Coletar registros de alertas do Proofpoint TAP
Compatível com:
Google SecOps
SIEM
Neste documento, descrevemos como coletar registros de alertas do Proofpoint Targeted Attack Protection (TAP) configurando um feed do Google Security Operations.
Para mais informações, consulte Ingestão de dados do Google SecOps.
Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão PROOFPOINT_MAIL.
Configurar alertas do Proofpoint TAP
- Faça login no portal de insights de ameaças do Proofpoint usando suas credenciais.
- Na guia Configurações, selecione Aplicativos conectados. A seção Credenciais de serviço aparece.
- Na seção Nome, clique em Criar nova credencial.
- Digite o nome da sua organização, como
altostrat.com. - Clique em Gerar. Na caixa de diálogo Credencial de serviço gerada, aparecem os valores Principal de serviço e Secret.
- Copie os valores de Entidade de serviço e Chave secreta. Os valores são mostrados apenas no momento da criação e são obrigatórios ao configurar o feed do Google Security Operations.
- Clique em Concluído.
Configurar feeds
Para configurar o feed, siga estas etapas:
- Acesse Configurações do SIEM > Feeds.
- Clique em Adicionar novo feed.
- Clique no pacote de feed Proofpoint.
- Localize o tipo de registro Alertas de toque do Proofpoint.
Especifique os valores dos seguintes campos:
- Tipo de origem: API de terceiros
- Nome de usuário: especifique o principal de serviço que você obteve anteriormente.
- Secret: especifique o secret que você recebeu anteriormente.
Opções avançadas
- Nome do feed: um valor pré-preenchido que identifica o feed.
- Namespace do recurso: namespace associado ao feed.
- Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.
Clique em Criar feed.
Para mais informações sobre os feeds do Google Security Operations, consulte a documentação dos feeds do Google Security Operations. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo. Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google Security Operations.
Referência de mapeamento de campos
Esse analisador processa registros do Proofpoint Mail em formato JSON ou de chave-valor, extraindo detalhes de e-mail e atividade de rede. Ele mapeia campos de registro para a UDM, categorizando eventos como transações de e-mail e solicitações HTTP de rede, além de enriquecê-los com detalhes de segurança, como ações, categorias e informações de ameaças.
Limitações
Ao analisar os registros do PROOFPOINT_MAIL, você pode observar eventos com carimbos de data/hora históricos, apesar da ingestão em tempo real. Esse comportamento é inerente à API do Proofpoint, não ao pipeline de ingestão do Google SecOps. Mesmo quando o Google SecOps consulta a atividade mais recente, a API Proofpoint pode retornar eventos que ocorreram vários dias antes. É esperado que haja discrepâncias entre o event_timestamp e o ingestion_time para o tipo de registro PROOFPOINT_MAIL devido à forma como o Proofpoint armazena em buffer e libera dados de eventos. Para mais detalhes, consulte a documentação de carimbo de data/hora de eventos do Proofpoint (em inglês).
Tabelas de mapeamento de UDM
As tabelas a seguir listam os mapeamentos dos campos de registro bruto de alertas do Proofpoint TAP para campos da UDM, categorizados de acordo com o formato.
Campos de registro relacionados a cliques no formato JSON
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
clicksBlocked[].classification |
security_result.category,security_result.category_details |
A classificação da ameaça (por exemplo, malware, phish). |
clicksBlocked[].clickIP |
principal.ip,security_result.about.ip |
O endereço IP do usuário que clicou no URL. |
clicksBlocked[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
O carimbo de data/hora do clique. |
clicksBlocked[].GUID |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksBlocked[].guid |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksBlocked[].id |
additional.fields["id"] |
O identificador de clique exclusivo. |
clicksBlocked[].messageID |
network.email.mail_id |
O ID da mensagem de e-mail original. |
clicksBlocked[].recipient |
network.email.to,target.user.email_addresses |
O endereço de e-mail do destinatário. |
clicksBlocked[].sender |
network.email.from,principal.user.email_addresses |
O endereço de e-mail do remetente. A parte do usuário é criptografada com hash. A parte do domínio é texto sem formatação. |
clicksBlocked[].senderIP |
principal.ip |
O endereço IP do remetente original. |
clicksBlocked[].threatID |
security_result.threat_id |
O identificador da ameaça detectada. |
clicksBlocked[].threatStatus |
security_result.threat_status |
O status da ameaça (Active, Cleared etc.). |
clicksBlocked[].threatTime |
metadata.event_timestamp if clicksBlocked[].clickTime is null,additional.fields["clicks_clickTime"] |
O horário em que a Proofpoint atribuiu o threatStatus. |
clicksBlocked[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP sobre a ameaça específica. |
clicksBlocked[].url |
target.url,security_result.about.url |
O URL malicioso que foi clicado. |
clicksBlocked[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
O user agent do cliente que está clicando. |
clicksPermitted[].classification |
security_result.category,security_result.category_details |
A classificação da ameaça (por exemplo, malware, phish). |
clicksPermitted[].clickIP |
principal.ip,security_result.about.ip |
O endereço IP do usuário que clicou no URL. |
clicksPermitted[].clickTime |
metadata.event_timestamp,additional.fields["clickTime"] |
O carimbo de data/hora do clique. |
clicksPermitted[].GUID |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksPermitted[].guid |
metadata.product_log_id |
O identificador exclusivo do evento de clique. |
clicksPermitted[].id |
additional.fields["id"] |
O identificador de clique exclusivo. |
clicksPermitted[].messageID |
network.email.mail_id |
O ID da mensagem de e-mail original. |
clicksPermitted[].recipient |
network.email.to,target.user.email_addresses |
O endereço de e-mail do destinatário. |
clicksPermitted[].sender |
network.email.from,principal.user.email_addresses |
O endereço de e-mail do remetente. A parte do usuário é criptografada com hash. A parte do domínio é texto sem formatação. |
clicksPermitted[].senderIP |
principal.ip |
O endereço IP do remetente original. |
clicksPermitted[].threatID |
