url jika threatType adalah url,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatsInfoMap[].threatTypesecurity_result.about.resource.name jika tidak,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
Array struktur, yang berisi detail tentang ancaman yang terdeteksi dalam pesan. Mungkin ada lebih dari satu ancaman per pesan. |
threatsInfoMap[].threatID |
security_result.threat_id |
Berisi detail ID ancaman. |
threatsInfoMap[].threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
threatsInfoMap[].threatTime |
metadata.event_timestamp jika messageTime dan clickTime tidak ada,security_result.detection_fields |
|
threatsInfoMap[].threatType |
security_result.about.url jika threatType adalah urlsecurity_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageTextresult.about.resource.attribute.labels dengan nilai Email dan kunci threatsInfoMap[].threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
Array struktur yang berisi detail tentang ancaman yang terdeteksi dalam pesan. Mungkin ada lebih dari satu ancaman per pesan. |
threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
threatStatus |
security_result.threat_status |
Status ancaman saat ini. |
threatTime |
metadata.event_timestamp jika messageTime dan clickTime tidak ada |
Waktu saat Proofpoint mengidentifikasi URL sebagai ancaman. |
threatType |
security_result.about.url jika threatType adalah url,security_result.about.file.sha256 jika threatType adalah attachmentsecurity_result.about.resource.name jika threatType adalah messageText,result.about.resource.attribute.labels dengan nilai Email dan kunci threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels dengan kunci ["threatType"] |
|
threatURL |
security_result.url_back_to_product |
Link ke entri di Dasbor TAP untuk ancaman tertentu. |
threshold |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
tls |
network.tls.cipher |
Berisi detail tls.cipher. |
tls-alert |
security_result.description |
Memberikan deskripsi |
tls_verify |
security_result.action |
Berisi detail verifikasi. |
tls_version |
network.tls.version |
Berisi detail versi TLS. |
to |
network.email.to |
Berisi alamat email penerima. |
toAddresses |
network.email.to |
Daftar alamat email yang terdapat dalam header To:. |
token |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
ts |
metadata.event_timestamp jika messageTime, clickTime, dan threatTime tidak ada |
Stempel waktu yang ada di syslog. |
type |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
uri |
principal.url |
Berisi detail URL. |
url_count |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
userAgent |
network.http.user_agent,network.http.parsed_user_agent |
Agen Pengguna HTTP. |
value |
network.email.from |
Berisi alamat email pengirim. |
vendor |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
verify |
security_result.action |
Berisi detail verifikasi. |
version |
network.tls.version |
Berisi detail versi TLS. |
virtual |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
virusthreat |
security_result.threat_name |
Berisi detail nama ancaman. |
virusthreatid |
security_result.threat_id |
Berisi detail ID ancaman. |
warn |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
x |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
X-Proofpoint-Spam-Details |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
xdelay |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
xmailer |
security_result.detection_fields |
Konten header X-Mailer:, jika ada, atau kolom deteksi keamanan khusus vendor. |
Kolom log CEF
| Kolom log | Kolom UDM | Deskripsi |
|---|---|---|
cluster |
additional.fields |
Kolom tambahan khusus vendor. |
file_hash |
principal.file.md5 |
Berisi detail MD5 file. |
file_name |
principal.file.full_path |
Berisi jalur. |
GUID |
metadata.product_log_id |
Berisi product_log_id. |
guid |
metadata.product_log_id |
Berisi product_log_id. |
headerFrom |
additional.fields |
Konten lengkap header From:. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Konten lengkap header Reply-To:. |
host |
principal.hostname,principal.assest.hostname |
