Proofpoint TAP アラートログを収集する

以下でサポートされています。

このドキュメントでは、Google Security Operations フィードを設定して Proofpoint Targeted Attack Protection（TAP）アラートログを収集する方法について説明します。

詳細については、Google SecOps のデータ取り込みをご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル PROOFPOINT_MAIL が付加されたパーサーに適用されます。

Proofpoint TAP アラートを構成する

  1. 認証情報を使用して Proofpoint の脅威インサイト ポータルにログインします。
  2. [設定] タブで、[接続済みのアプリケーション] を選択します。[サービス認証情報] セクションが表示されます。
  3. [名前] セクションで、[新しい認証情報を作成] をクリックします。
  4. 組織の名前（altostrat.com など）を入力します。
  5. [生成] をクリックします。[生成されたサービス認証情報] ダイアログに、[サービス プリンシパル] と [シークレット] の値が表示されます。
  6. [サービス プリンシパル] と [シークレット] の値をコピーします。これらの値は作成時にのみ表示され、Google Security Operations フィードを構成するときに必要になります。
  7. [完了] をクリックします。

フィードを設定する

フィードを構成する手順は次のとおりです。

  1. [SIEM Settings] > [Feeds] に移動します。
  2. [Add New Feed] をクリックします。
  3. [Proofpoint] フィードパックをクリックします。
  4. [Proofpoint Tap Alerts] ログタイプを見つけます。

  5. 次のフィールドに値を指定します。

    • ソースタイプ: サードパーティ API
    • ユーザー名: 前の手順で取得したサービス プリンシパルを指定します。
    • シークレット: 前の手順で取得したシークレットを指定します。

    詳細オプション

    • フィード名: フィードを識別する値が事前入力されています。
    • アセットの名前空間: フィードに関連付けられた名前空間。
    • 取り込みラベル: このフィードのすべてのイベントに適用されるラベル。

  6. [フィードを作成] をクリックします。

Google Security Operations　フィードの詳細については、Google Security Operations　フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。 フィードの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

フィールド マッピング リファレンス

このパーサーは、JSON 形式または Key-Value 形式の Proofpoint Mail ログを処理し、メールとネットワーク アクティビティの詳細を抽出します。ログフィールドを UDM にマッピングし、メール トランザクションやネットワーク HTTP リクエストなどのイベントを分類し、アクション、カテゴリ、脅威情報などのセキュリティの詳細情報を追加します。

制限事項

PROOFPOINT_MAIL ログを分析すると、リアルタイムで取り込まれたにもかかわらず、過去のタイムスタンプを持つイベントが観測されることがあります。この動作は、Google SecOps 取り込みパイプラインではなく、Proofpoint API に固有のものです。Google SecOps が最新のアクティビティをクエリする場合でも、Proofpoint API は数日前に発生したイベントを返すことがあります。Proofpoint がイベントデータをバッファリングしてリリースする方法により、PROOFPOINT_MAIL ログタイプでは event_timestamp と ingestion_time の間に差異が生じることが想定されます。詳細については、Proofpoint イベントのタイムスタンプに関するドキュメントをご覧ください。

