Coletar registros de alertas do Proofpoint TAP
Compatível com:
Google SecOps
SIEM
Neste documento, descrevemos como coletar registros de alertas da Proteção contra Ataques Direcionados (TAP, na sigla em inglês) da Proofpoint configurando um feed do Google Security Operations.
Para mais informações, consulte Ingestão de dados do Google SecOps.
Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos
para o formato UDM estruturado. As informações neste documento se aplicam ao analisador
com o rótulo de ingestão PROOFPOINT_MAIL.
Configurar alertas do TAP da Proofpoint
- Faça login no portal de insights sobre ameaças da Proofpoint usando suas credenciais.
- Na guia Configurações, selecione Aplicativos conectados. A seção Credenciais de serviço é exibida.
- Na seção Nome, clique em Criar nova credencial.
- Digite o nome da sua organização, como
altostrat.com. - Clique em Gerar. Na caixa de diálogo Credencial de serviço gerada, os valores de Principal de serviço e Secret aparecem.
- Copie os valores de Service principal e Secret. Os valores são exibidos apenas no momento da criação e são necessários ao configurar o feed do Google Security Operations.
- Clique em Concluído.
Configurar feeds
Para configurar o feed, siga estas etapas:
- Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
- Clique em Adicionar novo feed.
- Clique no pacote de feed do Proofpoint.
- Localize o tipo de registro Proofpoint Tap Alerts.
Especifique os valores para os seguintes campos:
- Tipo de origem: API de terceiros
- Nome de usuário: especifique o principal de serviço que você recebeu anteriormente.
- Secret: especifique o secret que você recebeu anteriormente.
Opções avançadas
- Nome do feed: um valor predefinido que identifica o feed.
- Namespace do recurso: namespace associado ao feed.
- Rótulos de ingestão: rótulos aplicados a todos os eventos desse feed.
Clique em Criar feed.
Para mais informações sobre os feeds do Google Security Operations, consulte a documentação sobre feeds do Google Security Operations. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo. Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google Security Operations.
Referência de mapeamento de campos
Este analisador processa registros do Proofpoint Mail em formato JSON ou chave-valor, extraindo detalhes de e-mails e atividade da rede. Ele mapeia campos de registro para o UDM, categorizando eventos como transações de e-mail e solicitações HTTP de rede, e os enriquece com detalhes de segurança, como ações, categorias e informações sobre ameaças.
Limitações
Ao analisar os registros do PROOFPOINT_MAIL, você pode observar eventos com carimbos de data/hora históricos, apesar da ingestão em tempo real. Esse comportamento é inerente à API Proofpoint, não ao pipeline de ingestão do Google SecOps. Mesmo quando o Google SecOps consulta a atividade mais recente, a API Proofpoint pode retornar eventos que ocorreram vários dias antes. É esperado que haja diferenças entre event_timestamp e ingestion_time para o tipo de registro PROOFPOINT_MAIL devido à forma como o Proofpoint armazena em buffer e libera dados de eventos. Para mais detalhes, consulte a documentação do carimbo de data/hora do evento da Proofpoint.
Tabelas de mapeamento de UDM
As tabelas a seguir listam os mapeamentos de campos de registro brutos de alertas do Proofpoint TAP para campos do UDM, categorizados de acordo com o formato.
Campos de registro em formato JSON relacionados a cliques
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
clicksBlocked[].classification |
security_result.category,security_result.category_details |
A classificação da ameaça (por exemplo, malware, phish). |
clicksBlocked[].clickIP |
principal.ip,security_result.about.ip |
O endereço IP do usuário que clicou no URL. |
clicksBlocked[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
O carimbo de data/hora do clique. |
clicksBlocked[].GUID |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksBlocked[].guid |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksBlocked[].id |
additional.fields["id"] |
O identificador de clique exclusivo. |
clicksBlocked[].messageID |
network.email.mail_id |
O ID da mensagem de e-mail original. |
clicksBlocked[].recipient |
network.email.to,target.user.email_addresses |
O endereço de e-mail do destinatário. |
clicksBlocked[].sender |
network.email.from,principal.user.email_addresses |
O endereço de e-mail do remetente. A parte do usuário é criptografada com hash. A parte do domínio é texto não criptografado. |
clicksBlocked[].senderIP |
principal.ip |
O endereço IP do remetente original. |
clicksBlocked[].threatID |
security_result.threat_id |
O identificador da ameaça detectada. |
clicksBlocked[].threatStatus |
security_result.threat_status |
O status da ameaça (Active, Cleared etc.). |
clicksBlocked[].threatTime |
metadata.event_timestamp if clicksBlocked[].clickTime is null,additional.fields["clicks_clickTime"] |
A hora em que o Proofpoint atribuiu o threatStatus. |
clicksBlocked[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP referente à ameaça específica. |
clicksBlocked[].url |
target.url,security_result.about.url |
O URL malicioso que foi clicado. |
clicksBlocked[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
O user agent do cliente que faz o clique. |
clicksPermitted[].classification |
security_result.category,security_result.category_details |
A classificação da ameaça (por exemplo, malware, phish). |
clicksPermitted[].clickIP |
principal.ip,security_result.about.ip |
O endereço IP do usuário que clicou no URL. |
clicksPermitted[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
O carimbo de data/hora do clique. |
clicksPermitted[].GUID |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksPermitted[].guid |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksPermitted[].id |
additional.fields["id"] |
O identificador de clique exclusivo. |
clicksPermitted[].messageID |
network.email.mail_id |
O ID da mensagem de e-mail original. |
clicksPermitted[].recipient |
network.email.to,target.user.email_addresses |
O endereço de e-mail do destinatário. |
clicksPermitted[].sender |
network.email.from,principal.user.email_addresses |
O endereço de e-mail do remetente. A parte do usuário é criptografada com hash. A parte do domínio é texto não criptografado. |
clicksPermitted[].senderIP |
principal.ip |
O endereço IP do remetente original. |
clicksPermitted[].threatID |
security_result.threat_id |
O identificador da ameaça detectada. |
clicksPermitted[].threatStatus |
security_result.threat_status |
O status da ameaça (Ativa, Resolvida etc.). |