Berisi nama host utama. |
id |
additional.fields |
Kolom tambahan dengan data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM. |
id |
additional.fields |
Kolom tambahan khusus vendor. |
impostorScore |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
malwareScore |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
message_id |
network.email.mail_id |
Berisi detail mail_id. |
messageParts_contentType |
principal.file.mime_type |
Merepresentasikan jenis MIME dari bagian/komponen tertentu pesan email. |
messageParts_disposition |
additional.fields |
Kolom tambahan khusus vendor. |
messageParts_oContentType |
additional.fields |
Kolom tambahan khusus vendor. |
messageParts_sandboxStatus |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
messageParts_sha256 |
principal.file.sha256 |
Berisi detail file 256. |
messageTime |
metadata.event_timestamp |
Waktu saat pesan dikirim ke pengguna atau dikarantina oleh PPS. |
modulesRun |
security_result.detection_fields |
Daftar modul PPS yang memproses pesan. |
modulesRun |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
orig_dest |
network.email.to |
Alamat email di amplop/header SMTP awal saat email mencapai gateway. |
orig_recipient |
target.user.email_addresses |
Alamat email penerima. |
orig_src |
network.email.from |
Alamat email sumber. |
policyRoutes |
additional.fields |
Kolom tambahan khusus vendor. |
process_id |
principal.process.pid |
Berisi detail PID proses. |
QID |
additional.fields |
ID antrean pesan dalam PPS. ID ini dapat digunakan untuk mengidentifikasi pesan di PPS dan tidak bersifat unik. |
quarantineFolder |
security_result.priority |
Nama folder yang berisi pesan yang dikarantina. |
quarantineRule |
security_result.rule_name |
Nama aturan yang mengarantina pesan. |
return_addr |
principal.user.email_addresses |
Alamat amplop yang ditentukan selama transpor SMTP (MAIL FROM). |
rt |
additional.fields |
Kolom tambahan khusus vendor. |
sender |
principal.user.email_addresses |
Berisi alamat email pengirim. |
src |
principal.ip,principal.asset.ip |
Berisi alamat IP utama. |
stag |
additional.fields |
Kolom tambahan khusus vendor. |
start |
additional.fields |
Kolom tambahan khusus vendor. |
status_code |
additional.fields |
Kolom tambahan khusus vendor. |
subject |
network.email.subject |
Berisi email.subject. |
threatsInfoMap_campaignID |
security_result.rule_id |
ID untuk kampanye yang menyertakan ancaman tersebut, jika tersedia pada saat kueri. Ancaman dapat ditautkan ke kampanye bahkan setelah peristiwa ini diambil. |
threatsInfoMap_classification |
security_result.category,security_result.category_details |
Kategori ancaman URL berbahaya. |
threatsInfoMap_detectionType |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatsInfoMap_threatID |
security_result.threat_id |
Berisi detail ID ancaman. |
threatsInfoMap_threatTime |
metadata.event_timestamp jika messageTime kosong |
Waktu saat Proofpoint menetapkan threatStatus. |
threatsInfoMap_threatTime |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatsInfoMap_threatType |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatsInfoMap_threatUrl |
security_result.url_back_to_product |
Berisi URL yang mengalihkan untuk melihat threat intelligence, analisis sandbox, dan detail forensik Proofpoint. |
threatStatistics_families_name0 |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
threatStatistics_families_score0 |
security_result.detection_fields |
Kolom deteksi keamanan khusus vendor. |
url |
security_result.about.url |
URL Mencurigakan/Berbahaya yang sebenarnya. |
version |
additional.fields |
Kolom tambahan khusus vendor. |
vip |
additional.fields |
Kolom tambahan khusus vendor. |
xmailer |
security_result.detection_fields |
Konten header X-Mailer:, jika ada, atau kolom deteksi keamanan khusus vendor. |
Referensi delta pemetaan UDM
Pada 9 September 2025, Google SecOps merilis versi baru parser pemberitahuan Proofpoint TAP, yang mencakup perubahan signifikan pada pemetaan kolom log pemberitahuan Proofpoint TAP ke kolom UDM dan pembaruan pada klasifikasi menurut jenis peristiwa (pemetaan).