UDM マッピング テーブル

次の表に、Proofpoint TAP アラートの未加工ログフィールドから UDM フィールドへのマッピングを、形式ごとに分類して示します。

ログフィールド UDM フィールド 説明
clicksBlocked[].classification security_result.category、
security_result.category_details		 脅威の分類（malware、phish など）。
clicksBlocked[].clickIP principal.ip、
security_result.about.ip		 URL をクリックしたユーザーの IP アドレス。
clicksBlocked[].clickTime metadata.event_timestamp、
additional.fields["clickTime"]		 クリックのタイムスタンプ。
clicksBlocked[].GUID metadata.product_log_id クリック イベントの固有識別子。
clicksBlocked[].guid metadata.product_log_id クリック イベントの固有識別子。
clicksBlocked[].id additional.fields["id"] 一意のクリック ID。
clicksBlocked[].messageID network.email.mail_id 元のメール メッセージ ID。
clicksBlocked[].recipient network.email.to、
target.user.email_addresses		 受信者のメールアドレス。
clicksBlocked[].sender network.email.from、
principal.user.email_addresses		 送信者のメールアドレス。ユーザー部分はハッシュ化されます。ドメイン部分はクリアテキストです。
clicksBlocked[].senderIP principal.ip 元の送信者の IP アドレス。
clicksBlocked[].threatID security_result.threat_id 検出された脅威の識別子。
clicksBlocked[].threatStatus security_result.threat_status 脅威のステータス（Active、Cleared など）。
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 Proofpoint が threatStatus を割り当てた時刻。
clicksBlocked[].threatUrl security_result.url_back_to_product 特定の脅威に関する TAP ダッシュボードのエントリへのリンク。
clicksBlocked[].url target.url、
security_result.about.url		 クリックされた悪意のある URL。
clicksBlocked[].userAgent network.http.user_agent、
network.http.parsed_user_agent		 クリックを行ったクライアントのユーザー エージェント。
clicksPermitted[].classification security_result.category、
security_result.category_details		 脅威の分類（malware、phish など）。
clicksPermitted[].clickIP principal.ip、
security_result.about.ip		 URL をクリックしたユーザーの IP アドレス。
clicksPermitted[].clickTime metadata.event_timestamp、
additional.fields["clickTime"]		 クリックのタイムスタンプ。
clicksPermitted[].GUID metadata.product_log_id クリック イベントの固有識別子。
clicksPermitted[].guid metadata.product_log_id クリック イベントの固有識別子。
clicksPermitted[].id additional.fields["id"] 一意のクリック ID。
clicksPermitted[].messageID network.email.mail_id 元のメール メッセージ ID。
clicksPermitted[].recipient network.email.to、
target.user.email_addresses		 受信者のメールアドレス。
clicksPermitted[].sender network.email.from、
principal.user.email_addresses		 送信者のメールアドレス。ユーザー部分はハッシュ化されます。ドメイン部分はクリアテキストです。
clicksPermitted[].senderIP principal.ip 元の送信者の IP アドレス。
clicksPermitted[].threatID security_result.threat_id 検出された脅威の識別子。
clicksPermitted[].threatStatus security_result.threat_status 脅威のステータス（有効、クリア済みなど）。
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 Proofpoint が threatStatus を割り当てた時刻。
clicksPermitted[].threatUrl security_result.url_back_to_product 特定の脅威に関する TAP ダッシュボードのエントリへのリンク。
clicksPermitted[].url target.url、
security_result.about.url		 クリックされた悪意のある URL。
clicksPermitted[].userAgent network.http.user_agent、
network.http.parsed_user_agent		 クリックを行ったクライアントのユーザー エージェント。
ログフィールド UDM フィールド 説明
messagesBlocked[].ccAddresses intermediary.user.email_addresses CC: ヘッダーに含まれるメールアドレスのリスト。
messagesBlocked[].cluster additional.fields["cluster"] メールイベントを処理した特定の Proofpoint メール処理クラスタ（またはテナント デプロイ）。
messagesBlocked[].clusterId additional.fields メッセージを処理した PPS クラスタの名前。
messagesBlocked[].fromAddress messagesBlocked[].sender が存在しない場合は principal.user.email_addresses、
、network.email.from		 From: ヘッダーに含まれるメールアドレス（表示名を除く）。
messagesBlocked[].guid metadata.product_log_id PPS 内のメッセージの ID。PPS でメッセージを識別するために使用され、常に一意です。
messagesBlocked[].GUID metadata.product_log_id PPS 内のメッセージの ID。PPS でメッセージを識別するために使用され、常に一意です。
messagesBlocked[].headerCC additional.fields["headerCC "] headerCC の詳細が含まれます。
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] 存在する場合、Reply-To: ヘッダーの完全なコンテンツ（フレンドリ名を含む）。
messagesBlocked[].id additional.fields["id"] メッセージ ID の詳細が含まれます。
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] メッセージのなりすましスコア。
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] メッセージのマルウェア スコア。
messagesBlocked[].messageID network.email.mail_id メール メッセージのヘッダーから抽出された Message-ID。PPS で関連するメッセージを検索するために使用され、一意です。
messagesBlocked[].messageParts[].contentType about.file.mime_type ファイルの MIME タイプ。
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] メッセージ部分の処理方法（添付、インラインなど）。動的にインデックス登録されます。
messagesBlocked[].messageParts[].md5 about.file.md5 メッセージ部分/ファイルの MD5 ハッシュ。
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] messagePart の宣言された Content-Type。
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] サンドボックスでのファイル分析のステータス。
messagesBlocked[].messageParts[].sha256 about.file.sha256 メッセージ部分/ファイルの SHA256 ハッシュ。
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path ファイルまたは添付ファイルの名前。
messagesBlocked[].messageSize additional.fields["messageSize"] ヘッダーと添付ファイルを含むメッセージのサイズ（バイト単位）。
messagesBlocked[].messageTime metadata.event_timestamp メッセージがユーザーに配信されたとき、または PPS によって検疫されたとき。