security_result.threat_id |
O identificador da ameaça detectada. |
clicksPermitted[].threatStatus |
security_result.threat_status |
O status da ameaça (ativa, limpa etc.). |
clicksPermitted[].threatTime |
metadata.event_timestamp if clicksPermitted[].clickTime is null,additional.fields["clicks_clickTime"] |
O horário em que a Proofpoint atribuiu o threatStatus. |
clicksPermitted[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP sobre a ameaça específica. |
clicksPermitted[].url |
target.url,security_result.about.url |
O URL malicioso que foi clicado. |
clicksPermitted[].userAgent |
network.http.user_agent,network.http.parsed_user_agent |
O user agent do cliente que está clicando. |
Campos de registro relacionados a mensagens no formato JSON
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
messagesBlocked[].ccAddresses |
intermediary.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho CC:. |
messagesBlocked[].cluster |
additional.fields["cluster"] |
O cluster específico de processamento de e-mail do Proofpoint (ou implantação do locatário) que processou o evento de e-mail. |
messagesBlocked[].clusterId |
additional.fields |
O nome do cluster do PPS que processou a mensagem. |
messagesBlocked[].fromAddress |
principal.user.email_addresses,network.email.from se messagesBlocked[].sender não estiver presente |
O endereço de e-mail contido no cabeçalho From:, excluindo o nome amigável. |
messagesBlocked[].guid |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesBlocked[].GUID |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesBlocked[].headerCC |
additional.fields["headerCC "] |
Contém detalhes de headerCC. |
messagesBlocked[].headerReplyTo |
additional.fields["headerReplyTo "] |
Se presente, o conteúdo completo do cabeçalho Reply-To:, incluindo nomes amigáveis. |
messagesBlocked[].id |
additional.fields["id"] |
Contém detalhes do ID da mensagem. |
messagesBlocked[].impostorScore |
security_result.detection_fields["impostorScore"] |
A pontuação de impostor da mensagem. |
messagesBlocked[].malwareScore |
security_result.detection_fields["malwareScore"] |
A pontuação de malware da mensagem. |
messagesBlocked[].messageID |
network.email.mail_id |
O Message-ID extraído dos cabeçalhos da mensagem de e-mail. Ele pode ser usado para pesquisar a mensagem associada no PPS e é exclusivo. |
messagesBlocked[].messageParts[].contentType |
about.file.mime_type |
O tipo MIME do arquivo. |
messagesBlocked[].messageParts[].disposition |
additional.fields["disposition "] |
Como a parte da mensagem é processada (por exemplo, anexada, inline). Indexado dinamicamente. |
messagesBlocked[].messageParts[].md5 |
about.file.md5 |
O hash MD5 da parte da mensagem/arquivo. |
messagesBlocked[].messageParts[].oContentType |
additional.fields["oContentType "] |
O Content-Type declarado do messagePart. |
messagesBlocked[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
O status da análise de arquivos na sandbox. |
messagesBlocked[].messageParts[].sha256 |
about.file.sha256 |
O hash SHA256 da parte/arquivo da mensagem. |
messagesBlocked[].messagesBlocked[].messageParts[].filename |
about.file.full_path |
O nome do arquivo ou anexo. |
messagesBlocked[].messageSize |
additional.fields["messageSize"] |
O tamanho em bytes da mensagem, incluindo cabeçalhos e anexos. |
messagesBlocked[].messageTime |
metadata.event_timestamp |
Quando a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
messagesBlocked[].modulesRun |
additional.fields["modulesRun"] |
A lista de módulos do PPS que processaram a mensagem. |
messagesBlocked[].phishScore |
security_result.detection_fields["phishScore"] |
A pontuação de phishing da mensagem. |
messagesBlocked[].policyRoutes |
additional.fields["PolicyRoutes"] |
As rotas de política que a mensagem correspondeu durante o processamento pelo PPS. |
messagesBlocked[].QID |
additional.fields["QID"] |
O ID da fila da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e não é exclusivo. |
messagesBlocked[].quarantineFolder |
security_result.priority se messagesBlocked[].quarantineFolder for "Baixa prioridade" ou "Alta prioridade",security_result.detection_fields ["quarantineFolder"] caso contrário |
O nome da pasta que contém a mensagem em quarentena. |
messagesBlocked[].recipient |
network.email.to |
Uma matriz que contém os endereços de e-mail dos destinatários. |
messagesBlocked[].replyToAddress |
network.email.reply_to se for um e-mail válido,additional.fields["replyTo"] caso contrário |
O endereço de e-mail contido no cabeçalho Reply-To:. |
messagesBlocked[].sender |
network.email.from |
O endereço de e-mail do remetente. |
messagesBlocked[].senderIP |
principal.ip,principal.asset.ip |
O endereço de e-mail do remetente. |
messagesBlocked[].spamScore |
security_result.detection_fields["spamScore"] |
A pontuação de spam da mensagem. |
messagesBlocked[].subject |
network.email.subject |
O assunto do e-mail. |
messagesBlocked[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Uma matriz de IDs internos de suborganizações atribuídos aos destinatários. |
messagesBlocked[].suborgs.sender |
additional.fields["suborgsSender"] |
O ID interno da suborganização atribuído ao remetente. |
messagesBlocked[].threatsInfoMap[].campaignId |
security_result.rule_id |
Um identificador da campanha a que a ameaça pertence, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesBlocked[].threatsInfoMap[].campaignID |
security_result.rule_id |
Um identificador da campanha a que a ameaça pertence, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesBlocked[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
A categoria da ameaça encontrada na mensagem. |
messagesBlocked[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
O status de reescrita da mensagem. Se o valor for true, todas as instâncias de ameaças de URL na mensagem foram reescritas. Se o valor for false, pelo menos uma instância de um URL de ameaça não foi reescrita. Se o valor for na, a mensagem não terá ameaças baseadas em URL. |
messagesBlocked[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Os novos campos detectionType e ThreatInfo foram adicionados à resposta. |
messagesBlocked[].threatsInfoMap[].threat |
