Raccogli i log degli avvisi TAP di Proofpoint

Supportato in:

Questo documento descrive come raccogliere i log degli avvisi di Proofpoint Targeted Attack Protection (TAP) configurando un feed Google Security Operations.

Per saperne di più, consulta Acquisizione dei dati di Google SecOps.

Un'etichetta di importazione identifica il parser che normalizza i dati di log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione PROOFPOINT_MAIL.

Configurare gli avvisi TAP di Proofpoint

  1. Accedi al portale di approfondimento sulle minacce di Proofpoint utilizzando le tue credenziali.
  2. Nella scheda Impostazioni, seleziona Applicazioni connesse. Viene visualizzata la sezione Credenziali di servizio.
  3. Nella sezione Nome, fai clic su Crea nuova credenziale.
  4. Digita il nome della tua organizzazione, ad esempio altostrat.com.
  5. Fai clic su Genera. Nella finestra di dialogo Credenziale di servizio generata vengono visualizzati i valori Entità di servizio e Secret.
  6. Copia i valori di Entità servizio e Secret. I valori vengono visualizzati solo al momento della creazione e sono necessari quando configuri il feed Google Security Operations.
  7. Fai clic su Fine.

Configura i feed

Per configurare il feed:

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic sul pacchetto di feed Proofpoint.
  4. Individua il tipo di log Avvisi Proofpoint Tap.

  5. Specifica i valori per i seguenti campi:

    • Tipo di origine: API di terze parti
    • Nome utente: specifica l'entità servizio che hai ottenuto in precedenza.
    • Secret: specifica il secret che hai ottenuto in precedenza.

    Opzioni avanzate

    • Nome feed: un valore precompilato che identifica il feed.
    • Spazio dei nomi dell'asset: lo spazio dei nomi associato al feed.
    • Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

  6. Fai clic su Crea feed.

Per saperne di più sui feed di Google Security Operations, consulta la documentazione sui feed di Google Security Operations. Per informazioni sui requisiti per ogni tipo di feed, consulta Configurazione dei feed per tipo. Se riscontri problemi durante la creazione dei feed, contatta l'assistenza Google Security Operations.

Riferimento per la mappatura dei campi

Questo parser gestisce i log di Proofpoint Mail in formato JSON o coppia chiave-valore, estraendo i dettagli dell'attività di rete ed email. Mappa i campi dei log nell'UDM, classificando eventi come transazioni email e richieste HTTP di rete e arricchendoli con dettagli di sicurezza come azioni, categorie e informazioni sulle minacce.

Limitazioni

Quando analizzi i log PROOFPOINT_MAIL, potresti osservare eventi con timestamp storici nonostante l'importazione in tempo reale. Questo comportamento è inerente all'API Proofpoint, non alla pipeline di importazione di Google SecOps. Anche quando Google SecOps esegue query per l'attività più recente, l'API Proofpoint può restituire eventi verificatisi diversi giorni prima. Sono previste discrepanze tra event_timestamp e ingestion_time per il tipo di log PROOFPOINT_MAIL a causa del modo in cui Proofpoint memorizza nel buffer e rilascia i dati degli eventi. Per ulteriori dettagli, consulta la documentazione sui timestamp degli eventi Proofpoint.

Tabelle di mappatura UDM

Le tabelle seguenti elencano i mapping dei campi dei log non elaborati degli avvisi Proofpoint TAP ai campi UDM, classificati in base al formato.