messagesBlocked[].modulesRun additional.fields["modulesRun"] メッセージを処理した PPS モジュールのリスト。
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] メッセージのフィッシング スコア。
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] PPS による処理中にメッセージが一致したポリシー ルート。
messagesBlocked[].QID additional.fields["QID"] PPS 内のメッセージのキュー ID。PPS でメッセージを識別するために使用されますが、一意ではありません。
messagesBlocked[].quarantineFolder messagesBlocked[].quarantineFolder が「低優先度」または「高優先度」の場合は security_result.priority、それ以外の場合は
security_result.detection_fields ["quarantineFolder"]		 検疫されたメッセージを含むフォルダの名前。
messagesBlocked[].recipient network.email.to 受信者のメールアドレスを含む配列。
messagesBlocked[].replyToAddress 有効なメールアドレスの場合は network.email.reply_to、それ以外の場合は
additional.fields["replyTo"]		 Reply-To: ヘッダーに含まれるメールアドレス。
messagesBlocked[].sender network.email.from 送信者のメールアドレス。
messagesBlocked[].senderIP principal.ip、
principal.asset.ip		 送信者のメールアドレス。
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] メッセージのスパムスコア。
messagesBlocked[].subject network.email.subject メールの件名。
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] 受信者に割り当てられた内部サブ組織 ID の配列。
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] 送信者に割り当てられた内部サブ組織 ID。
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id クエリの時点で脅威が属しているキャンペーンの識別子（わかる場合）。これらのイベントが取得された後でも、脅威をキャンペーンにリンクできます。
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id クエリの時点で脅威が属するキャンペーンの識別子（利用可能な場合）。これらのイベントが取得された後でも、脅威をキャンペーンにリンクできます。
messagesBlocked[].threatsInfoMap[].classification security_result.category、
security_result.category_details		 メッセージで検出された脅威のカテゴリ。
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields、
security_result.action		 メッセージの書き換えステータス。値が true の場合、メッセージ内の URL の脅威のすべてのインスタンスが正常に書き換えられました。値が false の場合、脅威 URL の少なくとも 1 つのインスタンスが書き換えられませんでした。値が na の場合、メッセージに URL ベースの脅威は含まれていません。
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields レスポンスに新しいフィールド detectionType と ThreatInfo を追加しました。
messagesBlocked[].threatsInfoMap[].threat threatType が url の場合は security_result.about.url、attachment の場合は
security_result.about.file.sha256、messageText の場合は
security_result.about.resource.name、値 Email とキー threatType、
security_result.about.resource.name、
security_result.about.resource.attribute.labels の場合は
result.about.resource.attribute.labels		 脅威が添付ファイル、URL、メッセージのいずれであったか。
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id この脅威に関連付けられた一意の識別子。フォレンジック エンドポイントとキャンペーン エンドポイントのクエリに使用できます。
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields アクターの ID に関する詳細を含む構造体の配列。
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields アクターの ID に関する詳細を含む構造体の配列。
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields アクターの ID に関する詳細を含む構造体の配列。
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status 脅威の現在の状態。
messagesBlocked[].threatsInfoMap[].threatTime messagesBlocked[].messageTime が存在しない場合、metadata.event_timestamp
security_result.detection_fields		 Proofpoint が threatStatus を割り当てた時刻。
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name データで返される脅威の種類を指定する文字列。
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product TAP ダッシュボードの脅威に関するエントリへのリンク。
messagesBlocked[].toAddresses target.user.email_addresses To: ヘッダーに含まれるメールアドレスのリスト。
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] X-Mailer: ヘッダーの内容。
messagesDelivered[].ccAddresses intermediary.user.email_addresses CC: ヘッダーに含まれるメールアドレスのリスト。
messagesDelivered[].cluster additional.fields["cluster"] メールイベントを処理した特定の Proofpoint メール処理クラスタ（またはテナント デプロイ）。
messagesDelivered[].clusterId additional.fields メッセージを処理した PPS クラスタの名前。
messagesDelivered[].fromAddress messagesDelivered[].sender が存在しない場合は principal.user.email_addresses、
、network.email.from		 From: ヘッダーに含まれるメールアドレス（表示名を除く）。
messagesDelivered[].GUID metadata.product_log_id PPS 内のメッセージの ID。PPS でメッセージを識別するために使用され、常に一意です。
messagesDelivered[].guid metadata.product_log_id PPS 内のメッセージの ID。PPS でメッセージを識別するために使用され、常に一意です。
messagesDelivered[].headerCC additional.fields["headerCC "] headerCC の詳細が含まれます。
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] 存在する場合、Reply-To: ヘッダーの完全なコンテンツ（フレンドリ名を含む）。
messagesDelivered[].id additional.fields["id "] メッセージ ID の詳細が含まれます。
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] メッセージのなりすましスコア。
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] メッセージのマルウェア スコア。
messagesDelivered[].messageID network.email.mail_id メール メッセージのヘッダーから抽出された Message-ID。PPS で関連するメッセージを検索するために使用できますが、一意ではありません。
messagesDelivered[].messageParts[].contentType about.file.mime_type ファイルの MIME タイプ。
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] メッセージ部分の処理方法（添付、インラインなど）。動的にインデックス登録されます。
messagesDelivered[].messageParts[].md5 about.file.md5 メッセージ部分/ファイルの MD5 ハッシュ。
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] messagePart の宣言された Content-Type。
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] サンドボックスでのファイル分析のステータス。
