Proofpoint TAP 알림 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Google Security Operations 피드를 설정하여 Proofpoint Targeted Attack Protection (TAP) 알림 로그를 수집하는 방법을 설명합니다.
자세한 내용은 Google SecOps 데이터 수집을 참고하세요.
수집 라벨은 원시 로그 데이터를 구조화된 UDM 형식으로 정규화하는 파서를 식별합니다. 이 문서의 정보는 PROOFPOINT_MAIL 수집 라벨이 있는 파서에 적용됩니다.
Proofpoint TAP 알림 구성
- 사용자 인증 정보를 사용하여 Proofpoint 위협 통계 포털에 로그인합니다.
- 설정 탭에서 연결된 애플리케이션을 선택합니다. 서비스 사용자 인증 정보 섹션이 표시됩니다.
- 이름 섹션에서 새 사용자 인증 정보 만들기를 클릭합니다.
- 조직 이름(예:
altostrat.com)을 입력합니다. - 생성을 클릭합니다. 생성된 서비스 사용자 인증 정보 대화상자에 서비스 주 구성원 및 보안 비밀 값이 표시됩니다.
- 서비스 주 구성원 및 보안 비밀 값을 복사합니다. 값은 생성 시에만 표시되며 Google Security Operations 피드를 구성할 때 필요합니다.
- 완료를 클릭합니다.
피드 설정
피드를 구성하려면 다음 단계를 따르세요.
- SIEM 설정 > 피드로 이동합니다.
- 새 피드 추가를 클릭합니다.
- Proofpoint 피드 팩을 클릭합니다.
- Proofpoint Tap Alerts 로그 유형을 찾습니다.
다음 필드의 값을 지정합니다.
- 소스 유형: 서드 파티 API
- 사용자 이름: 이전에 가져온 서비스 주 구성원을 지정합니다.
- 보안 비밀: 이전에 가져온 보안 비밀을 지정합니다.
고급 옵션
- 피드 이름: 피드를 식별하는 미리 입력된 값입니다.
- 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
- 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.
피드 만들기를 클릭합니다.
Google Security Operations 피드에 대한 자세한 내용은 Google Security Operations 피드 문서를 참조하세요. 각 피드 유형의 요구사항은 유형별 피드 구성을 참조하세요. 피드를 만들 때 문제가 발생하면 Google Security Operations 지원팀에 문의하세요.
필드 매핑 참조
이 파서는 JSON 또는 키-값 형식의 Proofpoint Mail 로그를 처리하여 이메일 및 네트워크 활동 세부정보를 추출합니다. 로그 필드를 UDM에 매핑하여 이메일 트랜잭션, 네트워크 HTTP 요청과 같은 이벤트를 분류하고 작업, 카테고리, 위협 정보와 같은 보안 세부정보로 보강합니다.
제한사항
PROOFPOINT_MAIL 로그를 분석할 때 실시간 수집에도 불구하고 과거 타임스탬프가 있는 이벤트가 표시될 수 있습니다. 이 동작은 Google SecOps 수집 파이프라인이 아닌 Proofpoint API에 내재되어 있습니다. Google SecOps에서 가장 최근 활동을 쿼리하는 경우에도 Proofpoint API는 며칠 전에 발생한 이벤트를 반환할 수 있습니다. Proofpoint에서 이벤트 데이터를 버퍼링하고 출시하는 방식으로 인해 PROOFPOINT_MAIL 로그 유형의 경우 event_timestamp와 ingestion_time 간에 불일치가 예상됩니다. 자세한 내용은 Proofpoint 이벤트 타임스탬프 문서를 참고하세요.
UDM 매핑 테이블
다음 표에는 형식에 따라 분류된 Proofpoint TAP 알림 원시 로그 필드와 UDM 필드의 매핑이 나와 있습니다.
클릭 관련 JSON 형식 로그 필드
| 로그 필드 | UDM 필드 | 설명 |
|---|---|---|
clicksBlocked[].classification |
security_result.category,security_result.category_details |
위협의 분류입니다 (예: malware, phish). |
clicksBlocked[].clickIP |
principal.ip,security_result.about.ip |
URL을 클릭한 사용자의 IP 주소입니다. |
clicksBlocked[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
클릭의 타임스탬프입니다. |
clicksBlocked[].GUID |
metadata.product_log_id |
클릭 이벤트의 고유 식별자입니다. |
clicksBlocked[].guid |
metadata.product_log_id |
클릭 이벤트의 고유 식별자입니다. |
clicksBlocked[].id |
additional.fields["id"] |
고유 클릭 식별자입니다. |
clicksBlocked[].messageID |
network.email.mail_id |
원본 이메일 메시지 ID입니다. |
clicksBlocked[].recipient |
network.email.to,target.user.email_addresses |
수신자의 이메일 주소입니다. |
clicksBlocked[].sender |
network.email.from,principal.user.email_addresses |
발신자의 이메일 주소입니다. 사용자 부분이 해싱됩니다. 도메인 부분이 일반 텍스트입니다. |
clicksBlocked[].senderIP |
principal.ip |
원래 발신자의 IP 주소입니다. |
clicksBlocked[].threatID |
security_result.threat_id |
감지된 위협의 식별자입니다. |
clicksBlocked[].threatStatus |
security_result.threat_status |
위협의 상태 (Active, Cleared 등)입니다. |
clicksBlocked[].threatTime |
metadata.event_timestamp if clicksBlocked[].clickTime is null,additional.fields["clicks_clickTime"] |
Proofpoint에서 threatStatus를 할당한 시간입니다. |
clicksBlocked[].threatUrl |
security_result.url_back_to_product |
특정 위협에 대한 TAP 대시보드의 항목 링크입니다. |
clicksBlocked[].url |
target.url,security_result.about.url |
클릭된 악성 URL입니다. |
clicksBlocked[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
클릭을 수행하는 클라이언트의 사용자 에이전트입니다. |
clicksPermitted[].classification |
security_result.category,security_result.category_details |
위협의 분류입니다 (예: malware, phish). |
clicksPermitted[].clickIP |
principal.ip,security_result.about.ip |
URL을 클릭한 사용자의 IP 주소입니다. |
clicksPermitted[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
클릭의 타임스탬프입니다. |
clicksPermitted[].GUID |
metadata.product_log_id |
클릭 이벤트의 고유 식별자입니다. |
clicksPermitted[].guid |
metadata.product_log_id |
클릭 이벤트의 고유 식별자입니다. |
clicksPermitted[].id |
additional.fields["id"] |
고유 클릭 식별자입니다. |
clicksPermitted[].messageID |
network.email.mail_id |
원본 이메일 메시지 ID입니다. |
clicksPermitted[].recipient |
network.email.to,target.user.email_addresses |
수신자의 이메일 주소입니다. |
clicksPermitted[].sender |
network.email.from,principal.user.email_addresses |
발신자의 이메일 주소입니다. 사용자 부분이 해싱됩니다. 도메인 부분이 일반 텍스트입니다. |
clicksPermitted[].senderIP |
principal.ip |
원래 발신자의 IP 주소입니다. |
clicksPermitted[].threatID |
security_result.threat_id |
감지된 위협의 식별자입니다. |
clicksPermitted[].threatStatus |
security_result.threat_status |
위협 상태 (활성, 해결됨 등)입니다. |
clicksPermitted[].threatTime |
metadata.event_timestamp if clicksPermitted[].clickTime is null,additional.fields["clicks_clickTime"] |
Proofpoint에서 threatStatus를 할당한 시간입니다. |
clicksPermitted[].threatUrl |
security_result.url_back_to_product |
특정 위협에 대한 TAP 대시보드의 항목 링크입니다. |
clicksPermitted[].url |
target.url,security_result.about.url |
클릭된 악성 URL입니다. |
clicksPermitted[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
클릭을 수행하는 클라이언트의 사용자 에이전트입니다. |
메시지 관련 JSON 형식 로그 필드
| 로그 필드 | UDM 필드 | 설명 |
|---|---|---|
messagesBlocked[].ccAddresses |
intermediary.user.email_addresses |
CC: 헤더에 포함된 이메일 주소 목록입니다. |
messagesBlocked[].cluster |