Campo log Campo UDM Descrizione
clicksBlocked[].classification security_result.category,
security_result.category_details		 La classificazione della minaccia (ad esempio, malware, phish).
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 L'indirizzo IP dell'utente che ha fatto clic sull'URL.
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Il timestamp del clic.
clicksBlocked[].GUID metadata.product_log_id L'identificatore univoco dell'evento di clic.
clicksBlocked[].guid metadata.product_log_id L'identificatore univoco dell'evento di clic.
clicksBlocked[].id additional.fields["id"] L'identificatore di clic univoco.
clicksBlocked[].messageID network.email.mail_id L'ID messaggio email originale.
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 L'indirizzo email del destinatario.
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 L'indirizzo email del mittente. La parte utente è sottoposta ad hashing. La parte del dominio è in testo non crittografato.
clicksBlocked[].senderIP principal.ip L'indirizzo IP del mittente originale.
clicksBlocked[].threatID security_result.threat_id L'identificatore della minaccia rilevata.
clicksBlocked[].threatStatus security_result.threat_status Lo stato della minaccia (Active, Cleared e così via).
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 L'ora in cui Proofpoint ha assegnato threatStatus.
clicksBlocked[].threatUrl security_result.url_back_to_product Un link alla voce nella dashboard TAP per la minaccia specifica.
clicksBlocked[].url target.url,
security_result.about.url		 L'URL dannoso su cui è stato fatto clic.
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 Lo user agent del client che esegue il clic.
clicksPermitted[].classification security_result.category,
security_result.category_details		 La classificazione della minaccia (ad esempio, malware, phish).
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 L'indirizzo IP dell'utente che ha fatto clic sull'URL.
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 Il timestamp del clic.
clicksPermitted[].GUID metadata.product_log_id L'identificatore univoco dell'evento di clic.
clicksPermitted[].guid metadata.product_log_id L'identificatore univoco dell'evento di clic.
clicksPermitted[].id additional.fields["id"] L'identificatore di clic univoco.
clicksPermitted[].messageID network.email.mail_id L'ID messaggio email originale.
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 L'indirizzo email del destinatario.
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 L'indirizzo email del mittente. La parte utente è sottoposta ad hashing. La parte del dominio è in testo non crittografato.
clicksPermitted[].senderIP principal.ip L'indirizzo IP del mittente originale.
clicksPermitted[].threatID security_result.threat_id L'identificatore della minaccia rilevata.
clicksPermitted[].threatStatus security_result.threat_status Lo stato della minaccia (Attiva, Eliminata e così via).
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 L'ora in cui Proofpoint ha assegnato il threatStatus.
clicksPermitted[].threatUrl security_result.url_back_to_product Un link alla voce nella dashboard TAP per la minaccia specifica.
clicksPermitted[].url target.url,
security_result.about.url		 L'URL dannoso su cui è stato fatto clic.
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 Lo user agent del client che esegue il clic.
Campo log Campo UDM Descrizione
messagesBlocked[].ccAddresses intermediary.user.email_addresses Un elenco di indirizzi email contenuti nell'intestazione CC:.
messagesBlocked[].cluster additional.fields["cluster"] Il cluster di elaborazione della posta Proofpoint specifico (o il deployment del tenant) che ha gestito l'evento email.
messagesBlocked[].clusterId additional.fields Il nome del cluster PPS che ha elaborato il messaggio.
messagesBlocked[].fromAddress principal.user.email_addresses,
network.email.from se messagesBlocked[].sender non è presente		 L'indirizzo email contenuto nell'intestazione From:, escluso il nome descrittivo.
messagesBlocked[].guid metadata.product_log_id L'ID del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS ed è sempre univoco.
messagesBlocked[].GUID metadata.product_log_id L'ID del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS ed è sempre univoco.
messagesBlocked[].headerCC additional.fields["headerCC "] Contiene i dettagli di headerCC.
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] Se presente, l'intero contenuto dell'intestazione Reply-To:, inclusi eventuali nomi descrittivi.
messagesBlocked[].id additional.fields["id"] Contiene i dettagli dell'ID messaggio.
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] Il punteggio di impersonificazione del messaggio.
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] Il punteggio malware del messaggio.
messagesBlocked[].messageID network.email.mail_id L'ID messaggio estratto dalle intestazioni dell'email. Può essere utilizzato per cercare il messaggio associato in PPS ed è univoco.
messagesBlocked[].messageParts[].contentType about.file.mime_type Il tipo MIME del file.
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] Come viene gestita la parte del messaggio (ad esempio, allegata, incorporata). Indicizzato dinamicamente.
messagesBlocked[].messageParts[].md5 about.file.md5 L'hash MD5 della parte/del file del messaggio.
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] Il tipo di contenuto dichiarato di messagePart.
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Lo stato dell'analisi del file nella sandbox.
messagesBlocked[].messageParts[].sha256 about.file.sha256 L'hash SHA256 della parte/del file del messaggio.
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path Il nome del file o dell'allegato.
messagesBlocked[].messageSize additional.fields["messageSize"] Le dimensioni in byte del messaggio, incluse intestazioni e allegati.
messagesBlocked[].messageTime metadata.event_timestamp Quando il messaggio è stato recapitato all'utente o messo in quarantena da PPS.
messagesBlocked[].modulesRun additional.fields["modulesRun"] L'elenco dei moduli PPS che hanno elaborato il messaggio.
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] Il punteggio di phishing del messaggio.
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] Le route delle policy a cui corrisponde il messaggio durante l'elaborazione da parte di PPS.
messagesBlocked[].QID additional.fields["QID"] L'ID coda del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS e non è univoco.