messagesDelivered[].messageParts[].sha256 about.file.sha256 メッセージ部分/ファイルの SHA256 ハッシュ。
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path ファイルまたは添付ファイルの名前。
messagesDelivered[].messageSize additional.fields["messageSize"] ヘッダーと添付ファイルを含むメッセージのサイズ（バイト単位）。
messagesDelivered[].messageTime metadata.event_timestamp メッセージがユーザーに配信されたとき、または PPS によって検疫されたとき。
messagesDelivered[].modulesRun additional.fields["modulesRun"] メッセージを処理した PPS モジュールのリスト。
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] メッセージのフィッシング スコア。
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] PPS による処理中にメッセージが一致したポリシー ルート。
messagesDelivered[].QID additional.fields["QID"] PPS 内のメッセージのキュー ID。PPS でメッセージを識別するために使用されますが、一意ではありません。
messagesDelivered[].quarantineFolder messagesDelivered[].quarantineFolder が「低優先度」または「高優先度」の場合は security_result.priority、それ以外の場合は
security_result.detection_fields ["quarantineFolder"]		 検疫されたメッセージを含むフォルダの名前。
messagesDelivered[].recipient network.email.to 受信者のメールアドレスを含む配列。
messagesDelivered[].replyToAddress 有効なメールアドレスの場合は network.email.reply_to、それ以外の場合は
additional.fields ["replyTo"]		 Reply-To: ヘッダーに含まれるメールアドレス。
messagesDelivered[].senderIP principal.ip、
principal.asset.ip		 送信者のメールアドレス。
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] メッセージのスパムスコア。
messagesDelivered[].subject network.email.subject メールの件名。
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] 受信者に割り当てられた内部サブ組織 ID の配列。
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] 送信者に割り当てられた内部サブ組織 ID
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id クエリの時点で脅威が属するキャンペーンの識別子（利用可能な場合）。これらのイベントが取得された後でも、脅威をキャンペーンにリンクできます。
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id クエリの時点で脅威が属するキャンペーンの識別子（利用可能な場合）。これらのイベントが取得された後でも、脅威をキャンペーンにリンクできます。
messagesDelivered[].threatsInfoMap[].classification security_result.category、
security_result.category_details		 メッセージで検出された脅威のカテゴリ。
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields、
security_result.action		 メッセージの書き換えステータス。値が true の場合、メッセージ内の URL の脅威のすべてのインスタンスが正常に書き換えられました。値が false の場合、脅威 URL の少なくとも 1 つのインスタンスが書き換えられませんでした。値が na の場合、メッセージに URL ベースの脅威は含まれていません。
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields レスポンスに新しいフィールド detectionType と ThreatInfo を追加しました。
messagesDelivered[].threatsInfoMap[].threat threatType が url の場合は security_result.about.url、threatType が attachment の場合は
security_result.about.file.sha256、threatType が messageText の場合は
security_result.about.resource.name、それ以外の場合は
security_result.about.resource.name、値 Email とキー threatType の
result.about.resource.attribute.labels、
security_result.about.resource.name、
security_result.about.resource.attribute.labels		 脅威が添付ファイル、URL、メッセージのいずれであったか。
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id この脅威に関連付けられた一意の識別子。フォレンジック エンドポイントとキャンペーン エンドポイントのクエリに使用できます。
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields アクターの ID に関する詳細を含む構造体の配列。
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields アクターの ID に関する詳細を含む構造体の配列。
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields アクターの ID に関する詳細を含む構造体の配列。
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status 脅威の現在の状態。
messagesDelivered[].threatsInfoMap[].threatTime messagesDelivered[].messageTime が存在しない場合、metadata.event_timestamp
security_result.detection_fields		 Proofpoint が threatStatus を割り当てた時刻。
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name データで返される脅威の種類を指定する文字列。
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product TAP ダッシュボードの脅威に関するエントリへのリンク。
messagesDelivered[].toAddresses target.user.email_addresses To: ヘッダーに含まれるメールアドレスのリスト。
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] X-Mailer: ヘッダーの内容。
msg.accountType ベンダー固有の追加フィールド。
msg.address principal.user.email_addresses 脅威アクティビティのモニタリングまたは評価の対象となるアカウントに関連付けられた特定のメールアドレス。
msg.dashboardLink security_result.url_back_to_product Threat Insight ダッシュボードへのリンク。
msg.deliveredMessages ベンダー固有の追加フィールド。
msg.eventTime messageTime と threatTime が空の場合の metadata.event_timestamp この脅威のモニタリングまたはログイベントが生成された正確な UTC タイムスタンプ。
msg.highRisk security_result.action Proofpoint がこのアカウントをセキュリティ リスクまたは侵害レベルが高いと分類するかどうかを示すブール値フラグ（true/false）。
msg.identity ベンダー固有の追加フィールド。
msg.maliciousMessages ベンダー固有の追加フィールド。
msg.observations[] additional.fields["observations"] Proofpoint のアルゴリズムによってフラグが設定された、特定の脅威インテリジェンスの行動タグまたは異常指標のリスト。
msg.timeRanges[].end additional.fields このアカウントで不審な動作や脅威指標がアクティブに検出された時間枠の配列。
msg.timeRanges[].falsePositive additional.fields このアカウントで不審な動作や脅威指標がアクティブに検出された時間枠の配列。
msg.timeRanges[].start,msg additional.fields このアカウントで不審な動作や脅威指標がアクティブに検出された時間枠の配列。
msg.trafficType ベンダー固有の追加フィールド。
queryEndTime metadata.collected_timestamp データのクエリ対象期間が終了した時刻。
sender_domain principal.domain.name 送信者のドメイン名で構成される messagesBlocked[].fromAddress または messagesDelivered[].fromAddress から抽出されます。