clicksPermitted[].threatTime |
metadata.event_timestamp if clicksPermitted[].clickTime is null,additional.fields["clicks_clickTime"] |
A hora em que a Proofpoint atribuiu o threatStatus. |
clicksPermitted[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP referente à ameaça específica. |
clicksPermitted[].url |
target.url,security_result.about.url |
O URL malicioso que foi clicado. |
clicksPermitted[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
O user agent do cliente que faz o clique. |
Campos de registro em formato JSON relacionados a mensagens
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
messagesBlocked[].ccAddresses |
intermediary.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho CC:. |
messagesBlocked[].cluster |
additional.fields["cluster"] |
O cluster de processamento de e-mails específico da Proofpoint (ou implantação de locatário) que processou o evento de e-mail. |
messagesBlocked[].clusterId |
additional.fields |
O nome do cluster do PPS que processou a mensagem. |
messagesBlocked[].fromAddress |
principal.user.email_addresses,network.email.from se messagesBlocked[].sender não estiver presente |
O endereço de e-mail contido no cabeçalho From:, excluindo o nome amigável. |
messagesBlocked[].guid |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesBlocked[].GUID |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesBlocked[].headerCC |
additional.fields["headerCC "] |
Contém detalhes de headerCC. |
messagesBlocked[].headerReplyTo |
additional.fields["headerReplyTo "] |
Se presente, o conteúdo completo do cabeçalho Reply-To:, incluindo nomes fáceis. |
messagesBlocked[].id |
additional.fields["id"] |
Contém detalhes do ID da mensagem. |
messagesBlocked[].impostorScore |
security_result.detection_fields["impostorScore"] |
A pontuação de impostor da mensagem. |
messagesBlocked[].malwareScore |
security_result.detection_fields["malwareScore"] |
A pontuação de malware da mensagem. |
messagesBlocked[].messageID |
network.email.mail_id |
O ID da mensagem extraído dos cabeçalhos da mensagem de e-mail. Ele pode ser usado para procurar a mensagem associada no PPS e é exclusivo. |
messagesBlocked[].messageParts[].contentType |
about.file.mime_type |
O tipo MIME do arquivo. |
messagesBlocked[].messageParts[].disposition |
additional.fields["disposition "] |
Como a parte da mensagem é processada (por exemplo, anexada, inline). Indexado dinamicamente. |
messagesBlocked[].messageParts[].md5 |
about.file.md5 |
O hash MD5 da parte/arquivo da mensagem. |
messagesBlocked[].messageParts[].oContentType |
additional.fields["oContentType "] |
O Content-Type declarado do messagePart. |
messagesBlocked[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
O status da análise de arquivos no sandbox. |
messagesBlocked[].messageParts[].sha256 |
about.file.sha256 |
O hash SHA256 da parte/arquivo da mensagem. |
messagesBlocked[].messagesBlocked[].messageParts[].filename |
about.file.full_path |
O nome do arquivo ou anexo. |
messagesBlocked[].messageSize |
additional.fields["messageSize"] |
O tamanho em bytes da mensagem, incluindo cabeçalhos e anexos. |
messagesBlocked[].messageTime |
metadata.event_timestamp |
Quando a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
messagesBlocked[].modulesRun |
additional.fields["modulesRun"] |
A lista de módulos do PPS que processaram a mensagem. |
messagesBlocked[].phishScore |
security_result.detection_fields["phishScore"] |
A pontuação de phishing da mensagem. |
messagesBlocked[].policyRoutes |
additional.fields["PolicyRoutes"] |
As rotas de política que corresponderam à mensagem durante o processamento pelo PPS. |
messagesBlocked[].QID |
additional.fields["QID"] |
O ID da fila da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e não é exclusivo. |
messagesBlocked[].quarantineFolder |
security_result.priority se messagesBlocked[].quarantineFolder for "Baixa prioridade" ou "Alta prioridade",security_result.detection_fields ["quarantineFolder"] caso contrário |
O nome da pasta que contém a mensagem em quarentena. |
messagesBlocked[].recipient |
network.email.to |
Uma matriz que contém os endereços de e-mail dos destinatários. |
messagesBlocked[].replyToAddress |
network.email.reply_to se for um e-mail válido,additional.fields["replyTo"] caso contrário |
O endereço de e-mail contido no cabeçalho Reply-To:. |
messagesBlocked[].sender |
network.email.from |
O endereço de e-mail do remetente. |
messagesBlocked[].senderIP |
principal.ip,principal.asset.ip |
O endereço de e-mail do remetente. |
messagesBlocked[].spamScore |
security_result.detection_fields["spamScore"] |
A pontuação de spam da mensagem. |
messagesBlocked[].subject |
network.email.subject |
O assunto do e-mail. |
messagesBlocked[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Uma matriz de IDs de suborganizações internas atribuídos aos destinatários. |
messagesBlocked[].suborgs.sender |
additional.fields["suborgsSender"] |
O ID interno da suborganização atribuído ao remetente. |
messagesBlocked[].threatsInfoMap[].campaignId |
security_result.rule_id |
Um identificador da campanha de que a ameaça faz parte, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesBlocked[].threatsInfoMap[].campaignID |
security_result.rule_id |
Um identificador da campanha de que a ameaça faz parte, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesBlocked[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
A categoria de ameaça encontrada na mensagem. |
messagesBlocked[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
O status de reescrita da mensagem. Se o valor for true, todas as instâncias de ameaças de URL na mensagem foram reescritas. Se o valor for false, pelo menos uma instância de um URL de ameaça não foi reescrita. Se o valor for na, a mensagem não continha ameaças baseadas em URL. |
messagesBlocked[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Os novos campos detectionType e ThreatInfo foram adicionados à resposta. |
messagesBlocked[].threatsInfoMap[].threat |
security_result.about.url se threatType for url,security_result.about.file.sha256 se attachment,security_result.about.resource.name se messageText,result.about.resource.attribute.labels com o valor Email e a chave threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Se a ameaça era um anexo, um URL ou um tipo de mensagem. |
messagesBlocked[].threatsInfoMap[].threatID |
security_result.threat_id |
O identificador exclusivo associado a essa ameaça. Ele pode ser usado para consultar os endpoints de análise forense e de campanha. |
messagesBlocked[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Uma matriz de estruturas que contém detalhes sobre o ID do ator. |