messagesBlocked[].quarantineFolder security_result.priority se messagesBlocked[].quarantineFolder è "Priorità bassa" o "Priorità alta",
security_result.detection_fields ["quarantineFolder"] altrimenti		 Il nome della cartella che contiene il messaggio messo in quarantena.
messagesBlocked[].recipient network.email.to Un array contenente gli indirizzi email dei destinatari.
messagesBlocked[].replyToAddress network.email.reply_to se è un'email valida,
additional.fields["replyTo"] altrimenti		 L'indirizzo email contenuto nell'intestazione Reply-To:.
messagesBlocked[].sender network.email.from L'indirizzo email del mittente.
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 L'indirizzo email del mittente.
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] Il punteggio di spam del messaggio.
messagesBlocked[].subject network.email.subject L'oggetto dell'email.
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] Un array di ID delle sotto-organizzazioni interne assegnati ai destinatari.
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] L'ID dell'organizzazione secondaria interna assegnato al mittente.
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id Un identificatore della campagna di cui fa parte la minaccia, se disponibile al momento della query. Le minacce possono essere collegate alle campagne anche dopo il recupero di questi eventi.
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id Un identificatore della campagna di cui fa parte la minaccia, se disponibile al momento della query. Le minacce possono essere collegate alle campagne anche dopo il recupero di questi eventi.
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 La categoria di minaccia trovata nel messaggio.
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 Lo stato di riscrittura del messaggio. Se il valore è true, tutte le istanze di minacce URL all'interno del messaggio sono state riscritte correttamente. Se il valore è false, almeno un'istanza di un URL di minaccia non è stata riscritta. Se il valore è na, il messaggio non conteneva minacce basate su URL.
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields I nuovi campi detectionType e ThreatInfo aggiunti alla risposta.
messagesBlocked[].threatsInfoMap[].threat security_result.about.url se threatType èurl,
security_result.about.file.sha256 se attachment,
security_result.about.resource.name se messageText,
result.about.resource.attribute.labels con valore Email e chiave threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Se la minaccia era un allegato, un URL o un tipo di messaggio.
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id L'identificatore univoco associato a questa minaccia. Può essere utilizzato per eseguire query sugli endpoint di analisi forense e delle campagne.
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Un array di strutture che contengono i dettagli dell'ID dell'attore.
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Un array di strutture che contengono i dettagli dell'ID dell'attore.
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Un array di strutture che contengono i dettagli dell'ID dell'attore.
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status Lo stato attuale della minaccia.
messagesBlocked[].threatsInfoMap[].threatTime metadata.event_timestamp se messagesBlocked[].messageTime non è presente,
security_result.detection_fields		 L'ora in cui Proofpoint ha assegnato il threatStatus.
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name Una stringa che specifica quale tipo di minaccia verrà restituito nei dati.
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product Un link alla voce relativa alla minaccia nella dashboard TAP.
messagesBlocked[].toAddresses target.user.email_addresses Un elenco di indirizzi email contenuti nell'intestazione To:.
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] Il contenuto dell'intestazione X-Mailer:.
messagesDelivered[].ccAddresses intermediary.user.email_addresses Un elenco di indirizzi email contenuti nell'intestazione CC:.
messagesDelivered[].cluster additional.fields["cluster"] Il cluster di elaborazione della posta Proofpoint specifico (o il deployment del tenant) che ha gestito l'evento email.
messagesDelivered[].clusterId additional.fields Il nome del cluster PPS che ha elaborato il messaggio.
messagesDelivered[].fromAddress principal.user.email_addresses,
network.email.from se messagesDelivered[].sender non è presente		 L'indirizzo email contenuto nell'intestazione From:, escluso il nome descrittivo.
messagesDelivered[].GUID metadata.product_log_id L'ID del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS ed è sempre univoco.
messagesDelivered[].guid metadata.product_log_id L'ID del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS ed è sempre univoco.
messagesDelivered[].headerCC additional.fields["headerCC "] Contiene i dettagli di headerCC.
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] Se presente, l'intero contenuto dell'intestazione Reply-To:, inclusi eventuali nomi descrittivi.
messagesDelivered[].id additional.fields["id "] Contiene i dettagli dell'ID messaggio.
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] Il punteggio di impersonificazione del messaggio.
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] Il punteggio malware del messaggio.
messagesDelivered[].messageID network.email.mail_id L'ID messaggio estratto dalle intestazioni dell'email. Può essere utilizzato per cercare il messaggio associato in PPS e non è univoco.
messagesDelivered[].messageParts[].contentType about.file.mime_type Il tipo MIME del file.
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] Come viene gestita la parte del messaggio (ad esempio, allegata, incorporata). Indicizzato dinamicamente.
messagesDelivered[].messageParts[].md5 about.file.md5 L'hash MD5 della parte/del file del messaggio.
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] Il tipo di contenuto dichiarato di messagePart.
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Lo stato dell'analisi del file nella sandbox.
messagesDelivered[].messageParts[].sha256 about.file.sha256 L'hash SHA256 della parte/del file del messaggio.
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path Il nome del file o dell'allegato.
messagesDelivered[].messageSize additional.fields["messageSize"] Le dimensioni in byte del messaggio, incluse intestazioni e allegati.
messagesDelivered[].messageTime metadata.event_timestamp Quando il messaggio è stato recapitato all'utente o messo in quarantena da PPS.