Syslog 形式のログフィールド

ログフィールド UDM フィールド 説明
a additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
action security_result.action、
security_result.action_details		 アクションの詳細が含まれます。
active security_result.threat_status 脅威のステータス。
adjust additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
adultscore additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
application principal.application プリンシパル アプリケーションの詳細が含まれます。
attachments additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
bits additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
bulkscore additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
campaignID security_result.rule_id クエリの時点で脅威が属しているキャンペーンの識別子（わかる場合）。これらのイベントが取得された後でも、脅威をキャンペーンにリンクできます。
ccAddresses intermediary.user.email_addresses CC: ヘッダーに含まれるメールアドレスのリスト。
cid additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
cipher network.tls.cipher tls.cipher の詳細が含まれます。
cipher_bits additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
class security_result.category、
security_result.category_details		 悪意のある URL の脅威カテゴリ。
classifier security_result.category メッセージで検出された脅威のカテゴリ。
clickIP security_result.about.ip、principal.ip、
principal.asset.ip		 リンクをクリックしたユーザーの外部 IP アドレス。ユーザーがネットワーク アドレス変換を行うファイアウォールの背後にいる場合は、ファイアウォールの IP アドレスが表示されます。
clickTime messageTime が存在しない場合は metadata.event_timestamp ユーザーが URL をクリックした時間。
cluster additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
clusterId additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
clx_result_group additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
clx_score additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
clx_shade additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
clxscore additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
cmd STS が空でない場合は network.http.method、それ以外の場合は
principal.process.command_line		 STS が空でない場合、HTTP メソッドが含まれます。空の場合は、コマンドラインの詳細が含まれます。
completelyRewritten security_result.action、
security_result.detection_fields["completelyRewritten"]		 メッセージの書き換えステータス。値が true の場合、メッセージ内の URL の脅威のすべてのインスタンスが正常に書き換えられました。値が false の場合、脅威 URL の少なくとも 1 つのインスタンスが書き換えられませんでした。値が na の場合、メッセージに URL ベースの脅威は含まれていません。
corrupted additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
country principal.location.country_or_region 国の詳細が含まれます。
daemon additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
date_log messageTime、clickTime、threatTime が存在しない場合は metadata.event_timestamp syslog に存在するタイムスタンプ。
date_log_rebase messageTime、clickTime、threatTime が存在しない場合は metadata.event_timestamp syslog に存在するタイムスタンプ。
default additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
definitions additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
delay additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
dict security_result.category_details category_details が含まれます。
dnsid network.dns.id DNS ID の詳細が含まれます。
domain principal.administrative_domain administrative_domain の詳細が含まれます。
dsn additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
duration additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
eid additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
elapsed additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
engine metadata.product_version product_version の詳細が含まれます。
envid additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
err security_result.description 説明。
evt extensions.auth.auth_details 認証の詳細。
expires additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
file about.process.file.full_path ファイルのフルパスの詳細が含まれます。
from network.email.from 送信者のメールアドレスが含まれます。
fromAddress network.email.from From: ヘッダーに含まれるメールアドレス。
guid metadata.product_log_id PPS 内のメッセージの ID。PPS でメッセージを識別するために使用され、常に一意です。
hdr_mid network.email.mail_id mail_id の詳細が含まれます。
headerFrom additional.fields["headerFrom"] From: ヘッダーの完全なコンテンツ（フレンドリ名を含む）。
headerReplyTo additional.fields["headerReplyTo"] 存在する場合、Reply-To: ヘッダーの完全なコンテンツ。
headerTo additional.fields ベンダー固有の追加フィールド。
helo security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
hfrom network.email.from 送信者のメールアドレスが含まれます。
hfrom_domain principal.administrative_domain administrative_domain の詳細が含まれます。
hops-ip intermediary.ip 仲介 IP アドレスが含まれます。
host principal.hostname ホスト名の詳細が含まれます。
id additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
id additional.fields ベンダー固有の追加フィールド。
impostor_score security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
impostorScore security_result.detection_fields メッセージのなりすましスコア。
inter_host intermediary.hostname 仲介ホスト名の詳細が含まれます。
intermediary_hostname intermediary.hostname 仲介ホスト名が含まれます。
intermediary_ip intermediary.ip 仲介 IP アドレスが含まれます。
ip principal.ip、
principal.asset.ip		 送信者の IP アドレスが含まれています
len additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
lint security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
lip intermediary.ip 仲介 IP アドレスが含まれます。
log_level security_result.severity 重大度の詳細が含まれます。
lowpriorityscore additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
m network.email.mail_id mail_id の詳細が含まれます。
mailer network.application_protocol application_protocol の詳細が含まれます。