additional.fields["cluster"] |
이메일 이벤트를 처리한 특정 Proofpoint 메일 처리 클러스터 (또는 테넌트 배포)입니다. |
messagesBlocked[].clusterId |
additional.fields |
메시지를 처리한 PPS 클러스터의 이름입니다. |
messagesBlocked[].fromAddress |
messagesBlocked[].sender가 없는 경우 principal.user.email_addresses,network.email.from |
From: 헤더에 포함된 이메일 주소입니다(익숙한 이름 제외). |
messagesBlocked[].guid |
metadata.product_log_id |
PPS 내 메시지의 ID입니다. PPS에서 메시지를 식별하는 데 사용되며 항상 고유합니다. |
messagesBlocked[].GUID |
metadata.product_log_id |
PPS 내 메시지의 ID입니다. PPS에서 메시지를 식별하는 데 사용되며 항상 고유합니다. |
messagesBlocked[].headerCC |
additional.fields["headerCC "] |
headerCC 세부정보를 포함합니다. |
messagesBlocked[].headerReplyTo |
additional.fields["headerReplyTo "] |
있는 경우 친숙한 이름을 포함한 Reply-To: 헤더의 전체 콘텐츠입니다. |
messagesBlocked[].id |
additional.fields["id"] |
메시지 ID 세부정보가 포함됩니다. |
messagesBlocked[].impostorScore |
security_result.detection_fields["impostorScore"] |
메일의 사기범 점수입니다. |
messagesBlocked[].malwareScore |
security_result.detection_fields["malwareScore"] |
메일의 멀웨어 점수입니다. |
messagesBlocked[].messageID |
network.email.mail_id |
이메일 메시지의 헤더에서 추출된 Message-ID입니다. PPS에서 연결된 메시지를 조회하는 데 사용할 수 있으며 고유합니다. |
messagesBlocked[].messageParts[].contentType |
about.file.mime_type |
파일의 MIME 유형입니다. |
messagesBlocked[].messageParts[].disposition |
additional.fields["disposition "] |
메일 부분이 처리되는 방식 (예: 첨부, 인라인)입니다. 동적으로 색인이 생성됩니다. |
messagesBlocked[].messageParts[].md5 |
about.file.md5 |
메시지 부분/파일의 MD5 해시입니다. |
messagesBlocked[].messageParts[].oContentType |
additional.fields["oContentType "] |
messagePart의 선언된 Content-Type입니다. |
messagesBlocked[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
샌드박스에서의 파일 분석 상태입니다. |
messagesBlocked[].messageParts[].sha256 |
about.file.sha256 |
메시지 부분/파일의 SHA256 해시입니다. |
messagesBlocked[].messagesBlocked[].messageParts[].filename |
about.file.full_path |
파일 또는 첨부파일의 이름입니다. |
messagesBlocked[].messageSize |
additional.fields["messageSize"] |
헤더와 첨부파일을 포함한 메일의 크기(바이트)입니다. |
messagesBlocked[].messageTime |
metadata.event_timestamp |
메일이 사용자에게 전송되었거나 PPS에 의해 스팸 격리된 시간입니다. |
messagesBlocked[].modulesRun |
additional.fields["modulesRun"] |
메시지를 처리한 PPS 모듈 목록입니다. |
messagesBlocked[].phishScore |
security_result.detection_fields["phishScore"] |
메일의 피싱 점수입니다. |
messagesBlocked[].policyRoutes |
additional.fields["PolicyRoutes"] |
PPS에서 처리하는 동안 메일이 일치한 정책 경로입니다. |
messagesBlocked[].QID |
additional.fields["QID"] |
PPS 내 메시지의 대기열 ID입니다. PPS에서 메시지를 식별하는 데 사용할 수 있으며 고유하지 않습니다. |
messagesBlocked[].quarantineFolder |
messagesBlocked[].quarantineFolder이 '낮은 우선순위' 또는 '높은 우선순위'인 경우 security_result.priority, 그렇지 않은 경우 security_result.detection_fields ["quarantineFolder"] |
스팸으로 분류된 메일이 포함된 폴더의 이름입니다. |
messagesBlocked[].recipient |
network.email.to |
수신자의 이메일 주소가 포함된 배열입니다. |
messagesBlocked[].replyToAddress |
유효한 이메일인 경우 network.email.reply_to,그렇지 않은 경우 additional.fields["replyTo"] |
Reply-To: 헤더에 포함된 이메일 주소입니다. |
messagesBlocked[].sender |
network.email.from |
발신자의 이메일 주소입니다. |
messagesBlocked[].senderIP |
principal.ip,principal.asset.ip |
발신자의 이메일 주소입니다. |
messagesBlocked[].spamScore |
security_result.detection_fields["spamScore"] |
메일의 스팸 점수입니다. |
messagesBlocked[].subject |
network.email.subject |
이메일 제목입니다. |
messagesBlocked[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
수신자에게 할당된 내부 하위 조직 ID의 배열입니다. |
messagesBlocked[].suborgs.sender |
additional.fields["suborgsSender"] |
발신자에게 할당된 내부 하위 조직 ID입니다. |
messagesBlocked[].threatsInfoMap[].campaignId |
security_result.rule_id |
위협이 속한 캠페인의 식별자입니다(쿼리 시점에 사용 가능한 경우). 이러한 이벤트가 검색된 후에도 위협을 캠페인에 연결할 수 있습니다. |
messagesBlocked[].threatsInfoMap[].campaignID |
security_result.rule_id |
위협이 속한 캠페인의 식별자입니다(쿼리 시점에 사용 가능한 경우). 이러한 이벤트가 검색된 후에도 위협을 캠페인에 연결할 수 있습니다. |
messagesBlocked[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
메시지에서 발견된 위협의 카테고리입니다. |
messagesBlocked[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
메시지의 재작성 상태입니다. 값이 true이면 메시지 내의 모든 URL 위협이 성공적으로 다시 작성된 것입니다. 값이 false이면 하나 이상의 위협 URL 인스턴스가 다시 작성되지 않았습니다. 값이 na이면 메시지에 URL 기반 위협이 포함되지 않았습니다. |
messagesBlocked[].threatsInfoMap[].detectionType |
security_result.detection_fields |
새 필드 detectionType 및 ThreatInfo이 응답에 추가되었습니다. |
messagesBlocked[].threatsInfoMap[].threat |
threatType이 url인 경우 security_result.about.url,attachment인 경우 security_result.about.file.sha256,messageText인 경우 security_result.about.resource.name,값이 Email이고 키가 threatType인 경우 result.about.resource.attribute.labels,security_result.about.resource.name,security_result.about.resource.attribute.labels |
위협이 첨부파일, URL 또는 메시지 유형인지 여부입니다. |
messagesBlocked[].threatsInfoMap[].threatID |
security_result.threat_id |
이 위협과 연결된 고유 식별자입니다. 포렌식 및 캠페인 엔드포인트를 쿼리하는 데 사용할 수 있습니다. |
messagesBlocked[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
액터의 ID에 관한 세부정보가 포함된 구조체의 배열입니다. |
messagesBlocked[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
액터의 ID에 관한 세부정보가 포함된 구조체의 배열입니다. |
messagesBlocked[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
액터의 ID에 관한 세부정보가 포함된 구조체의 배열입니다. |
messagesBlocked[].threatsInfoMap[].threatStatus |
security_result.threat_status |
위협의 현재 상태입니다. |