messagesDelivered[].modulesRun additional.fields["modulesRun"] L'elenco dei moduli PPS che hanno elaborato il messaggio.
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] Il punteggio di phishing del messaggio.
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] Le route delle policy a cui corrisponde il messaggio durante l'elaborazione da parte di PPS.
messagesDelivered[].QID additional.fields["QID"] L'ID coda del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS e non è univoco.
messagesDelivered[].quarantineFolder security_result.priority se messagesDelivered[].quarantineFolder è "Priorità bassa" o "Priorità alta",
security_result.detection_fields ["quarantineFolder"] altrimenti		 Il nome della cartella che contiene il messaggio messo in quarantena.
messagesDelivered[].recipient network.email.to Un array contenente gli indirizzi email dei destinatari.
messagesDelivered[].replyToAddress network.email.reply_to se è un'email valida,
additional.fields ["replyTo"] altrimenti		 L'indirizzo email contenuto nell'intestazione Reply-To:.
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 L'indirizzo email del mittente.
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] Il punteggio di spam del messaggio.
messagesDelivered[].subject network.email.subject L'oggetto dell'email.
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] Un array di ID delle sotto-organizzazioni interne assegnati ai destinatari.
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] L'ID dell'organizzazione secondaria interna assegnato al mittente
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id Un identificatore della campagna di cui fa parte la minaccia, se disponibile al momento della query. Le minacce possono essere collegate alle campagne anche dopo il recupero di questi eventi.
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id Un identificatore della campagna di cui fa parte la minaccia, se disponibile al momento della query. Le minacce possono essere collegate alle campagne anche dopo il recupero di questi eventi.
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 La categoria di minaccia trovata nel messaggio.
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 Lo stato di riscrittura del messaggio. Se il valore è true, tutte le istanze di minacce URL all'interno del messaggio sono state riscritte correttamente. Se il valore è false, almeno un'istanza di un URL di minaccia non è stata riscritta. Se il valore è na, il messaggio non conteneva minacce basate su URL.
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields I nuovi campi detectionType e ThreatInfo aggiunti alla risposta.
messagesDelivered[].threatsInfoMap[].threat security_result.about.url se threatType èurl,
security_result.about.file.sha256 se threatType è attachment
security_result.about.resource.name se threatType è messageText,
security_result.about.resource.name altrimenti,
result.about.resource.attribute.labels con valore Email e chiave threatType,
security_result.about.resource.name,
security_result.about.resource.attribute.labels		 Se la minaccia era un allegato, un URL o un tipo di messaggio.
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id L'identificatore univoco associato a questa minaccia. Può essere utilizzato per eseguire query sugli endpoint di analisi forense e delle campagne.
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields Un array di strutture che contengono i dettagli dell'ID dell'attore.
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields Un array di strutture che contengono i dettagli dell'ID dell'attore.
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields Un array di strutture che contengono i dettagli dell'ID dell'attore.
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status Lo stato attuale della minaccia.
messagesDelivered[].threatsInfoMap[].threatTime metadata.event_timestamp se messagesDelivered[].messageTime non è presente,
security_result.detection_fields		 L'ora in cui Proofpoint ha assegnato il threatStatus.
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name Una stringa che specifica quale tipo di minaccia verrà restituito nei dati.
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product Un link alla voce relativa alla minaccia nella dashboard TAP.
messagesDelivered[].toAddresses target.user.email_addresses Un elenco di indirizzi email contenuti nell'intestazione To:.
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] Il contenuto dell'intestazione X-Mailer:.
msg.accountType Campi aggiuntivi specifici del fornitore.
msg.address principal.user.email_addresses L'indirizzo email specifico associato all'account monitorato o valutato per attività di minaccia.
msg.dashboardLink security_result.url_back_to_product Un link alla dashboard Threat Insight.
msg.deliveredMessages Campi aggiuntivi specifici del fornitore.
msg.eventTime metadata.event_timestamp se messageTime e threatTime sono vuoti Il timestamp UTC esatto in cui è stato generato questo evento di log o questa osservazione della minaccia.
msg.highRisk security_result.action Un flag booleano (true/false) che indica se Proofpoint classifica questo account come un account che presenta un rischio per la sicurezza o un livello di compromissione elevato.
msg.identity Campi aggiuntivi specifici del fornitore.
msg.maliciousMessages Campi aggiuntivi specifici del fornitore.
msg.observations[] additional.fields["observations"] Un elenco di tag comportamentali specifici di threat intelligence o indicatori di anomalie segnalati dagli algoritmi di Proofpoint.
msg.timeRanges[].end additional.fields Un array di finestre temporali che mostrano quando sono stati osservati attivamente comportamenti sospetti o indicatori di minaccia per questo account.
msg.timeRanges[].falsePositive additional.fields Un array di finestre temporali che mostrano quando sono stati osservati attivamente comportamenti sospetti o indicatori di minaccia per questo account.
msg.timeRanges[].start,msg additional.fields Un array di finestre temporali che mostrano quando sono stati osservati attivamente comportamenti sospetti o indicatori di minaccia per questo account.
msg.trafficType Campi aggiuntivi specifici del fornitore.
queryEndTime metadata.collected_timestamp L'ora in cui è terminato il periodo per cui è stata eseguita la query per i dati.
sender_domain principal.domain.name Estratto da messagesBlocked[].fromAddress o messagesDelivered[].fromAddress e composto dal nome di dominio del mittente.