messagesBlocked[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Uma matriz de estruturas que contém detalhes sobre o ID do ator. |
messagesBlocked[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Uma matriz de estruturas que contém detalhes sobre o ID do ator. |
messagesBlocked[].threatsInfoMap[].threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
messagesBlocked[].threatsInfoMap[].threatTime |
metadata.event_timestamp se messagesBlocked[].messageTime não estiver presente,security_result.detection_fields |
A hora em que a Proofpoint atribuiu o threatStatus. |
messagesBlocked[].threatsInfoMap[].threatType |
security_result.threat_name |
Uma string que especifica qual tipo de ameaça será retornado nos dados. |
messagesBlocked[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada sobre a ameaça no painel do TAP. |
messagesBlocked[].toAddresses |
target.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho To:. |
messagesBlocked[].xmailer |
security_result.detection_fields["xmailer"] |
O conteúdo do cabeçalho X-Mailer:. |
messagesDelivered[].ccAddresses |
intermediary.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho CC:. |
messagesDelivered[].cluster |
additional.fields["cluster"] |
O cluster de processamento de e-mails específico da Proofpoint (ou implantação de locatário) que processou o evento de e-mail. |
messagesDelivered[].clusterId |
additional.fields |
O nome do cluster do PPS que processou a mensagem. |
messagesDelivered[].fromAddress |
principal.user.email_addresses,network.email.from se messagesDelivered[].sender não estiver presente |
O endereço de e-mail contido no cabeçalho From:, excluindo o nome amigável. |
messagesDelivered[].GUID |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesDelivered[].guid |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesDelivered[].headerCC |
additional.fields["headerCC "] |
Contém detalhes de headerCC. |
messagesDelivered[].headerReplyTo |
additional.fields["headerReplyTo "] |
Se presente, o conteúdo completo do cabeçalho Reply-To:, incluindo nomes fáceis. |
messagesDelivered[].id |
additional.fields["id "] |
Contém detalhes do ID da mensagem. |
messagesDelivered[].impostorScore |
security_result.detection_fields["impostorScore"] |
A pontuação de impostor da mensagem. |
messagesDelivered[].malwareScore |
security_result.detection_fields["malwareScore"] |
A pontuação de malware da mensagem. |
messagesDelivered[].messageID |
network.email.mail_id |
O ID da mensagem extraído dos cabeçalhos da mensagem de e-mail. Ele pode ser usado para procurar a mensagem associada no PPS e não é exclusivo. |
messagesDelivered[].messageParts[].contentType |
about.file.mime_type |
O tipo MIME do arquivo. |
messagesDelivered[].messageParts[].disposition |
additional.fields["disposition "] |
Como a parte da mensagem é processada (por exemplo, anexada, inline). Indexado dinamicamente. |
messagesDelivered[].messageParts[].md5 |
about.file.md5 |
O hash MD5 da parte/arquivo da mensagem. |
messagesDelivered[].messageParts[].oContentType |
additional.fields["oContentType "] |
O Content-Type declarado do messagePart. |
messagesDelivered[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
O status da análise de arquivos no sandbox. |
messagesDelivered[].messageParts[].sha256 |
about.file.sha256 |
O hash SHA256 da parte/arquivo da mensagem. |
messagesDelivered[].messagesDelivered[].messageParts[].filename |
about.file.full_path |
O nome do arquivo ou anexo. |
messagesDelivered[].messageSize |
additional.fields["messageSize"] |
O tamanho em bytes da mensagem, incluindo cabeçalhos e anexos. |
messagesDelivered[].messageTime |
metadata.event_timestamp |
Quando a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
messagesDelivered[].modulesRun |
additional.fields["modulesRun"] |
A lista de módulos do PPS que processaram a mensagem. |
messagesDelivered[].phishScore |
security_result.detection_fields["phishScore"] |
A pontuação de phishing da mensagem. |
messagesDelivered[].policyRoutes |
additional.fields["PolicyRoutes"] |
As rotas de política que corresponderam à mensagem durante o processamento pelo PPS. |
messagesDelivered[].QID |
additional.fields["QID"] |
O ID da fila da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e não é exclusivo. |
messagesDelivered[].quarantineFolder |
security_result.priority se messagesDelivered[].quarantineFolder for "Baixa prioridade" ou "Alta prioridade",security_result.detection_fields ["quarantineFolder"] caso contrário |
O nome da pasta que contém a mensagem em quarentena. |
messagesDelivered[].recipient |
network.email.to |
Uma matriz que contém os endereços de e-mail dos destinatários. |
messagesDelivered[].replyToAddress |
network.email.reply_to se for um e-mail válido,additional.fields ["replyTo"] caso contrário |
O endereço de e-mail contido no cabeçalho Reply-To:. |
messagesDelivered[].senderIP |
principal.ip,principal.asset.ip |
O endereço de e-mail do remetente. |
messagesDelivered[].spamScore |
security_result.detection_fields["spamScore"] |
A pontuação de spam da mensagem. |
messagesDelivered[].subject |
network.email.subject |
O assunto do e-mail. |
messagesDelivered[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Uma matriz de IDs de suborganizações internas atribuídos aos destinatários. |
messagesDelivered[].suborgs.sender |
additional.fields["suborgsSender"] |
O ID interno da suborganização atribuído ao remetente |
messagesDelivered[].threatsInfoMap[].campaignId |
security_result.rule_id |
Um identificador da campanha de que a ameaça faz parte, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesDelivered[].threatsInfoMap[].campaignID |
security_result.rule_id |
Um identificador da campanha de que a ameaça faz parte, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesDelivered[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
A categoria de ameaça encontrada na mensagem. |
messagesDelivered[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
O status de reescrita da mensagem. Se o valor for true, todas as instâncias de ameaças de URL na mensagem foram reescritas. Se o valor for false, pelo menos uma instância de um URL de ameaça não foi reescrita. Se o valor for na, a mensagem não continha ameaças baseadas em URL. |
messagesDelivered[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Os novos campos detectionType e ThreatInfo foram adicionados à resposta. |
messagesDelivered[].threatsInfoMap[].threat |