malwareScore security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
messageID network.email.mail_id メール メッセージのヘッダーから抽出された Message-ID。
messageParts[].contentType about.file.mime_type ファイルの MIME タイプ。
messageParts[].disposition additional.fields["disposition "] メッセージ部分の処理方法（添付、インラインなど）。動的にインデックス登録されます。
messageParts[].filename about.file.full_path ファイルまたは添付ファイルの名前。
messageParts[].md5 about.file.md5 メッセージ部分/ファイルの MD5 ハッシュ。
messageParts[].oContentType additional.fields["oContentType "] messagePart の宣言された Content-Type。
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] サンドボックスでのファイル分析のステータス。
messageParts[].sha256 about.file.sha256 メッセージ部分/ファイルの SHA256 ハッシュ。
messageTime metadata.event_timestamp メッセージがユーザーに配信されたとき、または PPS によって検疫されたとき。
mime principal.process.file.mime_type ファイル mime_type の詳細が含まれます。
mlxscore additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
mod network.application_protocol application_protocol の詳細が含まれます。
module additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
modulesRun security_result.detection_fields メッセージを処理した PPS モジュールのリスト。
modulesRun security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
msg security_result.description 説明。
msghold_response additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
msgid network.email.mail_id mail_id の詳細が含まれます。
msgs additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
name about.process.file.full_path ファイルのフルパスが含まれます。
notroutes additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
nrcpts additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
path principal.url URL の詳細が含まれます。
phishscore security_result.detection_fields メッセージのフィッシング スコア。
pid principal.process.pid PID の詳細が含まれます。
policy network.direction ネットワーク フローを記述します。インバウンド/アウトバウンドの値が含まれます。
pri additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
principal_hostname principal.hostname、
principal.asset.hostname		 プリンシパル ホスト名の詳細が含まれます。
principal_ip_1 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_2 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_3 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_4 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_5 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_6 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_7 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_8 principal.ip、
principal.assest.ip		 プリンシパルの IP の詳細が含まれます。
principal_ip_port_1 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_ip_port_2 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_ip_port_3 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_ip_port_4 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_ip_port_5 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_ip_port_6 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_ip_port_7 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_ip_port_8 principal.resource.attribute.labels プリンシパル ポートの詳細が含まれます。
principal_pid principal.process.pid プロセスの PID をキャプチャします。
priority_score security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
priorityscore additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
profile additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
prot network.application_protocol application_protocol の詳細が含まれます。
protected additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
proto network.application_protocol application_protocol の詳細が含まれます。
pss additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
qid additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
quarantineFolder security_result.priority 検疫されたメッセージを含むフォルダの名前。
quarantineRule security_result.rule_name メールを検疫したルールの名前。
query additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
querydepth additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
rcode additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
rcpt network.email.to 受信者のメールアドレスが含まれます。
rcpts network.email.to 受信者のメールアドレスが含まれます
reason additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
recipient target.user.email_addresses 受信者のメールの詳細が含まれます。
reject additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
reply additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
replyToAddress network.email.reply_to Reply-To: ヘッダーに含まれるメールアドレス。
resolve additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
restquery_stage additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
result security_result.action アクションの詳細が含まれます。
result additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
result_detail security_result.description 説明を提供します。
reverse additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
routes additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
rss additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
rule security_result.rule_name rule_name が含まれます。
s network.session_id session_id の詳細が含まれます。
scancount additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
scope additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
score additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
selector additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