security_result.about.url se threatType forurl,security_result.about.file.sha256 se attachment,security_result.about.resource.name se messageText,result.about.resource.attribute.labels com valor Email e chave threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Se a ameaça era um anexo, um URL ou um tipo de mensagem. |
messagesBlocked[].threatsInfoMap[].threatID |
security_result.threat_id |
O identificador exclusivo associado a essa ameaça. Ele pode ser usado para consultar os endpoints de perícia e campanha. |
messagesBlocked[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Uma matriz de estruturas que contêm detalhes sobre o ID do ator. |
messagesBlocked[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Uma matriz de estruturas que contêm detalhes sobre o ID do ator. |
messagesBlocked[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Uma matriz de estruturas que contêm detalhes sobre o ID do ator. |
messagesBlocked[].threatsInfoMap[].threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
messagesBlocked[].threatsInfoMap[].threatTime |
metadata.event_timestamp se messagesBlocked[].messageTime não estiver presente,security_result.detection_fields |
O horário em que a Proofpoint atribuiu o threatStatus. |
messagesBlocked[].threatsInfoMap[].threatType |
security_result.threat_name |
Uma string que especifica qual tipo de ameaça será retornado nos dados. |
messagesBlocked[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada sobre a ameaça no painel do TAP. |
messagesBlocked[].toAddresses |
target.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho To:. |
messagesBlocked[].xmailer |
security_result.detection_fields["xmailer"] |
O conteúdo do cabeçalho X-Mailer:. |
messagesDelivered[].ccAddresses |
intermediary.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho CC:. |
messagesDelivered[].cluster |
additional.fields["cluster"] |
O cluster específico de processamento de e-mail do Proofpoint (ou implantação do locatário) que processou o evento de e-mail. |
messagesDelivered[].clusterId |
additional.fields |
O nome do cluster do PPS que processou a mensagem. |
messagesDelivered[].fromAddress |
principal.user.email_addresses,network.email.from se messagesDelivered[].sender não estiver presente |
O endereço de e-mail contido no cabeçalho From:, excluindo o nome amigável. |
messagesDelivered[].GUID |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesDelivered[].guid |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
messagesDelivered[].headerCC |
additional.fields["headerCC "] |
Contém detalhes de headerCC. |
messagesDelivered[].headerReplyTo |
additional.fields["headerReplyTo "] |
Se presente, o conteúdo completo do cabeçalho Reply-To:, incluindo nomes amigáveis. |
messagesDelivered[].id |
additional.fields["id "] |
Contém detalhes do ID da mensagem. |
messagesDelivered[].impostorScore |
security_result.detection_fields["impostorScore"] |
A pontuação de impostor da mensagem. |
messagesDelivered[].malwareScore |
security_result.detection_fields["malwareScore"] |
A pontuação de malware da mensagem. |
messagesDelivered[].messageID |
network.email.mail_id |
O Message-ID extraído dos cabeçalhos da mensagem de e-mail. Ele pode ser usado para pesquisar a mensagem associada no PPS e não é exclusivo. |
messagesDelivered[].messageParts[].contentType |
about.file.mime_type |
O tipo MIME do arquivo. |
messagesDelivered[].messageParts[].disposition |
additional.fields["disposition "] |
Como a parte da mensagem é processada (por exemplo, anexada, inline). Indexado dinamicamente. |
messagesDelivered[].messageParts[].md5 |
about.file.md5 |
O hash MD5 da parte da mensagem/arquivo. |
messagesDelivered[].messageParts[].oContentType |
additional.fields["oContentType "] |
O Content-Type declarado do messagePart. |
messagesDelivered[].messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
O status da análise de arquivos na sandbox. |
messagesDelivered[].messageParts[].sha256 |
about.file.sha256 |
O hash SHA256 da parte/arquivo da mensagem. |
messagesDelivered[].messagesDelivered[].messageParts[].filename |
about.file.full_path |
O nome do arquivo ou anexo. |
messagesDelivered[].messageSize |
additional.fields["messageSize"] |
O tamanho em bytes da mensagem, incluindo cabeçalhos e anexos. |
messagesDelivered[].messageTime |
metadata.event_timestamp |
Quando a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
messagesDelivered[].modulesRun |
additional.fields["modulesRun"] |
A lista de módulos do PPS que processaram a mensagem. |
messagesDelivered[].phishScore |
security_result.detection_fields["phishScore"] |
A pontuação de phishing da mensagem. |
messagesDelivered[].policyRoutes |
additional.fields["PolicyRoutes"] |
As rotas de política que a mensagem correspondeu durante o processamento pelo PPS. |
messagesDelivered[].QID |
additional.fields["QID"] |
O ID da fila da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e não é exclusivo. |
messagesDelivered[].quarantineFolder |
security_result.priority se messagesDelivered[].quarantineFolder for "Baixa prioridade" ou "Alta prioridade",security_result.detection_fields ["quarantineFolder"] caso contrário |
O nome da pasta que contém a mensagem em quarentena. |
messagesDelivered[].recipient |
network.email.to |
Uma matriz que contém os endereços de e-mail dos destinatários. |
messagesDelivered[].replyToAddress |
network.email.reply_to se for um e-mail válido,additional.fields ["replyTo"] caso contrário |
O endereço de e-mail contido no cabeçalho Reply-To:. |
messagesDelivered[].senderIP |
principal.ip,principal.asset.ip |
O endereço de e-mail do remetente. |
messagesDelivered[].spamScore |
security_result.detection_fields["spamScore"] |
A pontuação de spam da mensagem. |
messagesDelivered[].subject |
network.email.subject |
O assunto do e-mail. |
messagesDelivered[].suborgs.rcpts |
additional.fields["suborgsRcpts"] |
Uma matriz de IDs internos de suborganizações atribuídos aos destinatários. |
messagesDelivered[].suborgs.sender |
additional.fields["suborgsSender"] |
O ID interno da suborganização atribuído ao remetente. |
messagesDelivered[].threatsInfoMap[].campaignId |
security_result.rule_id |
Um identificador da campanha a que a ameaça pertence, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesDelivered[].threatsInfoMap[].campaignID |
security_result.rule_id |
Um identificador da campanha a que a ameaça pertence, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
messagesDelivered[].threatsInfoMap[].classification |