security_result.about.url se threatType for url,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,security_result.about.resource.name caso contrário,result.about.resource.attribute.labels com o valor Email e a chave threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Se a ameaça era um anexo, um URL ou um tipo de mensagem. |
messagesDelivered[].threatsInfoMap[].threatID |
security_result.threat_id |
O identificador exclusivo associado a essa ameaça. Ele pode ser usado para consultar os endpoints de análise forense e de campanha. |
messagesDelivered[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Uma matriz de estruturas que contém detalhes sobre o ID do ator. |
messagesDelivered[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Uma matriz de estruturas que contém detalhes sobre o ID do ator. |
messagesDelivered[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Uma matriz de estruturas que contém detalhes sobre o ID do ator. |
messagesDelivered[].threatsInfoMap[].threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
messagesDelivered[].threatsInfoMap[].threatTime |
metadata.event_timestamp se messagesDelivered[].messageTime não estiver presente,security_result.detection_fields |
A hora em que a Proofpoint atribuiu o threatStatus. |
messagesDelivered[].threatsInfoMap[].threatType |
security_result.threat_name |
Uma string que especifica qual tipo de ameaça será retornado nos dados. |
messagesDelivered[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada sobre a ameaça no painel do TAP. |
messagesDelivered[].toAddresses |
target.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho To:. |
messagesDelivered[].xmailer |
security_result.detection_fields["xmailer"] |
O conteúdo do cabeçalho X-Mailer:. |
msg.accountType |
Campos adicionais específicos do fornecedor. | |
msg.address |
principal.user.email_addresses |
O endereço de e-mail específico associado à conta que está sendo monitorada ou avaliada em busca de atividades de ameaça. |
msg.dashboardLink |
security_result.url_back_to_product |
Um link para o painel do Threat Insight. |
msg.deliveredMessages |
Campos adicionais específicos do fornecedor. | |
msg.eventTime |
metadata.event_timestamp se messageTime e threatTime estiverem vazios |
O carimbo de data/hora exato em UTC de quando essa observação de ameaça ou evento de registro foi gerado. |
msg.highRisk |
security_result.action |
Uma sinalização booleana (Verdadeiro ou Falso) que indica se o Proofpoint classifica essa conta como um risco de segurança elevado ou um nível de comprometimento. |
msg.identity |
Campos adicionais específicos do fornecedor. | |
msg.maliciousMessages |
Campos adicionais específicos do fornecedor. | |
msg.observations[] |
additional.fields["observations"] | Uma lista de tags comportamentais de inteligência contra ameaças ou indicadores de anomalias sinalizados pelos algoritmos da Proofpoint. |
msg.timeRanges[].end |
additional.fields |
Uma matriz de períodos que mostra quando comportamentos suspeitos ou indicadores de ameaça foram observados ativamente para essa conta. |
msg.timeRanges[].falsePositive |
additional.fields |
Uma matriz de períodos que mostra quando comportamentos suspeitos ou indicadores de ameaça foram observados ativamente para essa conta. |
msg.timeRanges[].start,msg |
additional.fields |
Uma matriz de períodos que mostra quando comportamentos suspeitos ou indicadores de ameaça foram observados ativamente para essa conta. |
msg.trafficType |
Campos adicionais específicos do fornecedor. | |
queryEndTime |
metadata.collected_timestamp |
O horário em que o período consultado para os dados terminou. |
sender_domain |
principal.domain.name |
Extraído de messagesBlocked[].fromAddress ou messagesDelivered[].fromAddress, que consiste no nome de domínio do remetente. |
Campos de registro no formato Syslog
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
a |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
action |
security_result.action,security_result.action_details |
Contém detalhes da ação. |
active |
security_result.threat_status |
O status da ameaça. |
adjust |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
adultscore |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
application |
principal.application |
Contém os detalhes principais do aplicativo. |
attachments |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
bits |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
bulkscore |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
campaignID |
security_result.rule_id |
Um identificador da campanha de que a ameaça faz parte, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
ccAddresses |
intermediary.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho CC:. |
cid |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
cipher |
network.tls.cipher |
Contém detalhes de tls.cipher. |
cipher_bits |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
class |
security_result.category,security_result.category_details |
A categoria de ameaça do URL malicioso. |
classifier |
security_result.category |
A categoria de ameaça encontrada na mensagem. |
clickIP |
security_result.about.ip, principal.ip,principal.asset.ip |
O endereço IP externo do usuário que clicou no link. Se o usuário estiver protegido por um firewall que realiza a conversão de endereços de rede, o endereço IP do firewall será mostrado. |
clickTime |
metadata.event_timestamp se messageTime não estiver presente |
O horário em que o usuário clicou no URL. |
cluster |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
clusterId |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
clx_result_group |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
clx_score |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
clx_shade |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
clxscore |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
cmd |
network.http.method se o STS não estiver vazio,principal.process.command_line caso contrário |
Quando o STS não está vazio, ele contém o método HTTP. Caso contrário, ele contém detalhes da linha de comando. |
completelyRewritten |
security_result.action,security_result.detection_fields["completelyRewritten"] |
O status de reescrita da mensagem. Se o valor for true, todas as instâncias de ameaças de URL na mensagem foram reescritas. Se o valor for false, pelo menos uma instância de um URL de ameaça não foi reescrita. Se o valor for na, a mensagem não continha ameaças baseadas em URL. |
corrupted |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
country |
principal.location.country_or_region |
Contém detalhes do país. |
daemon |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
date_log |