messagesBlocked[].threatsInfoMap[].threatTime |
messagesBlocked[].messageTime이 없는 경우 metadata.event_timestamp,security_result.detection_fields |
Proofpoint에서 threatStatus를 할당한 시간입니다. |
messagesBlocked[].threatsInfoMap[].threatType |
security_result.threat_name |
데이터에서 반환될 위협 유형을 지정하는 문자열입니다. |
messagesBlocked[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
TAP 대시보드의 위협에 관한 항목 링크 |
messagesBlocked[].toAddresses |
target.user.email_addresses |
To: 헤더에 포함된 이메일 주소 목록입니다. |
messagesBlocked[].xmailer |
security_result.detection_fields["xmailer"] |
X-Mailer: 헤더의 콘텐츠입니다. |
messagesDelivered[].ccAddresses |
intermediary.user.email_addresses |
CC: 헤더에 포함된 이메일 주소 목록입니다. |
messagesDelivered[].cluster |
additional.fields["cluster"] |
이메일 이벤트를 처리한 특정 Proofpoint 메일 처리 클러스터 (또는 테넌트 배포)입니다. |
messagesDelivered[].clusterId |
additional.fields |
메시지를 처리한 PPS 클러스터의 이름입니다. |
messagesDelivered[].fromAddress |
messagesDelivered[].sender가 없는 경우 principal.user.email_addresses,network.email.from |
From: 헤더에 포함된 이메일 주소입니다(익숙한 이름 제외). |
messagesDelivered[].GUID |
metadata.product_log_id |
PPS 내 메시지의 ID입니다. PPS에서 메시지를 식별하는 데 사용되며 항상 고유합니다. |
messagesDelivered[].guid |
metadata.product_log_id |
PPS 내 메시지의 ID입니다. PPS에서 메시지를 식별하는 데 사용되며 항상 고유합니다. |
messagesDelivered[].headerCC |
additional.fields["headerCC "] |
headerCC 세부정보를 포함합니다. |
messagesDelivered[].headerReplyTo |
additional.fields["headerReplyTo "] |
있는 경우 친숙한 이름을 포함한 Reply-To: 헤더의 전체 콘텐츠입니다. |
messagesDelivered[].id |
additional.fields["id "] |
메시지 ID 세부정보가 포함됩니다. |
messagesDelivered[].impostorScore |
security_result.detection_fields["impostorScore"] |
메일의 사기범 점수입니다. |
messagesDelivered[].malwareScore |
security_result.detection_fields["malwareScore"] |
메일의 멀웨어 점수입니다. |
messagesDelivered[].messageID |
network.email.mail_id |
이메일 메시지의 헤더에서 추출된 Message-ID입니다. PPS에서 연결된 메시지를 조회하는 데 사용할 수 있으며 고유하지 않습니다. |
messagesDelivered[].messageParts[].contentType |
about.file.mime_type |
파일의 MIME 유형입니다. |
messagesDelivered[].messageParts[].disposition |
additional.fields["disposition "] |
메일 부분이 처리되는 방식 (예: 첨부, 인라인)입니다. 동적으로 색인이 생성됩니다. |
messagesDelivered[].messageParts[].md5 |
about.file.md5 |
메시지 부분/파일의 MD5 해시입니다. |
messagesDelivered[].messageParts[].oContentType |
additional.fields["oContentType "] |
messagePart의 선언된 Content-Type입니다. |
messagesDelivered[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
샌드박스에서의 파일 분석 상태입니다. |
messagesDelivered[].messageParts[].sha256 |
about.file.sha256 |
메시지 부분/파일의 SHA256 해시입니다. |
messagesDelivered[].messagesDelivered[].messageParts[].filename |
about.file.full_path |
파일 또는 첨부파일의 이름입니다. |
messagesDelivered[].messageSize |
additional.fields["messageSize"] |
헤더와 첨부파일을 포함한 메일의 크기(바이트)입니다. |
messagesDelivered[].messageTime |
metadata.event_timestamp |
메일이 사용자에게 전송되었거나 PPS에 의해 스팸 격리된 시간입니다. |
messagesDelivered[].modulesRun |
additional.fields["modulesRun"] |
메시지를 처리한 PPS 모듈 목록입니다. |
messagesDelivered[].phishScore |
security_result.detection_fields["phishScore"] |
메일의 피싱 점수입니다. |
messagesDelivered[].policyRoutes |
additional.fields["PolicyRoutes"] |
PPS에서 처리하는 동안 메일이 일치한 정책 경로입니다. |
messagesDelivered[].QID |
additional.fields["QID"] |
PPS 내 메시지의 대기열 ID입니다. PPS에서 메시지를 식별하는 데 사용할 수 있으며 고유하지 않습니다. |
messagesDelivered[].quarantineFolder |
messagesDelivered[].quarantineFolder이 '낮은 우선순위' 또는 '높은 우선순위'인 경우 security_result.priority, 그렇지 않은 경우 security_result.detection_fields ["quarantineFolder"] |
스팸으로 분류된 메일이 포함된 폴더의 이름입니다. |
messagesDelivered[].recipient |
network.email.to |
수신자의 이메일 주소가 포함된 배열입니다. |
messagesDelivered[].replyToAddress |
유효한 이메일인 경우 network.email.reply_to,그렇지 않은 경우 additional.fields ["replyTo"] |
Reply-To: 헤더에 포함된 이메일 주소입니다. |
messagesDelivered[].senderIP |
principal.ip,principal.asset.ip |
발신자의 이메일 주소입니다. |
messagesDelivered[].spamScore |
security_result.detection_fields["spamScore"] |
메일의 스팸 점수입니다. |
messagesDelivered[].subject |
network.email.subject |
이메일 제목입니다. |
messagesDelivered[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
수신자에게 할당된 내부 하위 조직 ID의 배열입니다. |
messagesDelivered[].suborgs.sender |
additional.fields["suborgsSender"] |
발신자에게 할당된 내부 하위 조직 ID |
messagesDelivered[].threatsInfoMap[].campaignId |
security_result.rule_id |
위협이 속한 캠페인의 식별자입니다(쿼리 시점에 사용 가능한 경우). 이러한 이벤트가 검색된 후에도 위협을 캠페인에 연결할 수 있습니다. |
messagesDelivered[].threatsInfoMap[].campaignID |
security_result.rule_id |
위협이 속한 캠페인의 식별자입니다(쿼리 시점에 사용 가능한 경우). 이러한 이벤트가 검색된 후에도 위협을 캠페인에 연결할 수 있습니다. |
messagesDelivered[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
메시지에서 발견된 위협의 카테고리입니다. |
messagesDelivered[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
메시지의 재작성 상태입니다. 값이 true이면 메시지 내의 모든 URL 위협이 성공적으로 다시 작성된 것입니다. 값이 false이면 하나 이상의 위협 URL 인스턴스가 다시 작성되지 않았습니다. 값이 na이면 메시지에 URL 기반 위협이 포함되지 않았습니다. |
messagesDelivered[].threatsInfoMap[].detectionType |
security_result.detection_fields |
새 필드 detectionType 및 ThreatInfo이 응답에 추가되었습니다. |
messagesDelivered[].threatsInfoMap[].threat |
