收集 Proofpoint TAP 提醒日志

支持范围：

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Proofpoint 定向攻击防护 (TAP) 提醒日志。

如需了解详情，请参阅 Google SecOps 数据注入。

注入标签标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 PROOFPOINT_MAIL 注入标签的解析器。

配置 Proofpoint TAP 提醒

  1. 使用您的凭据登录 Proofpoint 威胁洞察门户。
  2. 在设置标签页中，选择关联的应用。系统会显示服务凭据部分。
  3. 在名称部分，点击创建新凭证。
  4. 输入贵组织的名称，例如 altostrat.com。
  5. 点击生成。在生成的服务凭证对话框中，系统会显示服务主体和Secret值。
  6. 复制服务主体和密钥值。这些值仅在创建时显示，并且在您配置 Google Security Operations Feed 时需要用到。
  7. 点击完成。

设置 Feed

如需配置 Feed，请按以下步骤操作：

  1. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
  2. 点击添加新新闻信息流。
  3. 点击 Proofpoint Feed 包。
  4. 找到 Proofpoint Tap Alerts 日志类型。

  5. 为以下字段指定值：

    • 来源类型：第三方 API
    • 用户名：指定您之前获取的服务主体。
    • Secret：指定您之前获取的 Secret。

    高级选项

    • Feed 名称：用于标识 Feed 的预填充值。
    • 资产命名空间：与 Feed 关联的命名空间。
    • 注入标签：应用于此 Feed 中所有事件的标签。

  6. 点击创建 Feed。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型配置 Feed。如果您在创建 Feed 时遇到问题，请与 Google Security Operations 支持团队联系。

字段映射参考

此解析器可处理 JSON 或键值对格式的 Proofpoint Mail 日志，提取电子邮件和网络活动详细信息。它会将日志字段映射到 UDM，对电子邮件交易和网络 HTTP 请求等事件进行分类，并使用操作、类别和威胁信息等安全详细信息丰富这些事件。

限制

在分析 PROOFPOINT_MAIL 日志时，您可能会观察到具有历史时间戳的事件，尽管这些事件是实时提取的。此行为是 Proofpoint API 固有的，而非 Google SecOps 提取流水线所致。即使 Google SecOps 查询的是最新活动，Proofpoint API 也可能会返回几天前发生的事件。由于 Proofpoint 缓冲和发布事件数据的方式，PROOFPOINT_MAIL 日志类型的 event_timestamp 与 ingestion_time 之间预计会出现差异。如需了解详情，请参阅 Proofpoint 事件时间戳文档。