metadata.event_timestamp se messageTime, clickTime e threatTime não estiverem presentes |
O carimbo de data/hora presente no syslog. |
date_log_rebase |
metadata.event_timestamp se messageTime, clickTime e threatTime não estiverem presentes |
O carimbo de data/hora presente no syslog. |
default |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
definitions |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
delay |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
dict |
security_result.category_details |
Contém category_details. |
dnsid |
network.dns.id |
Contém detalhes do ID de DNS. |
domain |
principal.administrative_domain |
Contém detalhes de administrative_domain. |
dsn |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
duration |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
eid |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
elapsed |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
engine |
metadata.product_version |
Contém detalhes de product_version. |
envid |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
err |
security_result.description |
Uma descrição. |
evt |
extensions.auth.auth_details |
Detalhes de autenticação. |
expires |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
file |
about.process.file.full_path |
Contém detalhes do caminho completo do arquivo. |
from |
network.email.from |
Contém o e-mail do remetente. |
fromAddress |
network.email.from |
O endereço de e-mail contido no cabeçalho From:. |
guid |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
hdr_mid |
network.email.mail_id |
Contém detalhes de mail_id. |
headerFrom |
additional.fields["headerFrom"] |
O conteúdo completo do cabeçalho From:, incluindo qualquer nome amigável. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Se presente, o conteúdo completo do cabeçalho Reply-To:. |
headerTo |
additional.fields |
Campos adicionais específicos do fornecedor. |
helo |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
hfrom |
network.email.from |
Contém o endereço de e-mail do remetente. |
hfrom_domain |
principal.administrative_domain |
Contém os detalhes de administrative_domain. |
hops-ip |
intermediary.ip |
Contém o endereço IP intermediário. |
host |
principal.hostname |
Contém detalhes do nome do host. |
id |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
id |
additional.fields |
Campos adicionais específicos do fornecedor. |
impostor_score |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
impostorScore |
security_result.detection_fields |
A pontuação de impostor da mensagem. |
inter_host |
intermediary.hostname |
Contém detalhes do nome do host intermediário. |
intermediary_hostname |
intermediary.hostname |
Contém o nome do host intermediário. |
intermediary_ip |
intermediary.ip |
Contém o endereço IP intermediário. |
ip |
principal.ip,principal.asset.ip |
Contém o endereço IP do remetente |
len |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
lint |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
lip |
intermediary.ip |
Contém o endereço IP intermediário. |
log_level |
security_result.severity |
Contém detalhes de gravidade. |
lowpriorityscore |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
m |
network.email.mail_id |
Contém detalhes de mail_id. |
mailer |
network.application_protocol |
Contém detalhes de application_protocol. |
malwareScore |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
messageID |
network.email.mail_id |
O ID da mensagem extraído dos cabeçalhos da mensagem de e-mail. |
messageParts[].contentType |
about.file.mime_type |
O tipo MIME do arquivo. |
messageParts[].disposition |
additional.fields["disposition "] |
Como a parte da mensagem é processada (por exemplo, anexada, inline). Indexado dinamicamente. |
messageParts[].filename |
about.file.full_path |
O nome do arquivo ou anexo. |
messageParts[].md5 |
about.file.md5 |
O hash MD5 da parte/arquivo da mensagem. |
messageParts[].oContentType |
additional.fields["oContentType "] |
O Content-Type declarado do messagePart. |
messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
O status da análise de arquivos no sandbox. |
messageParts[].sha256 |
about.file.sha256 |
O hash SHA256 da parte/arquivo da mensagem. |
messageTime |
metadata.event_timestamp |
Quando a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
mime |
principal.process.file.mime_type |
Contém detalhes do arquivo mime_type. |
mlxscore |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
mod |
network.application_protocol |
Contém detalhes de application_protocol. |
module |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
modulesRun |
security_result.detection_fields |
A lista de módulos do PPS que processaram a mensagem. |
modulesRun |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
msg |
security_result.description |
Uma descrição. |
msghold_response |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
msgid |
network.email.mail_id |
Contém detalhes de mail_id. |
msgs |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
name |
about.process.file.full_path |
Contém o caminho completo do arquivo. |
notroutes |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
nrcpts |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
path |
principal.url |
Contém detalhes do URL. |
phishscore |
security_result.detection_fields |
A pontuação de phishing da mensagem. |
pid |
principal.process.pid |
Contém detalhes do PID. |
policy |
network.direction |
Descreve o fluxo de rede. Contém o valor de entrada/saída. |
pri |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
principal_hostname |
principal.hostname,principal.asset.hostname |
Contém detalhes do nome do host principal. |
principal_ip_1 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_2 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_3 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_4 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_5 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_6 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_7 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_8 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_port_1 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_ip_port_2 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_ip_port_3 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_ip_port_4 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_ip_port_5 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_ip_port_6 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_ip_port_7 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_ip_port_8 |