Campi log in formato Syslog

Campo log Campo UDM Descrizione
a additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
action security_result.action,
security_result.action_details		 Contiene i dettagli dell'azione.
active security_result.threat_status Lo stato della minaccia.
adjust additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
adultscore additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
application principal.application Contiene i dettagli della richiesta dell'entità.
attachments additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
bits additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
bulkscore additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
campaignID security_result.rule_id Un identificatore della campagna di cui fa parte la minaccia, se disponibile al momento della query. Le minacce possono essere collegate alle campagne anche dopo il recupero di questi eventi.
ccAddresses intermediary.user.email_addresses Un elenco di indirizzi email contenuti nell'intestazione CC:.
cid additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
cipher network.tls.cipher Contiene i dettagli di tls.cipher.
cipher_bits additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
class security_result.category,
security_result.category_details		 La categoria di minaccia dell'URL dannoso.
classifier security_result.category La categoria di minaccia trovata nel messaggio.
clickIP security_result.about.ip, principal.ip,
principal.asset.ip		 L'indirizzo IP esterno dell'utente che ha fatto clic sul link. Se l'utente si trova dietro un firewall che esegue la Network Address Translation, verrà visualizzato l'indirizzo IP del firewall.
clickTime metadata.event_timestamp se messageTime non è presente L'ora in cui l'utente ha fatto clic sull'URL.
cluster additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
clusterId additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
clx_result_group additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
clx_score additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
clx_shade additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
clxscore additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
cmd network.http.method se STS non è vuoto,
principal.process.command_line altrimenti		 Quando STS non è vuoto, contiene il metodo HTTP, altrimenti contiene i dettagli della riga di comando.
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 Lo stato di riscrittura del messaggio. Se il valore è true, tutte le istanze di minacce URL all'interno del messaggio sono state riscritte correttamente. Se il valore è false, almeno un'istanza di un URL di minaccia non è stata riscritta. Se il valore è na, il messaggio non conteneva minacce basate su URL.
corrupted additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
country principal.location.country_or_region Contiene i dettagli del paese.
daemon additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
date_log metadata.event_timestamp se messageTime, clickTime e threatTime non sono presenti Il timestamp presente in syslog.
date_log_rebase metadata.event_timestamp se messageTime, clickTime e threatTime non sono presenti Il timestamp presente in syslog.
default additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
definitions additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
delay additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
dict security_result.category_details Contiene category_details.
dnsid network.dns.id Contiene i dettagli dell'ID DNS.
domain principal.administrative_domain Contiene i dettagli di administrative_domain.
dsn additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
duration additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
eid additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
elapsed additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
engine metadata.product_version Contiene i dettagli di product_version.
envid additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
err security_result.description Una descrizione.
evt extensions.auth.auth_details Dettagli di autenticazione.
expires additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
file about.process.file.full_path Contiene i dettagli del percorso completo del file.
from network.email.from Contiene l'email del mittente.
fromAddress network.email.from L'indirizzo email contenuto nell'intestazione From:.
guid metadata.product_log_id L'ID del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS ed è sempre univoco.
hdr_mid network.email.mail_id Contiene i dettagli di mail_id.
headerFrom additional.fields["headerFrom"] Il contenuto completo dell'intestazione From:, incluso qualsiasi nome descrittivo.
headerReplyTo additional.fields["headerReplyTo"] Se presente, l'intero contenuto dell'intestazione Reply-To:.
headerTo additional.fields Campi aggiuntivi specifici del fornitore.
helo security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
hfrom network.email.from Contiene l'indirizzo email del mittente.
hfrom_domain principal.administrative_domain Contiene i dettagli di administrative_domain.
hops-ip intermediary.ip Contiene l'indirizzo IP intermedio.
host principal.hostname Contiene i dettagli del nome host.
id additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
id additional.fields Campi aggiuntivi specifici del fornitore.
impostor_score security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
impostorScore security_result.detection_fields Il punteggio di impersonificazione del messaggio.
inter_host intermediary.hostname Contiene i dettagli del nome host intermedio.
intermediary_hostname intermediary.hostname Contiene il nome host intermedio.
intermediary_ip intermediary.ip Contiene l'indirizzo IP intermedio.
ip principal.ip,
principal.asset.ip		 Contiene l'indirizzo IP del mittente
len additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
lint security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
lip intermediary.ip Contiene l'indirizzo IP intermedio.
log_level security_result.severity Contiene dettagli sulla gravità.