threatType이 url인 경우 security_result.about.url, threatType이 attachment인 경우 security_result.about.file.sha256, threatType이 messageText인 경우 security_result.about.resource.name, 그 외의 경우 security_result.about.resource.name, 값 Email 및 키 threatType, security_result.about.resource.name, security_result.about.resource.attribute.labels이 있는 result.about.resource.attribute.labels |
위협이 첨부파일, URL 또는 메시지 유형인지 여부입니다. |
messagesDelivered[].threatsInfoMap[].threatID |
security_result.threat_id |
이 위협과 연결된 고유 식별자입니다. 포렌식 및 캠페인 엔드포인트를 쿼리하는 데 사용할 수 있습니다. |
messagesDelivered[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
액터의 ID에 관한 세부정보가 포함된 구조체의 배열입니다. |
messagesDelivered[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
액터의 ID에 관한 세부정보가 포함된 구조체의 배열입니다. |
messagesDelivered[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
액터의 ID에 관한 세부정보가 포함된 구조체의 배열입니다. |
messagesDelivered[].threatsInfoMap[].threatStatus |
security_result.threat_status |
위협의 현재 상태입니다. |
messagesDelivered[].threatsInfoMap[].threatTime |
messagesDelivered[].messageTime이 없는 경우 metadata.event_timestamp,security_result.detection_fields |
Proofpoint에서 threatStatus를 할당한 시간입니다. |
messagesDelivered[].threatsInfoMap[].threatType |
security_result.threat_name |
데이터에서 반환될 위협 유형을 지정하는 문자열입니다. |
messagesDelivered[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
TAP 대시보드의 위협에 관한 항목 링크 |
messagesDelivered[].toAddresses |
target.user.email_addresses |
To: 헤더에 포함된 이메일 주소 목록입니다. |
messagesDelivered[].xmailer |
security_result.detection_fields["xmailer"] |
X-Mailer: 헤더의 콘텐츠입니다. |
msg.accountType |
공급업체별 추가 필드입니다. | |
msg.address |
principal.user.email_addresses |
위협 활동에 대해 모니터링되거나 평가되는 계정과 연결된 특정 이메일 주소입니다. |
msg.dashboardLink |
security_result.url_back_to_product |
위협 통계 대시보드 링크입니다. |
msg.deliveredMessages |
공급업체별 추가 필드입니다. | |
msg.eventTime |
messageTime 및 threatTime가 비어 있는 경우 metadata.event_timestamp |
이 위협 관찰 또는 로그 이벤트가 생성된 정확한 UTC 타임스탬프입니다. |
msg.highRisk |
security_result.action |
Proofpoint에서 이 계정을 보안 위험 또는 손상 수준이 높은 것으로 분류하는지 여부를 나타내는 불리언 플래그 (true/false)입니다. |
msg.identity |
공급업체별 추가 필드입니다. | |
msg.maliciousMessages |
공급업체별 추가 필드입니다. | |
msg.observations[] |
additional.fields["observations"] | Proofpoint 알고리즘에서 플래그를 지정한 특정 위협 인텔리전스 행동 태그 또는 비정상 징후 목록입니다. |
msg.timeRanges[].end |
additional.fields |
이 계정에서 의심스러운 행동 또는 위협 지표가 적극적으로 관찰된 시점을 보여주는 시간 범위 배열입니다. |
msg.timeRanges[].falsePositive |
additional.fields |
이 계정에서 의심스러운 행동 또는 위협 지표가 적극적으로 관찰된 시점을 보여주는 시간 범위 배열입니다. |
msg.timeRanges[].start,msg |
additional.fields |
이 계정에서 의심스러운 행동 또는 위협 지표가 적극적으로 관찰된 시점을 보여주는 시간 범위 배열입니다. |
msg.trafficType |
공급업체별 추가 필드입니다. | |
queryEndTime |
metadata.collected_timestamp |
데이터를 쿼리한 기간이 종료된 시간입니다. |
sender_domain |
principal.domain.name |
발신자의 도메인 이름으로 구성된 messagesBlocked[].fromAddress 또는 messagesDelivered[].fromAddress에서 추출됩니다. |
Syslog 형식 로그 필드
| 로그 필드 | UDM 필드 | 설명 |
|---|---|---|
a |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
action |
security_result.action,security_result.action_details |
작업 세부정보가 포함되어 있습니다. |
active |
security_result.threat_status |
위협 상태입니다. |
adjust |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
adultscore |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
application |
principal.application |
주 애플리케이션 세부정보를 포함합니다. |
attachments |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
bits |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
bulkscore |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
campaignID |
security_result.rule_id |
위협이 속한 캠페인의 식별자입니다(쿼리 시점에 사용 가능한 경우). 이러한 이벤트가 검색된 후에도 위협을 캠페인에 연결할 수 있습니다. |
ccAddresses |
intermediary.user.email_addresses |
CC: 헤더에 포함된 이메일 주소 목록입니다. |
cid |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
cipher |
network.tls.cipher |
tls.cipher 세부정보를 포함합니다. |
cipher_bits |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
class |
security_result.category,security_result.category_details |
악성 URL의 위협 카테고리입니다. |
classifier |
security_result.category |
메시지에서 발견된 위협의 카테고리입니다. |
clickIP |
security_result.about.ip, principal.ip,principal.asset.ip |
링크를 클릭한 사용자의 외부 IP 주소입니다. 사용자가 네트워크 주소 변환을 실행하는 방화벽 뒤에 있는 경우 방화벽의 IP 주소가 표시됩니다. |
clickTime |
messageTime이 없는 경우 metadata.event_timestamp |
사용자가 URL을 클릭한 시간입니다. |
cluster |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
clusterId |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
clx_result_group |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
clx_score |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
clx_shade |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
clxscore |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
cmd |
STS가 비어 있지 않으면 network.http.method,그렇지 않으면 principal.process.command_line |
STS가 비어 있지 않으면 HTTP 메서드가 포함되고, 비어 있으면 명령줄 세부정보가 포함됩니다. |
completelyRewritten |
security_result.action,security_result.detection_fields["completelyRewritten"] |
메시지의 재작성 상태입니다. 값이 true이면 메시지 내의 모든 URL 위협이 성공적으로 다시 작성된 것입니다. 값이 false이면 하나 이상의 위협 URL 인스턴스가 다시 작성되지 않았습니다. 값이 na이면 메시지에 URL 기반 위협이 포함되지 않았습니다. |
corrupted |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
country |
principal.location.country_or_region |
국가 세부정보가 포함됩니다. |
daemon |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
date_log |