principal.resource.attribute.labels |
Contém detalhes da porta principal. |
principal_pid |
principal.process.pid |
Captura o PID do processo. |
priority_score |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
priorityscore |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
profile |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
prot |
network.application_protocol |
Contém detalhes de application_protocol. |
protected |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
proto |
network.application_protocol |
Contém detalhes de application_protocol. |
pss |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
qid |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
quarantineFolder |
security_result.priority |
O nome da pasta que contém a mensagem em quarentena. |
quarantineRule |
security_result.rule_name |
O nome da regra que colocou a mensagem em quarentena. |
query |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
querydepth |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
rcode |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
rcpt |
network.email.to | Contém o endereço de e-mail do destinatário. |
rcpts |
network.email.to | Contém o endereço de e-mail do destinatário |
reason |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
recipient |
target.user.email_addresses |
Contém detalhes do e-mail do destinatário. |
reject |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
reply |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
replyToAddress |
network.email.reply_to | O endereço de e-mail contido no cabeçalho Reply-To:. |
resolve |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
restquery_stage |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
result |
security_result.action |
Contém detalhes da ação. |
result |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
result_detail |
security_result.description |
Fornece uma descrição. |
reverse |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
routes |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
rss |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
rule |
security_result.rule_name |
Contém o rule_name. |
s |
network.session_id |
Contém detalhes de session_id. |
scancount |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
scope |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
score |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
selector |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
sender |
principal.user.email_addresses |
Contém detalhes do e-mail do remetente. |
senderIP |
principal.ip,principal.assest.ip |
Contém detalhes do IP do remetente. |
sendmail_queue_id |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
sha256 |
security_result.about.file.sha256 |
Os detalhes do arquivo SHA256. |
size |
principal.process.file.size` | Contém detalhes do tamanho do arquivo. |
smtputf8 |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
spamscore |
security_result.detection_fields |
A pontuação de spam da mensagem. |
src_host |
principal.hostname,principal.asset.hostname |
Contém detalhes do nome do host principal. |
STARTTLS |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
stat |
additional.fields |
Contém detalhes do status. |
status |
additional.fields |
Contém detalhes do status. |
sts |
network.http.response_code |
Contém os dados de response_code. |
subject |
network.email.subject |
Contém o email.subject. |
subject |
network.email.subject |
Contém detalhes do assunto do e-mail. |
suspectscore |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
sys |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
sz |
principal.process.file.size |
Contém detalhes do tamanho do arquivo. |
tests |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
threat |
security_result.about.url se threatType for url,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,result.about.resource.attribute.labels com o valor Email e a chave threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels com a chave ["threatType"] |
|
threatID |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
threatsInfoMap[].campaignID |
security_result1.rule_id |
Um identificador da campanha de que a ameaça faz parte, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
threatsInfoMap[].classification |
security_result.categorysecurity_result.category_details |
A categoria de ameaça encontrada na mensagem. |
threatsInfoMap[].threat |
security_result.about.url se threatType for url,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,result.about.resource.attribute.labels com o valor Email e a chave threatsInfoMap[].threatTypesecurity_result.about.resource.name caso contrário,security_result.about.resource.attribute.labels com a chave ["threatType"] |
Uma matriz de estruturas que contém detalhes sobre as ameaças detectadas na mensagem. Pode haver mais de uma ameaça por mensagem. |
threatsInfoMap[].threatID |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
threatsInfoMap[].threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
threatsInfoMap[].threatTime |
metadata.event_timestamp se messageTime e clickTime não estiverem presentes,security_result.detection_fields |
|
threatsInfoMap[].threatType |
security_result.about.url se threatType for urlsecurity_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageTextresult.about.resource.attribute.labels com o valor Email e a chave threatsInfoMap[].threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels com a chave ["threatType"] |
Uma matriz de estruturas que contêm detalhes sobre as ameaças detectadas na mensagem. Pode haver mais de uma ameaça por mensagem. |
threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP referente à ameaça específica. |
threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
threatTime |
metadata.event_timestamp se messageTime e clickTime não estiverem presentes |
A hora em que o Proofpoint identificou o URL como uma ameaça. |
threatType |
security_result.about.url se threatType for url,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,result.about.resource.attribute.labels com o valor Email e a chave threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels com a chave ["threatType"] |
|
threatURL |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP referente à ameaça específica. |
threshold |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
tls |
network.tls.cipher |
Contém detalhes de tls.cipher. |
tls-alert |
security_result.description |
Fornece uma descrição |
tls_verify |
security_result.action |
Contém detalhes de verificação. |
tls_version |
network.tls.version |