UDM 映射表

下表列出了 Proofpoint TAP 提醒原始日志字段与 UDM 字段的映射，并按格式进行了分类。

日志字段 UDM 字段 说明
clicksBlocked[].classification security_result.category,
security_result.category_details		 威胁的分类（例如 malware、phish）。
clicksBlocked[].clickIP principal.ip,
security_result.about.ip		 点击该网址的用户的 IP 地址。
clicksBlocked[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 点击的时间戳。
clicksBlocked[].GUID metadata.product_log_id 点击事件的唯一标识符。
clicksBlocked[].guid metadata.product_log_id 点击事件的唯一标识符。
clicksBlocked[].id additional.fields["id"] 唯一点击标识符。
clicksBlocked[].messageID network.email.mail_id 原始电子邮件 ID。
clicksBlocked[].recipient network.email.to,
target.user.email_addresses		 收件人的邮箱。
clicksBlocked[].sender network.email.from,
principal.user.email_addresses		 发件人的邮箱。用户部分经过哈希处理。域名部分为明文。
clicksBlocked[].senderIP principal.ip 原始发件人的 IP 地址。
clicksBlocked[].threatID security_result.threat_id 检测到的威胁的标识符。
clicksBlocked[].threatStatus security_result.threat_status 威胁的状态（Active、Cleared 等）。
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 Proofpoint 分配 threatStatus 的时间。
clicksBlocked[].threatUrl security_result.url_back_to_product 指向 TAP 信息中心内特定威胁条目的链接。
clicksBlocked[].url target.url,
security_result.about.url		 被点击的恶意网址。
clicksBlocked[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 执行点击的客户端的用户代理。
clicksPermitted[].classification security_result.category,
security_result.category_details		 威胁的分类（例如 malware、phish）。
clicksPermitted[].clickIP principal.ip,
security_result.about.ip		 点击该网址的用户的 IP 地址。
clicksPermitted[].clickTime metadata.event_timestamp,
additional.fields["clickTime"]		 点击的时间戳。
clicksPermitted[].GUID metadata.product_log_id 点击事件的唯一标识符。
clicksPermitted[].guid metadata.product_log_id 点击事件的唯一标识符。
clicksPermitted[].id additional.fields["id"] 唯一点击标识符。
clicksPermitted[].messageID network.email.mail_id 原始电子邮件 ID。
clicksPermitted[].recipient network.email.to,
target.user.email_addresses		 收件人的邮箱。
clicksPermitted[].sender network.email.from,
principal.user.email_addresses		 发件人的邮箱。用户部分经过哈希处理。域名部分为明文。
clicksPermitted[].senderIP principal.ip 原始发件人的 IP 地址。
clicksPermitted[].threatID security_result.threat_id 检测到的威胁的标识符。
clicksPermitted[].threatStatus security_result.threat_status 威胁的状态（活跃、已清除等）。
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 Proofpoint 分配 threatStatus 的时间。
clicksPermitted[].threatUrl security_result.url_back_to_product 指向 TAP 信息中心内特定威胁条目的链接。
clicksPermitted[].url target.url,
security_result.about.url		 被点击的恶意网址。
clicksPermitted[].userAgent network.http.user_agent,
network.http.parsed_user_agent		 执行点击的客户端的用户代理。
日志字段 UDM 字段 说明
messagesBlocked[].ccAddresses intermediary.user.email_addresses CC: 标头中包含的邮箱列表。
messagesBlocked[].cluster additional.fields["cluster"] 处理电子邮件事件的特定 Proofpoint 邮件处理集群（或租户部署）。
messagesBlocked[].clusterId additional.fields 处理消息的 PPS 集群的名称。
messagesBlocked[].fromAddress principal.user.email_addresses，如果未使用 messagesBlocked[].sender，则需要使用
network.email.from		 From: 标头中包含的电子邮件地址（不包括易记名称）。
messagesBlocked[].guid metadata.product_log_id PPS 中消息的 ID。它可用于在 PPS 中标识消息，并且始终是唯一的。
messagesBlocked[].GUID metadata.product_log_id PPS 中消息的 ID。它可用于在 PPS 中标识消息，并且始终是唯一的。
messagesBlocked[].headerCC additional.fields["headerCC "] 包含 headerCC 详细信息。