sender principal.user.email_addresses 送信者のメールの詳細が含まれます。
senderIP principal.ip、
principal.assest.ip		 送信者の IP の詳細が含まれます。
sendmail_queue_id additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
sha256 security_result.about.file.sha256 SHA256 ファイルの詳細。
size principal.process.file.size` ファイルサイズの詳細が含まれます。
smtputf8 additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
spamscore security_result.detection_fields メッセージのスパムスコア。
src_host principal.hostname、
principal.asset.hostname		 プリンシパル ホスト名の詳細が含まれます。
STARTTLS additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
stat additional.fields ステータスの詳細が含まれます。
status additional.fields ステータスの詳細が含まれます。
sts network.http.response_code response_code データが含まれます。
subject network.email.subject email.subject が含まれます。
subject network.email.subject メールの件名の詳細が含まれます。
suspectscore additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
sys additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
sz principal.process.file.size ファイルサイズの詳細が含まれます。
tests additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
threat threatType が url の場合は security_result.about.url、threatType が attachment の場合は
security_result.about.file.sha256、threatType が messageText の場合は
security_result.about.resource.name、値 Email とキー threatType
security_result.about.resource.name の
result.about.resource.attribute.labels、キー ["threatType"] の
security_result.about.resource.attribute.labels
threatID security_result.threat_id 脅威 ID の詳細が含まれます。
threatsInfoMap[].campaignID security_result1.rule_id クエリの時点で脅威が属するキャンペーンの識別子（利用可能な場合）。これらのイベントが取得された後でも、脅威をキャンペーンにリンクできます。
threatsInfoMap[].classification security_result.category
security_result.category_details		 メッセージで検出された脅威のカテゴリ。
threatsInfoMap[].threat threatType が url の場合は security_result.about.url、threatType が attachment の場合は
security_result.about.file.sha256、threatType が messageText の場合は
security_result.about.resource.name、それ以外の場合は値 Email とキー threatsInfoMap[].threatType の
security_result.about.resource.name、キー ["threatType"] の
security_result.about.resource.attribute.labels
result.about.resource.attribute.labels		 メッセージ内で検出された脅威の詳細を含む構造体の配列。1 つのメールに複数の脅威が含まれていることがあります。
threatsInfoMap[].threatID security_result.threat_id 脅威 ID の詳細が含まれます。
threatsInfoMap[].threatStatus security_result.threat_status 脅威の現在の状態。
threatsInfoMap[].threatTime messageTime と clickTime が存在しない場合、metadata.event_timestamp
security_result.detection_fields
threatsInfoMap[].threatType threatType が url の場合は security_result.about.url
security_result.about.file.sha256threatType が attachment の場合は
threatType が messageText の場合は security_result.about.resource.name
result.about.resource.attribute.labels（値 Email、キー threatsInfoMap[].threatType）
security_result.about.resource.name、
security_result.about.resource.attribute.labels（キー ["threatType"]）		 メッセージ内で検出された脅威に関する詳細を含む構造体の配列。1 つのメールに複数の脅威が含まれていることがあります。
threatsInfoMap[].threatUrl security_result.url_back_to_product 特定の脅威に関する TAP ダッシュボードのエントリへのリンク。
threatStatus security_result.threat_status 脅威の現在の状態。
threatTime messageTime と clickTime が存在しない場合は metadata.event_timestamp Proofpoint が URL を脅威として特定した時刻。
threatType threatType が url の場合は security_result.about.url、threatType が attachment の場合は
security_result.about.file.sha256、threatType が messageText の場合は
security_result.about.resource.name、値 Email とキー threatType
security_result.about.resource.name の
result.about.resource.attribute.labels、キー ["threatType"] の
security_result.about.resource.attribute.labels
threatURL security_result.url_back_to_product 特定の脅威に関する TAP ダッシュボードのエントリへのリンク。
threshold additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
tls network.tls.cipher tls.cipher の詳細が含まれます。
tls-alert security_result.description 説明を提供します
tls_verify security_result.action 確認の詳細が含まれます。
tls_version network.tls.version TLS バージョンの詳細が含まれます。
to network.email.to 受信者のメールアドレスが含まれます。
toAddresses network.email.to To: ヘッダーに含まれるメールアドレスのリスト。
token additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
ts messageTime、clickTime、threatTime が存在しない場合は metadata.event_timestamp syslog に存在するタイムスタンプ。
type additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
uri principal.url URL の詳細が含まれます。
url_count additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
userAgent network.http.user_agent、
network.http.parsed_user_agent		 HTTP ユーザー エージェント。
value network.email.from 送信者のメールアドレスが含まれます。
vendor additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
verify security_result.action 確認の詳細が含まれます。
version network.tls.version TLS バージョンの詳細が含まれます。
virtual additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
virusthreat security_result.threat_name 脅威名の詳細が含まれます。
virusthreatid security_result.threat_id 脅威 ID の詳細が含まれます。
warn additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
x additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
X-Proofpoint-Spam-Details additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
xdelay additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
xmailer security_result.detection_fields X-Mailer: ヘッダー（存在する場合）またはベンダー固有のセキュリティ検出フィールドの内容。