security_result.category,security_result.category_details |
A categoria da ameaça encontrada na mensagem. |
messagesDelivered[].threatsInfoMap[].completelyRewritten |
security_result.detection_fields,security_result.action |
O status de reescrita da mensagem. Se o valor for true, todas as instâncias de ameaças de URL na mensagem foram reescritas. Se o valor for false, pelo menos uma instância de um URL de ameaça não foi reescrita. Se o valor for na, a mensagem não terá ameaças baseadas em URL. |
messagesDelivered[].threatsInfoMap[].detectionType |
security_result.detection_fields |
Os novos campos detectionType e ThreatInfo foram adicionados à resposta. |
messagesDelivered[].threatsInfoMap[].threat |
security_result.about.url se threatType forurl,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,security_result.about.resource.name caso contrário,result.about.resource.attribute.labels com valor Email e chave threatType,security_result.about.resource.name,security_result.about.resource.attribute.labels |
Se a ameaça era um anexo, um URL ou um tipo de mensagem. |
messagesDelivered[].threatsInfoMap[].threatID |
security_result.threat_id |
O identificador exclusivo associado a essa ameaça. Ele pode ser usado para consultar os endpoints de perícia e campanha. |
messagesDelivered[].threatsInfoMap[].threats.actors[].id |
security_result.detection_fields |
Uma matriz de estruturas que contêm detalhes sobre o ID do ator. |
messagesDelivered[].threatsInfoMap[].threats.actors[].name |
security_result.detection_fields |
Uma matriz de estruturas que contêm detalhes sobre o ID do ator. |
messagesDelivered[].threatsInfoMap[].threats.actors[].type |
security_result.detection_fields |
Uma matriz de estruturas que contêm detalhes sobre o ID do ator. |
messagesDelivered[].threatsInfoMap[].threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
messagesDelivered[].threatsInfoMap[].threatTime |
metadata.event_timestamp se messagesDelivered[].messageTime não estiver presente,security_result.detection_fields |
A hora em que a Proofpoint atribuiu o threatStatus. |
messagesDelivered[].threatsInfoMap[].threatType |
security_result.threat_name |
Uma string que especifica qual tipo de ameaça será retornado nos dados. |
messagesDelivered[].threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada sobre a ameaça no painel do TAP. |
messagesDelivered[].toAddresses |
target.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho To:. |
messagesDelivered[].xmailer |
security_result.detection_fields["xmailer"] |
O conteúdo do cabeçalho "X-Mailer:". |
msg.accountType |
Campos adicionais específicos do fornecedor. | |
msg.address |
principal.user.email_addresses |
O endereço de e-mail específico associado à conta monitorada ou avaliada para atividade de ameaça. |
msg.dashboardLink |
security_result.url_back_to_product |
Um link para o painel "Threat Insight". |
msg.deliveredMessages |
Campos adicionais específicos do fornecedor. | |
msg.eventTime |
metadata.event_timestamp se messageTime e threatTime estiverem vazios |
O carimbo de data/hora UTC exato em que essa observação de ameaça ou evento de registro foi gerado. |
msg.highRisk |
security_result.action |
Uma flag booleana (verdadeira/falsa) que indica se o Proofpoint classifica essa conta como de risco de segurança ou nível de comprometimento elevado. |
msg.identity |
Campos adicionais específicos do fornecedor. | |
msg.maliciousMessages |
Campos adicionais específicos do fornecedor. | |
msg.observations[] |
additional.fields["observations"] | Uma lista de tags comportamentais de inteligência contra ameaças específicas ou indicadores de anomalia sinalizados pelos algoritmos da Proofpoint. |
msg.timeRanges[].end |
additional.fields |
Uma matriz de períodos que mostra quando comportamentos suspeitos ou indicadores de ameaça foram observados ativamente para essa conta. |
msg.timeRanges[].falsePositive |
additional.fields |
Uma matriz de períodos que mostra quando comportamentos suspeitos ou indicadores de ameaça foram observados ativamente para essa conta. |
msg.timeRanges[].start,msg |
additional.fields |
Uma matriz de períodos que mostra quando comportamentos suspeitos ou indicadores de ameaça foram observados ativamente para essa conta. |
msg.trafficType |
Campos adicionais específicos do fornecedor. | |
queryEndTime |
metadata.collected_timestamp |
O horário em que o período consultado para dados terminou. |
sender_domain |
principal.domain.name |
Extraído de messagesBlocked[].fromAddress ou messagesDelivered[].fromAddress, consistindo no nome de domínio do remetente. |
Campos de registro no formato Syslog
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
a |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
action |
security_result.action,security_result.action_details |
Contém detalhes da ação. |
active |
security_result.threat_status |
O status da ameaça. |
adjust |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
adultscore |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
application |
principal.application |
Contém detalhes do aplicativo principal. |
attachments |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
bits |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
bulkscore |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
campaignID |
security_result.rule_id |
Um identificador da campanha a que a ameaça pertence, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
ccAddresses |
intermediary.user.email_addresses |
Uma lista de endereços de e-mail contidos no cabeçalho CC:. |
cid |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
cipher |
network.tls.cipher |
Contém detalhes do tls.cipher. |
cipher_bits |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
class |
security_result.category,security_result.category_details |
A categoria de ameaça do URL malicioso. |
classifier |
security_result.category |
A categoria da ameaça encontrada na mensagem. |
clickIP |
security_result.about.ip, principal.ip,principal.asset.ip |
O endereço IP externo do usuário que clicou no link. Se o usuário estiver atrás de um firewall que realiza a conversão de endereços de rede, o endereço IP do firewall será mostrado. |
clickTime |
metadata.event_timestamp se messageTime não estiver presente |
O horário em que o usuário clicou no URL. |