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] Reply-To: 标头的完整内容（如果存在），包括任何易记名称。
messagesBlocked[].id additional.fields["id"] 包含消息 ID 详细信息。
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] 邮件的冒充者得分。
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] 邮件的恶意软件得分。
messagesBlocked[].messageID network.email.mail_id 从电子邮件标头中提取的 Message-ID。它可用于在 PPS 中查找关联的消息，并且是唯一的。
messagesBlocked[].messageParts[].contentType about.file.mime_type 文件的 MIME 类型。
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] 邮件部分的处理方式（例如，附件、内嵌）。动态编入索引。
messagesBlocked[].messageParts[].md5 about.file.md5 邮件部分/文件的 MD5 哈希。
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] messagePart 的声明 Content-Type。
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] 沙盒中文件分析的状态。
messagesBlocked[].messageParts[].sha256 about.file.sha256 邮件部分/文件的 SHA256 哈希。
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path 文件或附件的名称。
messagesBlocked[].messageSize additional.fields["messageSize"] 邮件的大小（以字节为单位），包括标头和附件。
messagesBlocked[].messageTime metadata.event_timestamp 邮件递送给用户或被 PPS 隔离的时间。
messagesBlocked[].modulesRun additional.fields["modulesRun"] 处理消息的 PPS 模块列表。
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] 邮件的钓鱼式攻击得分。
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] PPS 在处理邮件期间，邮件匹配的政策路由。
messagesBlocked[].QID additional.fields["QID"] PPS 中消息的队列 ID。它可用于在 PPS 中标识消息，但不是唯一的。
messagesBlocked[].quarantineFolder 如果 messagesBlocked[].quarantineFolder 为“低优先级”或“高优先级”，则为 security_result.priority，
否则为 security_result.detection_fields ["quarantineFolder"]		 包含隔离邮件的文件夹的名称。
messagesBlocked[].recipient network.email.to 包含收件人电子邮件地址的数组。
messagesBlocked[].replyToAddress 如果 network.email.reply_to 是有效的电子邮件地址，则为 ，否则为
additional.fields["replyTo"]		 Reply-To: 标头中包含的电子邮件地址。
messagesBlocked[].sender network.email.from 发件人的邮箱。
messagesBlocked[].senderIP principal.ip,
principal.asset.ip		 发件人的邮箱。
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] 邮件的垃圾邮件评分。
messagesBlocked[].subject network.email.subject 邮件主题。
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] 分配给收件人的内部子组织 ID 数组。
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] 分配给发件人的内部子组织 ID。
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id 威胁所属广告系列的标识符（如果在查询时可用）。即使在检索到这些事件后，威胁也可以与广告系列相关联。
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id 威胁所属广告系列的标识符（如果在查询时可用）。即使在检索到这些事件后，威胁也可以与广告系列相关联。
messagesBlocked[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 在邮件中发现的威胁类别。
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 消息的重写状态。如果值为 true，则表示邮件中的所有网址威胁实例均已成功重写。如果值为 false，则表示至少有一个威胁网址实例未被重写。如果值为 na，则表示邮件不包含任何基于网址的威胁。
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields 响应中添加了新字段 detectionType 和 ThreatInfo。
messagesBlocked[].threatsInfoMap[].threat 如果 threatType 为url，则为 security_result.about.url；
如果为 attachment，则为 security_result.about.file.sha256；
如果为 messageText，则为 security_result.about.resource.name；
值为 Email 且键为 threatType 的 result.about.resource.attribute.labels；
security_result.about.resource.name；
security_result.about.resource.attribute.labels		 威胁类型是附件、网址还是邮件。
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id 与此威胁关联的唯一标识符。它可用于查询取证和广告系列端点。
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields 一个结构数组，其中包含有关操作者 ID 的详细信息。