lowpriorityscore additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
m network.email.mail_id Contiene i dettagli di mail_id.
mailer network.application_protocol Contiene i dettagli di application_protocol.
malwareScore security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
messageID network.email.mail_id L'ID messaggio estratto dalle intestazioni dell'email.
messageParts[].contentType about.file.mime_type Il tipo MIME del file.
messageParts[].disposition additional.fields["disposition "] Come viene gestita la parte del messaggio (ad esempio, allegata, incorporata). Indicizzato dinamicamente.
messageParts[].filename about.file.full_path Il nome del file o dell'allegato.
messageParts[].md5 about.file.md5 L'hash MD5 della parte/del file del messaggio.
messageParts[].oContentType additional.fields["oContentType "] Il tipo di contenuto dichiarato di messagePart.
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] Lo stato dell'analisi del file nella sandbox.
messageParts[].sha256 about.file.sha256 L'hash SHA256 della parte/del file del messaggio.
messageTime metadata.event_timestamp Quando il messaggio è stato recapitato all'utente o messo in quarantena da PPS.
mime principal.process.file.mime_type Contiene i dettagli del file mime_type.
mlxscore additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
mod network.application_protocol Contiene i dettagli di application_protocol.
module additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
modulesRun security_result.detection_fields L'elenco dei moduli PPS che hanno elaborato il messaggio.
modulesRun security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
msg security_result.description Una descrizione.
msghold_response additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
msgid network.email.mail_id Contiene i dettagli di mail_id.
msgs additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
name about.process.file.full_path Contiene il percorso completo del file.
notroutes additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
nrcpts additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
path principal.url Contiene i dettagli dell'URL.
phishscore security_result.detection_fields Il punteggio di phishing del messaggio.
pid principal.process.pid Contiene i dettagli del PID.
policy network.direction Descrive il flusso di rete. Contiene il valore in entrata/in uscita.
pri additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
principal_hostname principal.hostname,
principal.asset.hostname		 Contiene i dettagli del nome host principale.
principal_ip_1 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_2 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_3 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_4 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_5 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_6 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_7 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_8 principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP principale.
principal_ip_port_1 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_ip_port_2 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_ip_port_3 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_ip_port_4 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_ip_port_5 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_ip_port_6 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_ip_port_7 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_ip_port_8 principal.resource.attribute.labels Contiene i dettagli della porta principale.
principal_pid principal.process.pid Acquisisce il PID del processo.
priority_score security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
priorityscore additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
profile additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
prot network.application_protocol Contiene i dettagli di application_protocol.
protected additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
proto network.application_protocol Contiene i dettagli di application_protocol.
pss additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
qid additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
quarantineFolder security_result.priority Il nome della cartella che contiene il messaggio messo in quarantena.
quarantineRule security_result.rule_name Il nome della regola che ha messo in quarantena il messaggio.
query additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
querydepth additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
rcode additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
rcpt network.email.to Contiene l'indirizzo email del destinatario.
rcpts network.email.to Contiene l'indirizzo email del destinatario
reason additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
recipient target.user.email_addresses Contiene i dettagli dell'email del destinatario.
reject additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
reply additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
replyToAddress network.email.reply_to L'indirizzo email contenuto nell'intestazione Reply-To:.
resolve additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
restquery_stage additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
result security_result.action Contiene i dettagli dell'azione.
result additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
result_detail security_result.description Fornisce una descrizione.
reverse additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
routes additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
rss additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
rule security_result.rule_name Contiene rule_name.
s network.session_id Contiene i dettagli di session_id.
scancount additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
scope additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
score additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
selector additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
sender principal.user.email_addresses Contiene i dettagli dell'email del mittente.