cluster |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
clusterId |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
clx_result_group |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
clx_score |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
clx_shade |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
clxscore |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
cmd |
network.http.method se STS não estiver vazio,principal.process.command_line caso contrário |
Quando STS não está vazio, ele contém o método HTTP. Caso contrário, ele contém detalhes da linha de comando. |
completelyRewritten |
security_result.action,security_result.detection_fields["completelyRewritten"] |
O status de reescrita da mensagem. Se o valor for true, todas as instâncias de ameaças de URL na mensagem foram reescritas. Se o valor for false, pelo menos uma instância de um URL de ameaça não foi reescrita. Se o valor for na, a mensagem não terá ameaças baseadas em URL. |
corrupted |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
country |
principal.location.country_or_region |
Contém detalhes do país. |
daemon |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
date_log |
metadata.event_timestamp se messageTime, clickTime e threatTime não estiverem presentes |
O carimbo de data/hora presente no syslog. |
date_log_rebase |
metadata.event_timestamp se messageTime, clickTime e threatTime não estiverem presentes |
O carimbo de data/hora presente no syslog. |
default |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
definitions |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
delay |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
dict |
security_result.category_details |
Contém category_details. |
dnsid |
network.dns.id |
Contém detalhes do ID do DNS. |
domain |
principal.administrative_domain |
Contém detalhes do administrative_domain. |
dsn |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
duration |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
eid |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
elapsed |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
engine |
metadata.product_version |
Contém detalhes do product_version. |
envid |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
err |
security_result.description |
Uma descrição. |
evt |
extensions.auth.auth_details |
Detalhes da autenticação. |
expires |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
file |
about.process.file.full_path |
Contém detalhes do caminho completo do arquivo. |
from |
network.email.from |
Contém o e-mail do remetente. |
fromAddress |
network.email.from |
O endereço de e-mail contido no cabeçalho From:. |
guid |
metadata.product_log_id |
O ID da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e é sempre exclusivo. |
hdr_mid |
network.email.mail_id |
Contém detalhes do mail_id. |
headerFrom |
additional.fields["headerFrom"] |
O conteúdo completo do cabeçalho From:, incluindo qualquer nome amigável. |
headerReplyTo |
additional.fields["headerReplyTo"] |
Se presente, o conteúdo completo do cabeçalho Reply-To:. |
headerTo |
additional.fields |
Campos adicionais específicos do fornecedor. |
helo |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
hfrom |
network.email.from |
Contém o endereço de e-mail do remetente. |
hfrom_domain |
principal.administrative_domain |
Contém os detalhes do administrative_domain. |
hops-ip |
intermediary.ip |
Contém o endereço IP intermediário. |
host |
principal.hostname |
Contém detalhes do nome do host. |
id |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
id |
additional.fields |
Campos adicionais específicos do fornecedor. |
impostor_score |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
impostorScore |
security_result.detection_fields |
A pontuação de impostor da mensagem. |
inter_host |
intermediary.hostname |
Contém detalhes do nome do host intermediário. |
intermediary_hostname |
intermediary.hostname |
Contém o nome do host intermediário. |
intermediary_ip |
intermediary.ip |
Contém o endereço IP intermediário. |
ip |
principal.ip,principal.asset.ip |
Contém o endereço IP do remetente. |
len |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
lint |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
lip |
intermediary.ip |
Contém o endereço IP intermediário. |
log_level |
security_result.severity |
Contém detalhes de gravidade. |
lowpriorityscore |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
m |
network.email.mail_id |
Contém detalhes do mail_id. |
mailer |
network.application_protocol |
Contém detalhes do application_protocol. |
malwareScore |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
messageID |
network.email.mail_id |
O Message-ID extraído dos cabeçalhos da mensagem de e-mail. |
messageParts[].contentType |
about.file.mime_type |
O tipo MIME do arquivo. |
messageParts[].disposition |
additional.fields["disposition "] |
Como a parte da mensagem é processada (por exemplo, anexada, inline). Indexado dinamicamente. |
messageParts[].filename |
about.file.full_path |
O nome do arquivo ou anexo. |
messageParts[].md5 |
about.file.md5 |
O hash MD5 da parte da mensagem/arquivo. |
messageParts[].oContentType |
additional.fields["oContentType "] |
O Content-Type declarado do messagePart. |
messageParts[].sandboxStatus |
security_detection.fields["sandboxStatus "] |
O status da análise de arquivos na sandbox. |
messageParts[].sha256 |
about.file.sha256 |
O hash SHA256 da parte/arquivo da mensagem. |
messageTime |
metadata.event_timestamp |
Quando a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
mime |
principal.process.file.mime_type |
Contém detalhes do arquivo mime_type. |
mlxscore |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
mod |
network.application_protocol |
Contém detalhes do application_protocol. |
module |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
modulesRun |
security_result.detection_fields |
A lista de módulos do PPS que processaram a mensagem. |
modulesRun |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
msg |
security_result.description |
Uma descrição. |
msghold_response |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
msgid |
network.email.mail_id |
Contém detalhes do mail_id. |
msgs |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
name |
about.process.file.full_path |