messageTime, clickTime, threatTime가 없는 경우 metadata.event_timestamp |
syslog에 있는 타임스탬프입니다. |
date_log_rebase |
messageTime, clickTime, threatTime가 없는 경우 metadata.event_timestamp |
syslog에 있는 타임스탬프입니다. |
default |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
definitions |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
delay |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
dict |
security_result.category_details |
category_details를 포함합니다. |
dnsid |
network.dns.id |
DNS ID 세부정보가 포함되어 있습니다. |
domain |
principal.administrative_domain |
administrative_domain 세부정보를 포함합니다. |
dsn |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
duration |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
eid |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
elapsed |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
engine |
metadata.product_version |
product_version 세부정보를 포함합니다. |
envid |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
err |
security_result.description |
설명. |
evt |
extensions.auth.auth_details |
인증 세부정보입니다. |
expires |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
file |
about.process.file.full_path |
파일 전체 경로 세부정보를 포함합니다. |
from |
network.email.from |
발신자의 이메일을 포함합니다. |
fromAddress |
network.email.from |
From: 헤더에 포함된 이메일 주소입니다. |
guid |
metadata.product_log_id |
PPS 내 메시지의 ID입니다. PPS에서 메시지를 식별하는 데 사용되며 항상 고유합니다. |
hdr_mid |
network.email.mail_id |
mail_id 세부정보를 포함합니다. |
headerFrom |
additional.fields["headerFrom"] |
친근한 이름을 포함한 From: 헤더의 전체 콘텐츠입니다. |
headerReplyTo |
additional.fields["headerReplyTo"] |
있는 경우 Reply-To: 헤더의 전체 콘텐츠입니다. |
headerTo |
additional.fields |
공급업체별 추가 필드입니다. |
helo |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
hfrom |
network.email.from |
발신자의 이메일 주소가 포함됩니다. |
hfrom_domain |
principal.administrative_domain |
administrative_domain 세부정보를 포함합니다. |
hops-ip |
intermediary.ip |
중개자 IP 주소를 포함합니다. |
host |
principal.hostname |
호스트 이름 세부정보가 포함됩니다. |
id |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
id |
additional.fields |
공급업체별 추가 필드입니다. |
impostor_score |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
impostorScore |
security_result.detection_fields |
메일의 사기범 점수입니다. |
inter_host |
intermediary.hostname |
중간 호스트 이름 세부정보가 포함되어 있습니다. |
intermediary_hostname |
intermediary.hostname |
중간 호스트 이름을 포함합니다. |
intermediary_ip |
intermediary.ip |
중개자 IP 주소를 포함합니다. |
ip |
principal.ip,principal.asset.ip |
발신자의 IP 주소를 포함합니다. |
len |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
lint |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
lip |
intermediary.ip |
중개자 IP 주소를 포함합니다. |
log_level |
security_result.severity |
심각도 세부정보가 포함되어 있습니다. |
lowpriorityscore |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
m |
network.email.mail_id |
mail_id 세부정보를 포함합니다. |
mailer |
network.application_protocol |
application_protocol 세부정보를 포함합니다. |
malwareScore |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
messageID |
network.email.mail_id |
이메일 메시지의 헤더에서 추출된 Message-ID입니다. |
messageParts[].contentType |
about.file.mime_type |
파일의 MIME 유형입니다. |
messageParts[].disposition |
additional.fields["disposition "] |
메일 부분이 처리되는 방식 (예: 첨부, 인라인)입니다. 동적으로 색인이 생성됩니다. |
messageParts[].filename |
about.file.full_path |
파일 또는 첨부파일의 이름입니다. |
messageParts[].md5 |
about.file.md5 |
메시지 부분/파일의 MD5 해시입니다. |
messageParts[].oContentType |
additional.fields["oContentType "] |
messagePart의 선언된 Content-Type입니다. |
messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
샌드박스에서의 파일 분석 상태입니다. |
messageParts[].sha256 |
about.file.sha256 |
메시지 부분/파일의 SHA256 해시입니다. |
messageTime |
metadata.event_timestamp |
메일이 사용자에게 전송되었거나 PPS에 의해 스팸 격리된 시간입니다. |
mime |
principal.process.file.mime_type |
mime_type 파일 세부정보를 포함합니다. |
mlxscore |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
mod |
network.application_protocol |
application_protocol 세부정보를 포함합니다. |
module |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
modulesRun |
security_result.detection_fields |
메시지를 처리한 PPS 모듈 목록입니다. |
modulesRun |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
msg |
security_result.description |
설명. |
msghold_response |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
msgid |
network.email.mail_id |
mail_id 세부정보를 포함합니다. |
msgs |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
name |
about.process.file.full_path |
파일의 전체 경로를 포함합니다. |
notroutes |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
nrcpts |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
path |
principal.url |
URL 세부정보가 포함되어 있습니다. |
phishscore |
security_result.detection_fields |
메일의 피싱 점수입니다. |
pid |
principal.process.pid |
PID 세부정보가 포함되어 있습니다. |
policy |
network.direction |
네트워크 흐름을 설명합니다. 인바운드/아웃바운드 값을 포함합니다. |
pri |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
principal_hostname |
principal.hostname,principal.asset.hostname |
주 구성원 호스트 이름 세부정보를 포함합니다. |
principal_ip_1 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_2 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_3 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_4 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_5 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_6 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_7 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_8 |