CEF ログフィールド

ログフィールド UDM フィールド 説明
cluster additional.fields ベンダー固有の追加フィールド。
file_hash principal.file.md5 ファイルの MD5 の詳細が含まれます。
file_name principal.file.full_path パスが含まれています。
GUID metadata.product_log_id product_log_id が含まれます。
guid metadata.product_log_id product_log_id が含まれます。
headerFrom additional.fields From: ヘッダーの完全な内容。
headerReplyTo additional.fields["headerReplyTo"] Reply-To: ヘッダーの完全な内容。
host principal.hostname、
principal.assest.hostname		 プリンシパルのホスト名が含まれます。
id additional.fields UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータを含む追加フィールド。
id additional.fields ベンダー固有の追加フィールド。
impostorScore security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
malwareScore security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
message_id network.email.mail_id mail_id の詳細が含まれます。
messageParts_contentType principal.file.mime_type メール メッセージの特定の部分/コンポーネントの MIME タイプを表します。
messageParts_disposition additional.fields ベンダー固有の追加フィールド。
messageParts_oContentType additional.fields ベンダー固有の追加フィールド。
messageParts_sandboxStatus security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
messageParts_sha256 principal.file.sha256 ファイル 256 の詳細が含まれます。
messageTime metadata.event_timestamp メッセージがユーザーに配信された時刻、または PPS によって検疫された時刻。
modulesRun security_result.detection_fields メッセージを処理した PPS モジュールのリスト。
modulesRun security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
orig_dest network.email.to メールがゲートウェイに到達したときの最初の SMTP エンベロープ/ヘッダーのメールアドレス。
orig_recipient target.user.email_addresses 受信者のメールアドレス。
orig_src network.email.from ソースのメールアドレス。
policyRoutes additional.fields ベンダー固有の追加フィールド。
process_id principal.process.pid プロセスの PID の詳細が含まれます。
QID additional.fields PPS 内のメッセージのキュー ID。PPS でメッセージを識別するために使用されますが、一意ではありません。
quarantineFolder security_result.priority 検疫されたメッセージを含むフォルダの名前。
quarantineRule security_result.rule_name メールを検疫したルールの名前。
return_addr principal.user.email_addresses SMTP 転送中に指定されたエンベロープ アドレス（MAIL FROM）。
rt additional.fields ベンダー固有の追加フィールド。
sender principal.user.email_addresses 送信者のメールアドレスが含まれます。
src principal.ip、
principal.asset.ip		 プリンシパルの IP アドレスが含まれます。
stag additional.fields ベンダー固有の追加フィールド。
start additional.fields ベンダー固有の追加フィールド。
status_code additional.fields ベンダー固有の追加フィールド。
subject network.email.subject email.subject が含まれます。
threatsInfoMap_campaignID security_result.rule_id クエリの時点で脅威が属しているキャンペーンの識別子（わかる場合）。これらのイベントが取得された後でも、脅威をキャンペーンにリンクできます。
threatsInfoMap_classification security_result.category、
security_result.category_details		 悪意のある URL の脅威カテゴリ。
threatsInfoMap_detectionType security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
threatsInfoMap_threatID security_result.threat_id 脅威 ID の詳細が含まれます。
threatsInfoMap_threatTime messageTime が空の場合は metadata.event_timestamp Proofpoint が threatStatus を割り当てた時刻。
threatsInfoMap_threatTime security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
threatsInfoMap_threatType security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
threatsInfoMap_threatUrl security_result.url_back_to_product Proofpoint の脅威インテリジェンス、サンドボックス分析、フォレンジックの詳細を表示するためにリダイレクトされる URL が含まれます。
threatStatistics_families_name0 security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
threatStatistics_families_score0 security_result.detection_fields ベンダー固有のセキュリティ検出フィールド。
url security_result.about.url 実際の不審な URL または悪意のある URL。
version additional.fields ベンダー固有の追加フィールド。
vip additional.fields ベンダー固有の追加フィールド。
xmailer security_result.detection_fields X-Mailer: ヘッダー（存在する場合）またはベンダー固有のセキュリティ検出フィールドの内容。

UDM マッピング デルタ リファレンス

2025 年 9 月 9 日に、Google SecOps は Proofpoint TAP アラート パーサーの新しいバージョンをリリースしました。このバージョンには、Proofpoint TAP アラート ログフィールドから UDM フィールドへのマッピングの大きな変更と、イベントタイプ分類（マッピング）の更新が含まれています。

ログフィールド マッピングの差分

次の表に、Proofpoint TAP アラートのログフィールドが UDM フィールドにマッピングされる方法の変更を示します。[以前のマッピング] 列には 2025 年 9 月 9 日より前に公開されたフィールドが一覧表示され、[現在のマッピング] 列には新しいフィールドが一覧表示されます。

ログフィールド 古いマッピング 現在のマッピング
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields quarantineFolder が low priority または high priority と等しい場合は、security_result.priority にマッピングします。それ以外の場合は、security_result.detection_fields にマッピングします。
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields quarantineFolder が low priority または high priority と等しい場合は、security_result.priority にマッピングします。それ以外の場合は、security_result.detection_fields にマッピングします。
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields quarantineFolder が low priority または high priority と等しい場合、UDM フィールド security_result.priority にマッピングします。それ以外の場合は、security_result.detection_fields にマッピングします。
spamScore additional.fields security_result.detection_fields

イベントタイプ マッピングの差分

以前は汎用イベントとして分類されていた複数のイベントが、より意味のあるイベントタイプで適切に分類されるようになりました。

次の表に、2025 年 9 月 9 日より前とそれ以降の Proofpoint TAP アラート イベントタイプの処理の差分を示します（それぞれ [Old event_type] 列と [Current event_type] 列に記載されています）。

形式 ログの eventType 以前の event_type 現在の event_type
SYSLOG+KV ログに fromAddress、toAddresses、hfrom、from、value、to、rcpt、rcpts、mailer のいずれかのフィールドがある場合、proto、mod フィールドが存在します。 EMAIL_TRANSACTION
ログに mail_id の詳細のみが含まれている場合 EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
CEF ログ eventname= messagesDelivered、messagesBlocked EMAIL_TRANSACTION
ログに emails、sender、headerReplyTo、orig_recipient が含まれている場合 USER_UNCATEGORIED
ログに src、host が含まれている場合 STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered、messagesBlocked、clicksPermitted、clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。