Contém o caminho completo do arquivo. |
notroutes |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
nrcpts |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
path |
principal.url |
Contém detalhes do URL. |
phishscore |
security_result.detection_fields |
A pontuação de phishing da mensagem. |
pid |
principal.process.pid |
Contém detalhes do PID. |
policy |
network.direction |
Descreve o fluxo de rede. Contém o valor de entrada/saída. |
pri |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
principal_hostname |
principal.hostname,principal.asset.hostname |
Contém detalhes do nome do host principal. |
principal_ip_1 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_2 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_3 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_4 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_5 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_6 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_7 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_8 |
principal.ip,principal.assest.ip |
Contém detalhes do IP principal. |
principal_ip_port_1 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_ip_port_2 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_ip_port_3 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_ip_port_4 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_ip_port_5 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_ip_port_6 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_ip_port_7 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_ip_port_8 |
principal.resource.attribute.labels |
Contém detalhes da portabilidade principal. |
principal_pid |
principal.process.pid |
Captura o PID do processo. |
priority_score |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
priorityscore |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
profile |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
prot |
network.application_protocol |
Contém detalhes do application_protocol. |
protected |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
proto |
network.application_protocol |
Contém detalhes do application_protocol. |
pss |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
qid |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
quarantineFolder |
security_result.priority |
O nome da pasta que contém a mensagem em quarentena. |
quarantineRule |
security_result.rule_name |
O nome da regra que colocou a mensagem em quarentena. |
query |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
querydepth |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
rcode |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
rcpt |
network.email.to | Contém o endereço de e-mail do destinatário. |
rcpts |
network.email.to | Contém o endereço de e-mail do destinatário |
reason |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
recipient |
target.user.email_addresses |
Contém detalhes do e-mail do destinatário. |
reject |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
reply |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
replyToAddress |
network.email.reply_to | O endereço de e-mail contido no cabeçalho Reply-To:. |
resolve |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
restquery_stage |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
result |
security_result.action |
Contém detalhes da ação. |
result |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
result_detail |
security_result.description |
Fornece uma descrição. |
reverse |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
routes |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
rss |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
rule |
security_result.rule_name |
Contém o rule_name. |
s |
network.session_id |
Contém detalhes do session_id. |
scancount |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
scope |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
score |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
selector |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
sender |
principal.user.email_addresses |
Contém detalhes do e-mail do remetente. |
senderIP |
principal.ip,principal.assest.ip |
Contém detalhes do IP do remetente. |
sendmail_queue_id |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
sha256 |
security_result.about.file.sha256 |
Os detalhes do arquivo SHA256. |
size |
principal.process.file.size` | Contém detalhes do tamanho do arquivo. |
smtputf8 |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
spamscore |
security_result.detection_fields |
A pontuação de spam da mensagem. |
src_host |
principal.hostname,principal.asset.hostname |
Contém detalhes do nome do host principal. |
STARTTLS |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
stat |
additional.fields |
Contém detalhes do status. |
status |
additional.fields |
Contém detalhes do status. |
sts |
network.http.response_code |
Contém os dados de response_code. |
subject |
network.email.subject |
Contém o email.subject. |
subject |
network.email.subject |
Contém detalhes do assunto do e-mail. |
suspectscore |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
sys |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
sz |
principal.process.file.size |
Contém detalhes do tamanho do arquivo. |
tests |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
threat |
security_result.about.url se threatType for url,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,result.about.resource.attribute.labels com valor Email e chave threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels com chave ["threatType"] |
|
threatID |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
threatsInfoMap[].campaignID |
security_result1.rule_id |
Um identificador da campanha a que a ameaça pertence, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
threatsInfoMap[].classification |
security_result.categorysecurity_result.category_details |
A categoria da ameaça encontrada na mensagem. |
threatsInfoMap[].threat |
security_result.about.url se threatType for url,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,result.about.resource.attribute.labels com valor Email e chave threatsInfoMap[].threatTypesecurity_result.about.resource.name caso contrário,security_result.about.resource.attribute.labels com chave ["threatType"] |