principal.ip,principal.assest.ip |
주 구성원 IP 세부정보를 포함합니다. |
principal_ip_port_1 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_ip_port_2 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_ip_port_3 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_ip_port_4 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_ip_port_5 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_ip_port_6 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_ip_port_7 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_ip_port_8 |
principal.resource.attribute.labels |
주 포트 세부정보를 포함합니다. |
principal_pid |
principal.process.pid |
프로세스 PID를 캡처합니다. |
priority_score |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
priorityscore |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
profile |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
prot |
network.application_protocol |
application_protocol 세부정보를 포함합니다. |
protected |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
proto |
network.application_protocol |
application_protocol 세부정보를 포함합니다. |
pss |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
qid |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
quarantineFolder |
security_result.priority |
스팸으로 분류된 메일이 포함된 폴더의 이름입니다. |
quarantineRule |
security_result.rule_name |
메일을 스팸으로 분류한 규칙의 이름입니다. |
query |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
querydepth |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
rcode |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
rcpt |
network.email.to | 수신자의 이메일 주소를 포함합니다. |
rcpts |
network.email.to | 수신자의 이메일 주소를 포함합니다. |
reason |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
recipient |
target.user.email_addresses |
수신자 이메일 세부정보가 포함됩니다. |
reject |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
reply |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
replyToAddress |
network.email.reply_to | Reply-To: 헤더에 포함된 이메일 주소입니다. |
resolve |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
restquery_stage |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
result |
security_result.action |
작업 세부정보가 포함되어 있습니다. |
result |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
result_detail |
security_result.description |
설명을 제공합니다. |
reverse |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
routes |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
rss |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
rule |
security_result.rule_name |
rule_name를 포함합니다. |
s |
network.session_id |
session_id 세부정보를 포함합니다. |
scancount |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
scope |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
score |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
selector |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
sender |
principal.user.email_addresses |
발신자 이메일 세부정보를 포함합니다. |
senderIP |
principal.ip,principal.assest.ip |
발신자 IP 세부정보를 포함합니다. |
sendmail_queue_id |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
sha256 |
security_result.about.file.sha256 |
SHA256 파일 세부정보입니다. |
size |
principal.process.file.size` | 파일 크기 세부정보가 포함됩니다. |
smtputf8 |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
spamscore |
security_result.detection_fields |
메일의 스팸 점수입니다. |
src_host |
principal.hostname,principal.asset.hostname |
주 구성원 호스트 이름 세부정보를 포함합니다. |
STARTTLS |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
stat |
additional.fields |
상태 세부정보가 포함됩니다. |
status |
additional.fields |
상태 세부정보가 포함됩니다. |
sts |
network.http.response_code |
response_code 데이터를 포함합니다. |
subject |
network.email.subject |
email.subject를 포함합니다. |
subject |
network.email.subject |
이메일 제목 세부정보를 포함합니다. |
suspectscore |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
sys |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
sz |
principal.process.file.size |
파일 크기 세부정보가 포함됩니다. |
tests |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
threat |
threatType이 url이면 security_result.about.url, threatType이 attachment이면 security_result.about.file.sha256, threatType이 messageText이면 security_result.about.resource.name, 값이 Email이고 키가 threatTypesecurity_result.about.resource.name인 result.about.resource.attribute.labels, 키가 ["threatType"]인 security_result.about.resource.attribute.labels |
|
threatID |
security_result.threat_id |
위협 ID 세부정보가 포함됩니다. |
threatsInfoMap[].campaignID |
security_result1.rule_id |
위협이 속한 캠페인의 식별자입니다(쿼리 시점에 사용 가능한 경우). 이러한 이벤트가 검색된 후에도 위협을 캠페인에 연결할 수 있습니다. |
threatsInfoMap[].classification |
security_result.categorysecurity_result.category_details |
메시지에서 발견된 위협의 카테고리입니다. |
threatsInfoMap[].threat |
threatType이 url이면 security_result.about.url, threatType이 attachment이면 security_result.about.file.sha256, threatType이 messageText이면 security_result.about.resource.name, 그렇지 않으면 값 Email 및 키 threatsInfoMap[].threatTypesecurity_result.about.resource.name이 있는 result.about.resource.attribute.labels, 키 ["threatType"]이 있는 security_result.about.resource.attribute.labels |