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields 一个结构数组，其中包含有关操作者 ID 的详细信息。
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields 一个结构数组，其中包含有关操作者 ID 的详细信息。
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status 威胁的当前状态。
messagesBlocked[].threatsInfoMap[].threatTime 如果 messagesBlocked[].messageTime 不存在，则为 metadata.event_timestamp
security_result.detection_fields		 Proofpoint 分配 threatStatus 的时间。
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name 一个字符串，用于指定将在数据中返回哪种威胁类型。
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product 指向 TAP 信息中心内关于该威胁的条目的链接。
messagesBlocked[].toAddresses target.user.email_addresses To: 标头中包含的邮箱列表。
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] X-Mailer: 标头的内容。
messagesDelivered[].ccAddresses intermediary.user.email_addresses CC: 标头中包含的邮箱列表。
messagesDelivered[].cluster additional.fields["cluster"] 处理电子邮件事件的特定 Proofpoint 邮件处理集群（或租户部署）。
messagesDelivered[].clusterId additional.fields 处理消息的 PPS 集群的名称。
messagesDelivered[].fromAddress principal.user.email_addresses，如果未使用 messagesDelivered[].sender，则需要使用
network.email.from		 From: 标头中包含的电子邮件地址（不包括易记名称）。
messagesDelivered[].GUID metadata.product_log_id PPS 中消息的 ID。它可用于在 PPS 中标识消息，并且始终是唯一的。
messagesDelivered[].guid metadata.product_log_id PPS 中消息的 ID。它可用于在 PPS 中标识消息，并且始终是唯一的。
messagesDelivered[].headerCC additional.fields["headerCC "] 包含 headerCC 详细信息。
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] Reply-To: 标头的完整内容（如果存在），包括任何易记名称。
messagesDelivered[].id additional.fields["id "] 包含消息 ID 详细信息。
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] 邮件的冒充者得分。
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] 邮件的恶意软件得分。
messagesDelivered[].messageID network.email.mail_id 从电子邮件标头中提取的 Message-ID。它可用于在 PPS 中查找关联的消息，并且不是唯一的。
messagesDelivered[].messageParts[].contentType about.file.mime_type 文件的 MIME 类型。
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] 邮件部分的处理方式（例如，附件、内嵌）。动态编入索引。
messagesDelivered[].messageParts[].md5 about.file.md5 邮件部分/文件的 MD5 哈希。
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] messagePart 的声明 Content-Type。
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] 沙盒中文件分析的状态。
messagesDelivered[].messageParts[].sha256 about.file.sha256 邮件部分/文件的 SHA256 哈希。
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path 文件或附件的名称。
messagesDelivered[].messageSize additional.fields["messageSize"] 邮件的大小（以字节为单位），包括标头和附件。
messagesDelivered[].messageTime metadata.event_timestamp 邮件递送给用户或被 PPS 隔离的时间。
messagesDelivered[].modulesRun additional.fields["modulesRun"] 处理过该邮件的 PPS 模块列表。
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] 邮件的钓鱼式攻击得分。
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] PPS 在处理邮件期间，邮件匹配的政策路由。
messagesDelivered[].QID additional.fields["QID"] PPS 中消息的队列 ID。它可用于在 PPS 中标识消息，但不是唯一的。
messagesDelivered[].quarantineFolder 如果 messagesDelivered[].quarantineFolder 为“低优先级”或“高优先级”，则为 security_result.priority，
否则为 security_result.detection_fields ["quarantineFolder"]		 包含隔离邮件的文件夹的名称。
messagesDelivered[].recipient network.email.to 包含收件人电子邮件地址的数组。
messagesDelivered[].replyToAddress 如果 是有效的电子邮件地址，则为 network.email.reply_to，否则为
additional.fields ["replyTo"]		 Reply-To: 标头中包含的电子邮件地址。
messagesDelivered[].senderIP principal.ip,
principal.asset.ip		 发件人的邮箱。