senderIP principal.ip,
principal.assest.ip		 Contiene i dettagli dell'IP del mittente.
sendmail_queue_id additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
sha256 security_result.about.file.sha256 I dettagli del file SHA256.
size principal.process.file.size` Contiene i dettagli sulle dimensioni del file.
smtputf8 additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
spamscore security_result.detection_fields Il punteggio di spam del messaggio.
src_host principal.hostname,
principal.asset.hostname		 Contiene i dettagli del nome host principale.
STARTTLS additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
stat additional.fields Contiene i dettagli dello stato.
status additional.fields Contiene i dettagli dello stato.
sts network.http.response_code Contiene i dati response_code.
subject network.email.subject Contiene email.subject.
subject network.email.subject Contiene i dettagli dell'oggetto dell'email.
suspectscore additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
sys additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
sz principal.process.file.size Contiene i dettagli sulle dimensioni del file.
tests additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
threat security_result.about.url se threatType è url,
security_result.about.file.sha256 se threatType è attachment
security_result.about.resource.name se threatType è messageText,
result.about.resource.attribute.labels con valore Email e chiave threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels con chiave ["threatType"]
threatID security_result.threat_id Contiene i dettagli dell'ID minaccia.
threatsInfoMap[].campaignID security_result1.rule_id Un identificatore della campagna di cui fa parte la minaccia, se disponibile al momento della query. Le minacce possono essere collegate alle campagne anche dopo il recupero di questi eventi.
threatsInfoMap[].classification security_result.category
security_result.category_details		 La categoria della minaccia trovata nel messaggio.
threatsInfoMap[].threat security_result.about.url se threatType è url,
security_result.about.file.sha256 se threatType è attachment
security_result.about.resource.name se threatType è messageText,
result.about.resource.attribute.labels con valore Email e chiave threatsInfoMap[].threatType
security_result.about.resource.name altrimenti,
security_result.about.resource.attribute.labels con chiave ["threatType"]		 Un array di strutture che contengono dettagli sulle minacce rilevate all'interno del messaggio. Potrebbe esserci più di una minaccia per messaggio.
threatsInfoMap[].threatID security_result.threat_id Contiene i dettagli dell'ID minaccia.
threatsInfoMap[].threatStatus security_result.threat_status Lo stato attuale della minaccia.
threatsInfoMap[].threatTime metadata.event_timestamp se messageTime e clickTime non sono presenti,
security_result.detection_fields
threatsInfoMap[].threatType security_result.about.url se threatType è url
security_result.about.file.sha256 se threatType è attachment
security_result.about.resource.name se threatType è messageText
result.about.resource.attribute.labels con valore Email e chiave threatsInfoMap[].threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels con chiave ["threatType"]		 Un array di strutture che contengono dettagli sulle minacce rilevate all'interno del messaggio. Potrebbe esserci più di una minaccia per messaggio.
threatsInfoMap[].threatUrl security_result.url_back_to_product Un link alla voce nella dashboard TAP per la minaccia specifica.
threatStatus security_result.threat_status Lo stato attuale della minaccia.
threatTime metadata.event_timestamp se messageTime e clickTime non sono presenti L'ora in cui Proofpoint ha identificato l'URL come minaccia.
threatType security_result.about.url se threatType è url,
security_result.about.file.sha256 se threatType è attachment
security_result.about.resource.name se threatType è messageText,
result.about.resource.attribute.labels con valore Email e chiave threatType
security_result.about.resource.name,
security_result.about.resource.attribute.labels con chiave ["threatType"]
threatURL security_result.url_back_to_product Un link alla voce nella dashboard TAP per la minaccia specifica.
threshold additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
tls network.tls.cipher Contiene i dettagli di tls.cipher.
tls-alert security_result.description Fornisce una descrizione
tls_verify security_result.action Contiene i dettagli di verifica.
tls_version network.tls.version Contiene i dettagli della versione TLS.
to network.email.to Contiene l'indirizzo email del destinatario.
toAddresses network.email.to Un elenco di indirizzi email contenuti nell'intestazione To:.
token additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
ts metadata.event_timestamp se messageTime, clickTime e threatTime non sono presenti Il timestamp presente in syslog.
type additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
uri principal.url Contiene i dettagli dell'URL.
url_count additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
userAgent network.http.user_agent,
network.http.parsed_user_agent		 Lo user agent HTTP.
value network.email.from Contiene l'indirizzo email del mittente.
vendor additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
verify security_result.action Contiene i dettagli di verifica.
version network.tls.version Contiene i dettagli della versione TLS.
virtual additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
virusthreat security_result.threat_name Contiene i dettagli del nome della minaccia.
virusthreatid security_result.threat_id Contiene i dettagli dell'ID minaccia.
warn additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
x additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
X-Proofpoint-Spam-Details additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
xdelay additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
xmailer security_result.detection_fields Il contenuto dell'intestazione X-Mailer:, se presente, o i campi di rilevamento della sicurezza specifici del fornitore.