메일 내에서 감지된 위협에 관한 세부정보가 포함된 구조의 배열입니다. 메일당 위협이 두 개 이상 있을 수 있습니다. |
threatsInfoMap[].threatID |
security_result.threat_id |
위협 ID 세부정보가 포함됩니다. |
threatsInfoMap[].threatStatus |
security_result.threat_status |
위협의 현재 상태입니다. |
threatsInfoMap[].threatTime |
messageTime 및 clickTime가 없는 경우 metadata.event_timestampsecurity_result.detection_fields |
|
threatsInfoMap[].threatType |
threatType이 url이면 security_result.about.urlthreatType이 attachment이면 threatType이 messageText이면 security_result.about.file.sha256result.about.resource.attribute.labels (값 Email 및 키 threatsInfoMap[].threatType)security_result.about.resource.name,security_result.about.resource.attribute.labels (키 ["threatType"])security_result.about.resource.name |
메일 내에서 감지된 위협에 관한 세부정보가 포함된 구조의 배열입니다. 메일당 위협이 두 개 이상 있을 수 있습니다. |
threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
특정 위협에 대한 TAP 대시보드의 항목 링크입니다. |
threatStatus |
security_result.threat_status |
위협의 현재 상태입니다. |
threatTime |
messageTime 및 clickTime가 없는 경우 metadata.event_timestamp |
Proofpoint에서 URL을 위협으로 식별한 시간입니다. |
threatType |
threatType이 url이면 security_result.about.url, threatType이 attachment이면 security_result.about.file.sha256, threatType이 messageText이면 security_result.about.resource.name, 값이 Email이고 키가 threatTypesecurity_result.about.resource.name인 result.about.resource.attribute.labels, 키가 ["threatType"]인 security_result.about.resource.attribute.labels |
|
threatURL |
security_result.url_back_to_product |
특정 위협에 대한 TAP 대시보드의 항목 링크입니다. |
threshold |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
tls |
network.tls.cipher |
tls.cipher 세부정보를 포함합니다. |
tls-alert |
security_result.description |
설명을 제공합니다. |
tls_verify |
security_result.action |
확인 세부정보가 포함되어 있습니다. |
tls_version |
network.tls.version |
TLS 버전 세부정보가 포함되어 있습니다. |
to |
network.email.to |
수신자의 이메일 주소를 포함합니다. |
toAddresses |
network.email.to |
To: 헤더에 포함된 이메일 주소 목록입니다. |
token |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
ts |
messageTime, clickTime, threatTime가 없는 경우 metadata.event_timestamp |
syslog에 있는 타임스탬프입니다. |
type |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
uri |
principal.url |
URL 세부정보가 포함되어 있습니다. |
url_count |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
userAgent |
network.http.user_agent,network.http.parsed_user_agent |
HTTP 사용자 에이전트입니다. |
value |
network.email.from |
발신자의 이메일 주소가 포함됩니다. |
vendor |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
verify |
security_result.action |
확인 세부정보가 포함되어 있습니다. |
version |
network.tls.version |
TLS 버전 세부정보가 포함되어 있습니다. |
virtual |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
virusthreat |
security_result.threat_name |
위협 이름 세부정보가 포함됩니다. |
virusthreatid |
security_result.threat_id |
위협 ID 세부정보가 포함됩니다. |
warn |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
x |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
X-Proofpoint-Spam-Details |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
xdelay |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
xmailer |
security_result.detection_fields |
X-Mailer: 헤더의 콘텐츠(있는 경우) 또는 공급업체별 보안 감지 필드입니다. |
CEF 로그 필드
| 로그 필드 | UDM 필드 | 설명 |
|---|---|---|
cluster |
additional.fields |
공급업체별 추가 필드입니다. |
file_hash |
principal.file.md5 |
파일 MD5 세부정보를 포함합니다. |
file_name |
principal.file.full_path |
경로를 포함합니다. |
GUID |
metadata.product_log_id |
product_log_id를 포함합니다. |
guid |
metadata.product_log_id |
product_log_id를 포함합니다. |
headerFrom |
additional.fields |
From: 헤더의 전체 콘텐츠입니다. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Reply-To: 헤더의 전체 콘텐츠입니다. |
host |
principal.hostname,principal.assest.hostname |
주 구성원 호스트 이름을 포함합니다. |
id |
additional.fields |
UDM 모델의 공식 섹션 내에서 적절하게 표현할 수 없는 공급업체별 이벤트 데이터가 포함된 추가 필드입니다. |
id |
additional.fields |
공급업체별 추가 필드입니다. |
impostorScore |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
malwareScore |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
message_id |
network.email.mail_id |
mail_id 세부정보를 포함합니다. |
messageParts_contentType |
principal.file.mime_type |
이메일 메시지의 특정 부분/구성요소의 MIME 유형을 나타냅니다. |
messageParts_disposition |
additional.fields |
공급업체별 추가 필드입니다. |
messageParts_oContentType |
additional.fields |
공급업체별 추가 필드입니다. |
messageParts_sandboxStatus |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
messageParts_sha256 |
principal.file.sha256 |
파일 256 세부정보를 포함합니다. |
messageTime |
metadata.event_timestamp |
메일이 사용자에게 전송되거나 PPS에 의해 스팸 격리된 시간입니다. |
modulesRun |
security_result.detection_fields |
메시지를 처리한 PPS 모듈 목록입니다. |
modulesRun |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
orig_dest |
network.email.to |
이메일이 게이트웨이에 도달했을 때 초기 SMTP 봉투/헤더에 있는 이메일 주소입니다. |
orig_recipient |
target.user.email_addresses |
수신자의 이메일 주소입니다. |
orig_src |
network.email.from |
소스의 이메일 주소입니다. |
policyRoutes |
additional.fields |
공급업체별 추가 필드입니다. |
process_id |
principal.process.pid |
프로세스 PID 세부정보가 포함되어 있습니다. |
QID |
additional.fields |
PPS 내 메시지의 대기열 ID입니다. PPS에서 메시지를 식별하는 데 사용할 수 있으며 고유하지 않습니다. |
quarantineFolder |
security_result.priority |
스팸으로 분류된 메일이 포함된 폴더의 이름입니다. |