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] 邮件的垃圾邮件评分。
messagesDelivered[].subject network.email.subject 邮件主题。
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] 分配给收件人的内部子组织 ID 数组。
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] 分配给发件人的内部子组织 ID
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id 威胁所属广告系列的标识符（如果在查询时可用）。即使在检索到这些事件后，威胁也可以与广告系列相关联。
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id 威胁所属广告系列的标识符（如果在查询时可用）。即使在检索到这些事件后，威胁也可以与广告系列相关联。
messagesDelivered[].threatsInfoMap[].classification security_result.category,
security_result.category_details		 在邮件中发现的威胁类别。
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields,
security_result.action		 消息的重写状态。如果值为 true，则表示邮件中的所有网址威胁实例均已成功重写。如果值为 false，则表示至少有一个威胁网址实例未被重写。如果值为 na，则表示邮件不包含任何基于网址的威胁。
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields 响应中添加了新字段 detectionType 和 ThreatInfo。
messagesDelivered[].threatsInfoMap[].threat 如果 threatType 为 url，则为 security_result.about.url；
如果 threatType 为 attachment，则为 security_result.about.file.sha256；
如果 threatType 为 messageText，则为 security_result.about.resource.name；
否则为 security_result.about.resource.name；
值为 Email 且键为 threatType 的 result.about.resource.attribute.labels；
security_result.about.resource.name；
security_result.about.resource.attribute.labels		 威胁类型是附件、网址还是邮件。
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id 与此威胁关联的唯一标识符。它可用于查询取证和广告系列端点。
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields 一个结构数组，其中包含有关操作者 ID 的详细信息。
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields 一个结构数组，其中包含有关操作者 ID 的详细信息。
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields 一个结构数组，其中包含有关操作者 ID 的详细信息。
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status 威胁的当前状态。
messagesDelivered[].threatsInfoMap[].threatTime 如果 messagesDelivered[].messageTime 不存在，则为 metadata.event_timestamp
security_result.detection_fields		 Proofpoint 分配 threatStatus 的时间。
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name 一个字符串，用于指定将在数据中返回哪种威胁类型。
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product 指向 TAP 信息中心内关于该威胁的条目的链接。
messagesDelivered[].toAddresses target.user.email_addresses To: 标头中包含的邮箱列表。
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] X-Mailer: 标头的内容。
msg.accountType 特定于供应商的其他字段。
msg.address principal.user.email_addresses 与受监控或评估威胁活动的账号关联的具体邮箱。
msg.dashboardLink security_result.url_back_to_product 指向“威胁分析”信息中心的链接。
msg.deliveredMessages 特定于供应商的其他字段。
msg.eventTime 如果 messageTime 和 threatTime 为空，则为 metadata.event_timestamp 生成此威胁观察或日志事件的确切世界协调时间 (UTC) 时间戳。
msg.highRisk security_result.action 一个布尔值标志（true/false），用于指示 Proofpoint 是否将此账号归类为具有较高的安全风险或泄露级别。
msg.identity 特定于供应商的其他字段。
msg.maliciousMessages 特定于供应商的其他字段。
msg.observations[] additional.fields["observations"] 由 Proofpoint 算法标记的特定威胁情报行为标记或异常指标列表。
msg.timeRanges[].end additional.fields 一个时间窗口数组，显示此账号的可疑行为或威胁指标被主动观察到的时间。
msg.timeRanges[].falsePositive additional.fields 一个时间窗口数组，显示此账号的可疑行为或威胁指标被主动观察到的时间。
msg.timeRanges[].start,msg additional.fields 一个时间窗口数组，显示此账号的可疑行为或威胁指标被主动观察到的时间。
msg.trafficType 特定于供应商的其他字段。
queryEndTime metadata.collected_timestamp 所查询数据的时间段结束时间。
sender_domain principal.domain.name 从 messagesBlocked[].fromAddress 或 messagesDelivered[].fromAddress 中提取，由发件人的域名组成。