Uma matriz de estruturas que contêm detalhes sobre as ameaças detectadas na mensagem. Pode haver mais de uma ameaça por mensagem. |
threatsInfoMap[].threatID |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
threatsInfoMap[].threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
threatsInfoMap[].threatTime |
metadata.event_timestamp se messageTime e clickTime não estiverem presentes,security_result.detection_fields |
|
threatsInfoMap[].threatType |
security_result.about.url se threatType for urlsecurity_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageTextresult.about.resource.attribute.labels com valor Email e chave threatsInfoMap[].threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels com chave ["threatType"] |
Uma matriz de estruturas que contêm detalhes sobre as ameaças detectadas na mensagem. Pode haver mais de uma ameaça por mensagem. |
threatsInfoMap[].threatUrl |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP sobre a ameaça específica. |
threatStatus |
security_result.threat_status |
O estado atual da ameaça. |
threatTime |
metadata.event_timestamp se messageTime e clickTime não estiverem presentes |
O momento em que o Proofpoint identificou o URL como uma ameaça. |
threatType |
security_result.about.url se threatType for url,security_result.about.file.sha256 se threatType for attachmentsecurity_result.about.resource.name se threatType for messageText,result.about.resource.attribute.labels com valor Email e chave threatTypesecurity_result.about.resource.name,security_result.about.resource.attribute.labels com chave ["threatType"] |
|
threatURL |
security_result.url_back_to_product |
Um link para a entrada no painel do TAP sobre a ameaça específica. |
threshold |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
tls |
network.tls.cipher |
Contém detalhes do tls.cipher. |
tls-alert |
security_result.description |
Fornece uma descrição |
tls_verify |
security_result.action |
Contém detalhes de verificação. |
tls_version |
network.tls.version |
Contém detalhes da versão do TLS. |
to |
network.email.to |
Contém o endereço de e-mail do destinatário. |
toAddresses |
network.email.to |
Uma lista de endereços de e-mail contidos no cabeçalho To:. |
token |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
ts |
metadata.event_timestamp se messageTime, clickTime e threatTime não estiverem presentes |
O carimbo de data/hora presente no syslog. |
type |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
uri |
principal.url |
Contém detalhes do URL. |
url_count |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
userAgent |
network.http.user_agent,network.http.parsed_user_agent |
O user agent HTTP. |
value |
network.email.from |
Contém o endereço de e-mail do remetente. |
vendor |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
verify |
security_result.action |
Contém detalhes de verificação. |
version |
network.tls.version |
Contém detalhes da versão do TLS. |
virtual |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
virusthreat |
security_result.threat_name |
Contém detalhes do nome da ameaça. |
virusthreatid |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
warn |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
x |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
X-Proofpoint-Spam-Details |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
xdelay |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
xmailer |
security_result.detection_fields |
O conteúdo do cabeçalho X-Mailer:, se presente, ou campos de detecção de segurança específicos do fornecedor. |
Campos de registro do CEF
| Campo de registro | Campo de UDM | Descrição |
|---|---|---|
cluster |
additional.fields |
Campos adicionais específicos do fornecedor. |
file_hash |
principal.file.md5 |
Contém detalhes do MD5 do arquivo. |
file_name |
principal.file.full_path |
Contém o caminho. |
GUID |
metadata.product_log_id |
Contém o product_log_id. |
guid |
metadata.product_log_id |
Contém o product_log_id. |
headerFrom |
additional.fields |
O conteúdo completo do cabeçalho From:. |
headerReplyTo |
additional.fields["headerReplyTo"] |
O conteúdo completo do cabeçalho Reply-To:. |
host |
principal.hostname,principal.assest.hostname |
Contém o nome do host principal. |
id |
additional.fields |
Campos extras com dados de eventos específicos do fornecedor que não podem ser representados adequadamente nas seções formais do modelo UDM. |
id |
additional.fields |
Campos adicionais específicos do fornecedor. |
impostorScore |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
malwareScore |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
message_id |
network.email.mail_id |
Contém detalhes do mail_id. |
messageParts_contentType |
principal.file.mime_type |
Representa o tipo MIME de uma parte/componente específico da mensagem de e-mail. |
messageParts_disposition |
additional.fields |
Campos adicionais específicos do fornecedor. |
messageParts_oContentType |
additional.fields |
Campos adicionais específicos do fornecedor. |
messageParts_sandboxStatus |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
messageParts_sha256 |
principal.file.sha256 |
Contém detalhes do arquivo 256. |
messageTime |
metadata.event_timestamp |
O momento em que a mensagem foi entregue ao usuário ou colocada em quarentena pelo PPS. |
modulesRun |
security_result.detection_fields |
A lista de módulos do PPS que processaram a mensagem. |
modulesRun |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
orig_dest |
network.email.to |
O endereço de e-mail no cabeçalho/envelope SMTP inicial quando o e-mail chegou ao gateway. |
orig_recipient |
target.user.email_addresses |
O endereço de e-mail do destinatário. |
orig_src |
network.email.from |
O endereço de e-mail da fonte. |
policyRoutes |
additional.fields |
Campos adicionais específicos do fornecedor. |
process_id |
principal.process.pid |
Contém detalhes do PID do processo. |
QID |
additional.fields |
O ID da fila da mensagem no PPS. Ele pode ser usado para identificar a mensagem no PPS e não é exclusivo. |
quarantineFolder |
security_result.priority |
O nome da pasta que contém a mensagem em quarentena. |
quarantineRule |
security_result.rule_name |
O nome da regra que colocou a mensagem em quarentena. |
return_addr |
principal.user.email_addresses |