Delta pemetaan kolom log
Tabel berikut menunjukkan perubahan pada cara kolom log pemberitahuan Proofpoint TAP dipetakan ke kolom UDM. Kolom Pemetaan lama mencantumkan kolom yang ditampilkan sebelum 9 September 2025, dan kolom Pemetaan saat ini mencantumkan kolom baru.
| Kolom log | Pemetaan lama | Pemetaan saat ini |
|---|---|---|
clicks.impostorScore |
additional.fields |
security_result.detection_fields |
clicks.malwareScore |
additional.fields |
security_result.detection_fields |
clicks.phishScore |
additional.fields |
security_result.detection_fields |
clicks.quarantineFolder |
additional.fields |
Jika quarantineFolder sama dengan low priority atau high priority, petakan ke security_result.priority. Jika tidak, petakan ke security_result.detection_fields. |
clicks.quarantineRule |
additional.fields |
security_result.rule_name |
clicks.sender |
about.email |
Not Mapped |
clicks.senderIP |
about.ip |
principal.ip |
clicks.spamScore |
additional.fields |
security_result.detection_fields |
impostorScore |
additional.fields |
security_result.detection_fields |
malwareScore |
additional.fields |
security_result.detection_fields |
msg.impostorScore |
additional.fields |
security_result.detection_fields |
msg.malwareScore |
additional.fields |
security_result.detection_fields |
msg.phishScore |
additional.fields |
security_result.detection_fields |
msg.quarantineFolder |
additional.fields |
Jika quarantineFolder sama dengan low priority atau high priority, petakan ke security_result.priority. Jika tidak, petakan ke security_result.detection_fields. |
msg.quarantineRule |
additional.fields |
security_result.rule_name |
msg.spamScore |
additional.fields |
security_result.detection_fields |
msgPart.contentType |
additional.fields |
Not Mapped |
partData.contentType |
principal.process.file.mime_type |
about.file.mime_type |
partData.disposition |
security_result.detection_fields |
additional.fields |
partData.filename |
principal.process.file.full_path |
about.file.full_path |
partData.md5 |
principal.process.file.md5 |
about.file.md5 |
partData.sha256 |
about.file.sha1 |
about.file.sha256 |
phishScore |
additional.fields |
security_result.detection_fields |
quarantineFolder |
additional.fields |
Jika quarantineFolder sama dengan low priority atau high priority, petakan ke kolom UDM security_result.priority. Jika tidak, petakan ke security_result.detection_fields. |
spamScore |
additional.fields |
security_result.detection_fields |
Delta pemetaan jenis peristiwa
Beberapa peristiwa yang sebelumnya diklasifikasikan sebagai peristiwa umum kini diklasifikasikan dengan benar menggunakan jenis peristiwa yang lebih bermakna.
Tabel berikut mencantumkan delta untuk penanganan jenis peristiwa pemberitahuan Proofpoint TAP sebelum 9 September 2025 dan setelahnya (masing-masing tercantum dalam kolom event_type lama dan event_type saat ini).
| Format | eventType dari log | event_type lama | event_type saat ini |
|---|---|---|---|
SYSLOG+KV |
Jika log memiliki kolom fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts atau mailer,proto,mod |
EMAIL_TRANSACTION |
|
Jika log hanya berisi detail mail_id |
EMAIL_TRANSACTION |
EMAIL_UNCATEGORIZED |
|
CEF log |
eventname= messagesDelivered, messagesBlocked |
EMAIL_TRANSACTION |
|
jika log memiliki emails, sender, headerReplyTo, orig_recipient |
USER_UNCATEGORIED |
||
jika log memiliki src, host |
STATUS_UPDATE |
||
SYSLOG+JSON |
eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked |
EMAIL_TRANSACTION |
|
JSON |
record.address |
USER_UNCATEGORIZED |
|
lookalikeDomain.name |
STATUS_UPDATE |
Log Perubahan
Melihat Log Perubahan untuk parser ini
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.