quarantineRule |
security_result.rule_name |
메일을 스팸으로 분류한 규칙의 이름입니다. |
return_addr |
principal.user.email_addresses |
SMTP 전송 중에 지정된 엔벨로프 주소 (MAIL FROM)입니다. |
rt |
additional.fields |
공급업체별 추가 필드입니다. |
sender |
principal.user.email_addresses |
발신자의 이메일 주소가 포함됩니다. |
src |
principal.ip,principal.asset.ip |
주 구성원 IP 주소를 포함합니다. |
stag |
additional.fields |
공급업체별 추가 필드입니다. |
start |
additional.fields |
공급업체별 추가 필드입니다. |
status_code |
additional.fields |
공급업체별 추가 필드입니다. |
subject |
network.email.subject |
email.subject를 포함합니다. |
threatsInfoMap_campaignID |
security_result.rule_id |
위협이 속한 캠페인의 식별자입니다(쿼리 시점에 사용 가능한 경우). 이러한 이벤트가 검색된 후에도 위협을 캠페인에 연결할 수 있습니다. |
threatsInfoMap_classification |
security_result.category,security_result.category_details |
악성 URL의 위협 카테고리입니다. |
threatsInfoMap_detectionType |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
threatsInfoMap_threatID |
security_result.threat_id |
위협 ID 세부정보가 포함됩니다. |
threatsInfoMap_threatTime |
messageTime이 비어 있는 경우 metadata.event_timestamp |
Proofpoint에서 threatStatus를 할당한 시간입니다. |
threatsInfoMap_threatTime |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
threatsInfoMap_threatType |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
threatsInfoMap_threatUrl |
security_result.url_back_to_product |
Proofpoint의 위협 인텔리전스, 샌드박스 분석, 포렌식 세부정보를 보기 위해 리디렉션되는 URL을 포함합니다. |
threatStatistics_families_name0 |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
threatStatistics_families_score0 |
security_result.detection_fields |
공급업체별 보안 감지 필드입니다. |
url |
security_result.about.url |
실제 의심스러운/악성 URL입니다. |
version |
additional.fields |
공급업체별 추가 필드입니다. |
vip |
additional.fields |
공급업체별 추가 필드입니다. |
xmailer |
security_result.detection_fields |
X-Mailer: 헤더의 콘텐츠(있는 경우) 또는 공급업체별 보안 감지 필드입니다. |
UDM 매핑 델타 참조
2025년 9월 9일, Google SecOps는 Proofpoint TAP 알림 로그 필드를 UDM 필드에 매핑하는 방식이 크게 변경되고 이벤트 유형 분류 (매핑)가 업데이트된 새로운 버전의 Proofpoint TAP 알림 파서를 출시했습니다.
로그 필드 매핑 델타
다음 표에는 Proofpoint TAP 알림 로그 필드가 UDM 필드에 매핑되는 방식의 변경사항이 나와 있습니다. 이전 매핑 열에는 2025년 9월 9일 이전에 노출된 필드가 표시되고 현재 매핑 열에는 새 필드가 표시됩니다.
| 로그 필드 | 이전 매핑 | 현재 매핑 |
|---|---|---|
clicks.impostorScore |
additional.fields |
security_result.detection_fields |
clicks.malwareScore |
additional.fields |
security_result.detection_fields |
clicks.phishScore |
additional.fields |
security_result.detection_fields |
clicks.quarantineFolder |
additional.fields |
quarantineFolder이 low priority 또는 high priority와 일치하는 경우 security_result.priority에 매핑합니다. 그렇지 않으면 security_result.detection_fields으로 매핑합니다. |
clicks.quarantineRule |
additional.fields |
security_result.rule_name |
clicks.sender |
about.email |
Not Mapped |
clicks.senderIP |
about.ip |
principal.ip |
clicks.spamScore |
additional.fields |
security_result.detection_fields |
impostorScore |
additional.fields |
security_result.detection_fields |
malwareScore |
additional.fields |
security_result.detection_fields |
msg.impostorScore |
additional.fields |
security_result.detection_fields |
msg.malwareScore |
additional.fields |
security_result.detection_fields |
msg.phishScore |
additional.fields |
security_result.detection_fields |
msg.quarantineFolder |
additional.fields |
quarantineFolder이 low priority 또는 high priority와 일치하는 경우 security_result.priority에 매핑합니다. 그렇지 않으면 security_result.detection_fields으로 매핑합니다. |
msg.quarantineRule |
additional.fields |
security_result.rule_name |
msg.spamScore |
additional.fields |
security_result.detection_fields |
msgPart.contentType |
additional.fields |
Not Mapped |
partData.contentType |
principal.process.file.mime_type |
about.file.mime_type |
partData.disposition |
security_result.detection_fields |
additional.fields |
partData.filename |
principal.process.file.full_path |
about.file.full_path |
partData.md5 |
principal.process.file.md5 |
about.file.md5 |
partData.sha256 |
about.file.sha1 |
about.file.sha256 |
phishScore |
additional.fields |
security_result.detection_fields |
quarantineFolder |
additional.fields |
quarantineFolder이 low priority 또는 high priority와 일치하는 경우 UDM 필드 security_result.priority에 매핑됩니다. 그렇지 않으면 security_result.detection_fields으로 매핑합니다. |
spamScore |
additional.fields |
security_result.detection_fields |
이벤트 유형 매핑 델타
이전에 일반 이벤트로 분류되었던 여러 이벤트가 이제 더 의미 있는 이벤트 유형으로 올바르게 분류됩니다.
다음 표에는 2025년 9월 9일 이전과 이후의 Proofpoint TAP 알림 이벤트 유형 처리의 델타가 나와 있습니다 (각각 이전 event_type 및 현재 event_type 열에 나열됨).
| 형식 | 로그의 eventType | 이전 event_type | 현재 event_type |
|---|---|---|---|
SYSLOG+KV |
로그에 fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts 또는 mailer,proto,mod 필드가 있는 경우 |
EMAIL_TRANSACTION |
|
로그에 mail_id 세부정보만 포함된 경우 |
EMAIL_TRANSACTION |
EMAIL_UNCATEGORIZED |
|
CEF 로그 |
eventname= messagesDelivered, messagesBlocked |
EMAIL_TRANSACTION |
|
로그에 emails, sender, headerReplyTo, orig_recipient가 있는 경우 |
USER_UNCATEGORIED |
||
로그에 src, host이 있는 경우 |
STATUS_UPDATE |
||
SYSLOG+JSON |
eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked |
EMAIL_TRANSACTION |
|
JSON |
record.address |
USER_UNCATEGORIZED |
|
lookalikeDomain.name |
STATUS_UPDATE |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.