O endereço do envelope especificado durante o transporte SMTP (MAIL FROM). |
rt |
additional.fields |
Campos adicionais específicos do fornecedor. |
sender |
principal.user.email_addresses |
Contém o endereço de e-mail do remetente. |
src |
principal.ip,principal.asset.ip |
Contém o endereço IP principal. |
stag |
additional.fields |
Campos adicionais específicos do fornecedor. |
start |
additional.fields |
Campos adicionais específicos do fornecedor. |
status_code |
additional.fields |
Campos adicionais específicos do fornecedor. |
subject |
network.email.subject |
Contém o email.subject. |
threatsInfoMap_campaignID |
security_result.rule_id |
Um identificador da campanha a que a ameaça pertence, se disponível no momento da consulta. As ameaças podem ser vinculadas a campanhas mesmo depois que esses eventos são recuperados. |
threatsInfoMap_classification |
security_result.category,security_result.category_details |
A categoria de ameaça do URL malicioso. |
threatsInfoMap_detectionType |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatsInfoMap_threatID |
security_result.threat_id |
Contém detalhes do ID da ameaça. |
threatsInfoMap_threatTime |
metadata.event_timestamp se messageTime estiver vazio |
O horário em que a Proofpoint atribuiu o threatStatus. |
threatsInfoMap_threatTime |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatsInfoMap_threatType |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatsInfoMap_threatUrl |
security_result.url_back_to_product |
Contém o URL que redireciona para ver a inteligência contra ameaças, a análise de sandbox e os detalhes forenses da Proofpoint. |
threatStatistics_families_name0 |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
threatStatistics_families_score0 |
security_result.detection_fields |
Campos de detecção de segurança específicos do fornecedor. |
url |
security_result.about.url |
O URL suspeito/malicioso real. |
version |
additional.fields |
Campos adicionais específicos do fornecedor. |
vip |
additional.fields |
Campos adicionais específicos do fornecedor. |
xmailer |
security_result.detection_fields |
O conteúdo do cabeçalho X-Mailer:, se presente, ou campos de detecção de segurança específicos do fornecedor. |
Referência de delta de mapeamento de UDM
Em 9 de setembro de 2025, o Google SecOps lançou uma nova versão do analisador de alertas do Proofpoint TAP, que inclui mudanças significativas no mapeamento de campos de registro de alertas do Proofpoint TAP para campos da UDM e atualizações nas classificações (mapeamentos) de tipo de evento.
Delta de mapeamento de campo de registro
A tabela a seguir mostra as mudanças na forma como os campos de registro de alertas do Proofpoint TAP são mapeados para campos da UDM. A coluna Mapeamento antigo lista os campos expostos antes de 9 de setembro de 2025, e a coluna Mapeamento atual lista os novos campos.
| Campo de registro | Mapeamento antigo | Mapeamento atual |
|---|---|---|
clicks.impostorScore |
additional.fields |
security_result.detection_fields |
clicks.malwareScore |
additional.fields |
security_result.detection_fields |
clicks.phishScore |
additional.fields |
security_result.detection_fields |
clicks.quarantineFolder |
additional.fields |
Se quarantineFolder for igual a low priority ou high priority, mapeie para security_result.priority. Caso contrário, mapeie para security_result.detection_fields. |
clicks.quarantineRule |
additional.fields |
security_result.rule_name |
clicks.sender |
about.email |
Not Mapped |
clicks.senderIP |
about.ip |
principal.ip |
clicks.spamScore |
additional.fields |
security_result.detection_fields |
impostorScore |
additional.fields |
security_result.detection_fields |
malwareScore |
additional.fields |
security_result.detection_fields |
msg.impostorScore |
additional.fields |
security_result.detection_fields |
msg.malwareScore |
additional.fields |
security_result.detection_fields |
msg.phishScore |
additional.fields |
security_result.detection_fields |
msg.quarantineFolder |
additional.fields |
Se quarantineFolder for igual a low priority ou high priority, mapeie para security_result.priority. Caso contrário, mapeie para security_result.detection_fields. |
msg.quarantineRule |
additional.fields |
security_result.rule_name |
msg.spamScore |
additional.fields |
security_result.detection_fields |
msgPart.contentType |
additional.fields |
Not Mapped |
partData.contentType |
principal.process.file.mime_type |
about.file.mime_type |
partData.disposition |
security_result.detection_fields |
additional.fields |
partData.filename |
principal.process.file.full_path |
about.file.full_path |
partData.md5 |
principal.process.file.md5 |
about.file.md5 |
partData.sha256 |
about.file.sha1 |
about.file.sha256 |
phishScore |
additional.fields |
security_result.detection_fields |
quarantineFolder |
additional.fields |
Se quarantineFolder for igual a low priority ou high priority, mapeie para o campo security_result.priority do UDM. Caso contrário, mapeie para security_result.detection_fields. |
spamScore |
additional.fields |
security_result.detection_fields |
Delta de mapeamento de tipo de evento
Vários eventos que antes eram classificados como genéricos agora são classificados corretamente com tipos de eventos mais significativos.
A tabela a seguir lista o delta para o processamento de tipos de eventos de alertas do Proofpoint TAP antes e depois de 9 de setembro de 2025 (listados nas colunas Old event_type e Current event_type, respectivamente).
| Formatar | eventType do registro | Old event_type | event_type atual |
|---|---|---|---|
SYSLOG+KV |
Se o registro tiver os campos fromAddress, toAddresses, hfrom, from, value,to,rcpt,rcpts ou mailer,proto,mod |
EMAIL_TRANSACTION |
|
Se o registro contiver apenas detalhes de mail_id |
EMAIL_TRANSACTION |
EMAIL_UNCATEGORIZED |
|
Registros CEF |
eventname= messagesDelivered, messagesBlocked |
EMAIL_TRANSACTION |
|
se o registro tiver emails, sender, headerReplyTo, orig_recipient |
USER_UNCATEGORIED |
||
se o registro tiver src, host |
STATUS_UPDATE |
||
SYSLOG+JSON |
eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked |
EMAIL_TRANSACTION |
|
JSON |
record.address |
USER_UNCATEGORIZED |
|
lookalikeDomain.name |
STATUS_UPDATE |
Registro de alterações
Ver o registro de alterações deste analisador
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.