Contém detalhes da versão do TLS. |
to |
network.email.to |
Contém o endereço de e-mail do destinatário. |
toAddresses |
network.email.to |
Uma lista de endereços de e-mail contidos no cabeçalho To:. |
token |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
ts |
metadata.event_timestamp se messageTime, clickTime e threatTime não estiverem presentes |
O carimbo de data/hora presente no syslog. |
type |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
uri |
principal.url |
Contém detalhes do URL. |
url_count |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
userAgent |
network.http.user_agent,network.http.parsed_user_agent |
O user agent HTTP. |
value |
network.email.from |
Contém o endereço de e-mail do remetente. |
vendor |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
verify |
security_result.action |
Contém detalhes de verificação. |
version |
network.tls.version |
Contém detalhes da versão do TLS. |
virtual |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
virusthreat |
security_result.threat_name |
Contém detalhes do nome da ameaça. |
virusthreatid |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
warn |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
x |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
X-Proofpoint-Spam-Details |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
xdelay |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
xmailer |
security_result.detection_fields |
O conteúdo do cabeçalho X-Mailer:, se houver, ou os campos de detecção de segurança específicos do fornecedor. |
Campos de registro do CEF
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
cluster |
additional.fields |
Campos adicionais específicos do fornecedor. |
file_hash |
principal.file.md5 |
Contém detalhes do MD5 do arquivo. |
file_name |
principal.file.full_path |
Contém o caminho. |
GUID |
metadata.product_log_id |
Contém o product_log_id. |
guid |
metadata.product_log_id |
Contém o product_log_id. |
headerFrom |
additional.fields |
O conteúdo completo do cabeçalho From:. |
headerReplyTo |
additional.fields["headerReplyTo"] |
O conteúdo completo do cabeçalho Reply-To:. |
host |
principal.hostname,principal.assest.hostname |
Contém o nome do host principal. |
id |
additional.fields |
Campos adicionais com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo de UDM. |
id |
additional.fields |
Campos adicionais específicos do fornecedor. |
impostorScore |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
malwareScore |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
message_id |
network.email.mail_id |
Contém detalhes de mail_id. |
messageParts_contentType |
principal.file.mime_type |
Representa o tipo MIME de uma parte/componente específico da mensagem de e-mail. |
messageParts_disposition |
additional.fields |
Campos adicionais específicos do fornecedor. |
messageParts_oContentType |
additional.fields |
Campos adicionais específicos do fornecedor. |
messageParts_sandboxStatus |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
messageParts_sha256 |
principal.file.sha256 |
Contém detalhes do arquivo 256. |
messageTime |
metadata.event_timestamp |
O horário em que a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
modulesRun |
security_result.detection_fields |
A lista de módulos do PPS que processaram a mensagem. |
modulesRun |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
orig_dest |
network.email.to |
O endereço de e-mail no envelope/cabeçalho SMTP inicial quando o e-mail chegou ao gateway. |
orig_recipient |
target.user.email_addresses |
O endereço de e-mail do destinatário. |
orig_src |
network.email.from |
O endereço de e-mail da origem. |
policyRoutes |
additional.fields |
Campos adicionais específicos do fornecedor. |
process_id |
principal.process.pid |
Contém detalhes do PID do processo. |
QID |
additional.fields |
O ID da fila da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e não é exclusivo. |
quarantineFolder |
security_result.priority |
O nome da pasta que contém a mensagem em quarentena. |
quarantineRule |
security_result.rule_name |
O nome da regra que colocou a mensagem em quarentena. |
return_addr |
principal.user.email_addresses |
O endereço do envelope especificado durante o transporte SMTP (MAIL FROM). |
rt |
additional.fields |
Campos adicionais específicos do fornecedor. |
sender |
principal.user.email_addresses |
Contém o endereço de e-mail do remetente. |
src |
principal.ip,principal.asset.ip |
Contém o endereço IP principal. |
stag |
additional.fields |
Campos adicionais específicos do fornecedor. |
start |
additional.fields |
Campos adicionais específicos do fornecedor. |
status_code |
additional.fields |
Campos adicionais específicos do fornecedor. |
subject |
network.email.subject |
Contém o email.subject. |
threatsInfoMap_campaignID |
security_result.rule_id |
Um identificador da campanha de que a ameaça faz parte, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
threatsInfoMap_classification |
security_result.category,security_result.category_details |
A categoria de ameaça do URL malicioso. |
threatsInfoMap_detectionType |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatsInfoMap_threatID |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
threatsInfoMap_threatTime |
metadata.event_timestamp se messageTime estiver vazio |
A hora em que a Proofpoint atribuiu o threatStatus. |
threatsInfoMap_threatTime |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatsInfoMap_threatType |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatsInfoMap_threatUrl |
security_result.url_back_to_product |
Contém o URL que redireciona para a inteligência contra ameaças, a análise de sandbox e os detalhes forenses da Proofpoint. |
threatStatistics_families_name0 |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatStatistics_families_score0 |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
url |
security_result.about.url |
O URL suspeito/malicioso real. |
version |
additional.fields |
Campos adicionais específicos do fornecedor. |
vip |
additional.fields |
Campos adicionais específicos do fornecedor. |
xmailer |
security_result.detection_fields |
O conteúdo do cabeçalho X-Mailer:, se houver, ou os campos de detecção de segurança específicos do fornecedor. |
Referência de delta de mapeamento de UDM
Em 9 de setembro de 2025, o Google SecOps lançou uma nova versão do analisador de alertas do Proofpoint TAP, que inclui mudanças significativas no mapeamento dos campos de registro de alertas do Proofpoint TAP para campos de UDM e atualizações nas classificações de tipo de evento (mapeamentos).