Campi log CEF

Campo log Campo UDM Descrizione
cluster additional.fields Campi aggiuntivi specifici del fornitore.
file_hash principal.file.md5 Contiene i dettagli MD5 del file.
file_name principal.file.full_path Contiene il percorso.
GUID metadata.product_log_id Contiene product_log_id.
guid metadata.product_log_id Contiene product_log_id.
headerFrom additional.fields Il contenuto completo dell'intestazione From:.
headerReplyTo additional.fields["headerReplyTo"] Il contenuto completo dell'intestazione Reply-To:.
host principal.hostname,
principal.assest.hostname		 Contiene il nome host dell'entità.
id additional.fields Campi aggiuntivi con dati sugli eventi specifici del fornitore che non possono essere rappresentati adeguatamente nelle sezioni formali del modello UDM.
id additional.fields Campi aggiuntivi specifici del fornitore.
impostorScore security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
malwareScore security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
message_id network.email.mail_id Contiene i dettagli di mail_id.
messageParts_contentType principal.file.mime_type Rappresenta il tipo MIME di una parte/componente specifica del messaggio email.
messageParts_disposition additional.fields Campi aggiuntivi specifici del fornitore.
messageParts_oContentType additional.fields Campi aggiuntivi specifici del fornitore.
messageParts_sandboxStatus security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
messageParts_sha256 principal.file.sha256 Contiene i dettagli del file 256.
messageTime metadata.event_timestamp L'ora in cui il messaggio è stato recapitato all'utente o messo in quarantena da PPS.
modulesRun security_result.detection_fields L'elenco dei moduli PPS che hanno elaborato il messaggio.
modulesRun security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
orig_dest network.email.to L'indirizzo email nell'intestazione/busta SMTP iniziale quando l'email ha raggiunto il gateway.
orig_recipient target.user.email_addresses L'indirizzo email del destinatario.
orig_src network.email.from L'indirizzo email della fonte.
policyRoutes additional.fields Campi aggiuntivi specifici del fornitore.
process_id principal.process.pid Contiene i dettagli del PID del processo.
QID additional.fields L'ID coda del messaggio all'interno di PPS. Può essere utilizzato per identificare il messaggio in PPS e non è univoco.
quarantineFolder security_result.priority Il nome della cartella che contiene il messaggio messo in quarantena.
quarantineRule security_result.rule_name Il nome della regola che ha messo in quarantena il messaggio.
return_addr principal.user.email_addresses L'indirizzo della busta specificato durante il trasporto SMTP (MAIL FROM).
rt additional.fields Campi aggiuntivi specifici del fornitore.
sender principal.user.email_addresses Contiene l'indirizzo email del mittente.
src principal.ip,
principal.asset.ip		 Contiene l'indirizzo IP del soggetto.
stag additional.fields Campi aggiuntivi specifici del fornitore.
start additional.fields Campi aggiuntivi specifici del fornitore.
status_code additional.fields Campi aggiuntivi specifici del fornitore.
subject network.email.subject Contiene email.subject.
threatsInfoMap_campaignID security_result.rule_id Un identificatore della campagna di cui fa parte la minaccia, se disponibile al momento della query. Le minacce possono essere collegate alle campagne anche dopo il recupero di questi eventi.
threatsInfoMap_classification security_result.category,
security_result.category_details		 La categoria di minaccia dell'URL dannoso.
threatsInfoMap_detectionType security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
threatsInfoMap_threatID security_result.threat_id Contiene i dettagli dell'ID minaccia.
threatsInfoMap_threatTime metadata.event_timestamp se messageTime è vuoto L'ora in cui Proofpoint ha assegnato il threatStatus.
threatsInfoMap_threatTime security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
threatsInfoMap_threatType security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
threatsInfoMap_threatUrl security_result.url_back_to_product Contiene l'URL che reindirizza alla visualizzazione della threat intelligence, dell'analisi sandbox e dei dettagli forensi di Proofpoint.
threatStatistics_families_name0 security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
threatStatistics_families_score0 security_result.detection_fields Campi di rilevamento della sicurezza specifici del fornitore.
url security_result.about.url L'URL sospetto/dannoso effettivo.
version additional.fields Campi aggiuntivi specifici del fornitore.
vip additional.fields Campi aggiuntivi specifici del fornitore.
xmailer security_result.detection_fields Il contenuto dell'intestazione X-Mailer:, se presente, o dei campi di rilevamento della sicurezza specifici del fornitore.

Riferimento per le differenze tra le mappature UDM

Il 9 settembre 2025, Google SecOps ha rilasciato una nuova versione del parser degli avvisi Proofpoint TAP, che include modifiche significative al mapping dei campi di log degli avvisi Proofpoint TAP ai campi UDM e aggiornamenti alle classificazioni (mapping) dei tipi di eventi.

Differenza tra le mappature dei campi dei log

La tabella seguente mostra le modifiche alla mappatura dei campi di log degli avvisi Proofpoint TAP ai campi UDM. La colonna Mappatura precedente elenca i campi esposti prima del 9 settembre 2025, mentre la colonna Mappatura attuale elenca i nuovi campi.

Campo log Mappatura precedente Mappatura attuale
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields Se quarantineFolder è uguale a low priority o high priority, mappalo su security_result.priority. In caso contrario, mappalo su security_result.detection_fields.
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields Se quarantineFolder è uguale a low priority o high priority, mappalo su security_result.priority. In caso contrario, mappalo su security_result.detection_fields.
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields Se quarantineFolder è uguale a low priority o high priority, esegui la mappatura al campo UDM security_result.priority. In caso contrario, mappalo su security_result.detection_fields.
spamScore additional.fields security_result.detection_fields

Differenze tra le mappature dei tipi di eventi

Diversi eventi precedentemente classificati come eventi generici ora sono classificati correttamente con tipi di eventi più significativi.

La tabella seguente elenca la differenza per la gestione dei tipi di eventi di avvisi TAP di Proofpoint prima del 9 settembre 2025 e successivamente (elencati rispettivamente nelle colonne Old event_type e Current event_type).

Formato eventType from log Old event_type Current event_type
SYSLOG+KV Se il log contiene i campi fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts o mailer,proto,mod EMAIL_TRANSACTION
Se il log contiene solo dettagli mail_id EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
Log CEF eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
se il log contiene emails, sender, headerReplyTo, orig_recipient USER_UNCATEGORIED
se il log contiene src, host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.