Delta de mapeamento de campo de registro
A tabela a seguir mostra as mudanças na forma como os campos de registro de alertas do Proofpoint TAP são mapeados para os campos do UDM. A coluna Mapeamento antigo lista os campos expostos antes de 9 de setembro de 2025, e a coluna Mapeamento atual lista os novos campos.
| Campo de registro | Mapeamento antigo | Mapeamento atual |
|---|---|---|
clicks.impostorScore |
additional.fields |
security_result.detection_fields |
clicks.malwareScore |
additional.fields |
security_result.detection_fields |
clicks.phishScore |
additional.fields |
security_result.detection_fields |
clicks.quarantineFolder |
additional.fields |
Se quarantineFolder for igual a low priority ou high priority, mapeie para security_result.priority. Caso contrário, mapeie para security_result.detection_fields. |
clicks.quarantineRule |
additional.fields |
security_result.rule_name |
clicks.sender |
about.email |
Not Mapped |
clicks.senderIP |
about.ip |
principal.ip |
clicks.spamScore |
additional.fields |
security_result.detection_fields |
impostorScore |
additional.fields |
security_result.detection_fields |
malwareScore |
additional.fields |
security_result.detection_fields |
msg.impostorScore |
additional.fields |
security_result.detection_fields |
msg.malwareScore |
additional.fields |
security_result.detection_fields |
msg.phishScore |
additional.fields |
security_result.detection_fields |
msg.quarantineFolder |
additional.fields |
Se quarantineFolder for igual a low priority ou high priority, mapeie para security_result.priority. Caso contrário, mapeie para security_result.detection_fields. |
msg.quarantineRule |
additional.fields |
security_result.rule_name |
msg.spamScore |
additional.fields |
security_result.detection_fields |
msgPart.contentType |
additional.fields |
Not Mapped |
partData.contentType |
principal.process.file.mime_type |
about.file.mime_type |
partData.disposition |
security_result.detection_fields |
additional.fields |
partData.filename |
principal.process.file.full_path |
about.file.full_path |
partData.md5 |
principal.process.file.md5 |
about.file.md5 |
partData.sha256 |
about.file.sha1 |
about.file.sha256 |
phishScore |
additional.fields |
security_result.detection_fields |
quarantineFolder |
additional.fields |
Se quarantineFolder for igual a low priority ou high priority, mapeie para o campo UDM security_result.priority. Caso contrário, mapeie para security_result.detection_fields. |
spamScore |
additional.fields |
security_result.detection_fields |
Delta de mapeamento do tipo de evento
Vários eventos que antes eram classificados como eventos genéricos agora são classificados corretamente com tipos de evento mais significativos.
A tabela a seguir lista o delta para o processamento de tipos de eventos de alertas do Proofpoint TAP antes de 9 de setembro de 2025 e posteriormente (listados nas colunas Old event_type e Current event_type, respectivamente).
| Formatar | eventType do registro | Old event_type | event_type atual |
|---|---|---|---|
SYSLOG+KV |
Se o registro tiver os campos fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts ou mailer,proto,mod estão presentes |
EMAIL_TRANSACTION |
|
Se o registro tiver apenas detalhes de mail_id |
EMAIL_TRANSACTION |
EMAIL_UNCATEGORIZED |
|
Registros CEF |
eventname= messagesDelivered, messagesBlocked |
EMAIL_TRANSACTION |
|
se o registro tiver emails, sender, headerReplyTo, orig_recipient |
USER_UNCATEGORIED |
||
se o registro tiver src, host |
STATUS_UPDATE |
||
SYSLOG+JSON |
eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked |
EMAIL_TRANSACTION |
|
JSON |
record.address |
USER_UNCATEGORIZED |
|
lookalikeDomain.name |
STATUS_UPDATE |
Registro de alterações
Confira o registro de alterações deste analisador
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.