Syslog 格式的日志字段

日志字段 UDM 字段 说明
a additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
action security_result.action,
security_result.action_details		 包含操作详情。
active security_result.threat_status 威胁状态。
adjust additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
adultscore additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
application principal.application 包含主要应用详细信息。
attachments additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
bits additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
bulkscore additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
campaignID security_result.rule_id 威胁所属广告系列的标识符（如果在查询时可用）。即使在检索到这些事件后，威胁也可以与广告系列相关联。
ccAddresses intermediary.user.email_addresses CC: 标头中包含的邮箱列表。
cid additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
cipher network.tls.cipher 包含 tls.cipher 详细信息。
cipher_bits additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
class security_result.category,
security_result.category_details		 恶意网址的威胁类别。
classifier security_result.category 在邮件中发现的威胁类别。
clickIP security_result.about.ip、principal.ip、
principal.asset.ip		 点击链接的用户的外部 IP 地址。如果用户位于执行网络地址转换的防火墙后面，则系统会显示防火墙的 IP 地址。
clickTime 如果 messageTime 不存在，则为 metadata.event_timestamp 用户点击网址的时间。
cluster additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
clusterId additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
clx_result_group additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
clx_score additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
clx_shade additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
clxscore additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
cmd 如果 STS 不为空，则为 network.http.method，
principal.process.command_line否则		 如果 STS 不为空，则包含 HTTP 方法；否则，包含命令行详细信息。
completelyRewritten security_result.action,
security_result.detection_fields["completelyRewritten"]		 消息的重写状态。如果值为 true，则表示邮件中的所有网址威胁实例均已成功重写。如果值为 false，则表示至少有一个威胁网址实例未被重写。如果值为 na，则表示邮件不包含任何基于网址的威胁。
corrupted additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
country principal.location.country_or_region 包含国家/地区详细信息。
daemon additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
date_log metadata.event_timestamp（如果 messageTime、clickTime 和 threatTime 不存在） syslog 中存在的时间戳。
date_log_rebase metadata.event_timestamp（如果 messageTime、clickTime 和 threatTime 不存在） syslog 中存在的时间戳。
default additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
definitions additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
delay additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
dict security_result.category_details 包含 category_details。
dnsid network.dns.id 包含 DNS ID 详细信息。
domain principal.administrative_domain 包含 administrative_domain 详细信息。
dsn additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
duration additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
eid additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
elapsed additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
engine metadata.product_version 包含 product_version 详细信息。
envid additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
err security_result.description 说明。
evt extensions.auth.auth_details 身份验证详细信息。
expires additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
file about.process.file.full_path 包含文件完整路径详细信息。
from network.email.from 包含发件人的电子邮件地址。
fromAddress network.email.from From: 标头中包含的电子邮件地址。
guid metadata.product_log_id PPS 中消息的 ID。它可用于在 PPS 中标识消息，并且始终是唯一的。
hdr_mid network.email.mail_id 包含 mail_id 详细信息。
headerFrom additional.fields["headerFrom"] From: 标头的完整内容，包括任何易记名称。
headerReplyTo additional.fields["headerReplyTo"] Reply-To: 标头的完整内容（如果存在）。
headerTo additional.fields 特定于供应商的其他字段。
helo security_result.detection_fields 供应商专属安全检测字段。
hfrom network.email.from 包含发件人的邮箱。
hfrom_domain principal.administrative_domain 包含 administrative_domain 详细信息。
hops-ip intermediary.ip 包含中间 IP 地址。
host principal.hostname 包含主机名详细信息。
id additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
id additional.fields 特定于供应商的其他字段。
impostor_score security_result.detection_fields 供应商专属安全检测字段。
impostorScore security_result.detection_fields 邮件的冒充者得分。
inter_host intermediary.hostname 包含中间主机名详细信息。
intermediary_hostname intermediary.hostname 包含中间主机名。
intermediary_ip intermediary.ip 包含中间 IP 地址。
ip principal.ip,
principal.asset.ip		 包含发件人的 IP 地址
len additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
lint security_result.detection_fields 供应商专属安全检测字段。
lip intermediary.ip 包含中间 IP 地址。
log_level security_result.severity 包含严重程度详情。
lowpriorityscore additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
m network.email.mail_id 包含 mail_id 详细信息。
mailer network.application_protocol 包含 application_protocol 详细信息。
malwareScore security_result.detection_fields 供应商专属安全检测字段。
messageID network.email.mail_id 从电子邮件标头中提取的 Message-ID。
messageParts[].contentType about.file.mime_type 文件的 MIME 类型。
messageParts[].disposition additional.fields["disposition "] 邮件部分的处理方式（例如，附件、内嵌）。动态编入索引。
messageParts[].filename about.file.full_path 文件或附件的名称。
messageParts[].md5 about.file.md5 邮件部分/文件的 MD5 哈希。
messageParts[].oContentType additional.fields["oContentType "] messagePart 的声明 Content-Type。
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] 沙盒中文件分析的状态。
messageParts[].sha256 about.file.sha256 邮件部分/文件的 SHA256 哈希。
messageTime metadata.event_timestamp 邮件递送给用户或被 PPS 隔离的时间。
mime principal.process.file.mime_type 包含文件 mime_type 的详细信息。
mlxscore additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
mod network.application_protocol 包含 application_protocol 详细信息。
module additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
modulesRun security_result.detection_fields 处理过该邮件的 PPS 模块列表。
modulesRun security_result.detection_fields 供应商专属安全检测字段。
msg security_result.description 说明。
msghold_response additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
msgid network.email.mail_id 包含 mail_id 详细信息。
msgs additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
name about.process.file.full_path 包含文件的完整路径。
notroutes additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
nrcpts additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
path principal.url 包含网址详情。
phishscore security_result.detection_fields 邮件的钓鱼式攻击得分。
pid principal.process.pid 包含 PID 详细信息。
policy network.direction 描述网络流。包含入站/出站值。
pri additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
principal_hostname principal.hostname,
principal.asset.hostname		 包含主账号主机名详细信息。
principal_ip_1 principal.ip,
principal.assest.ip		 包含主账号 IP 详细信息。
principal_ip_2 principal.ip,
principal.assest.ip		 包含主账号 IP 详细信息。
principal_ip_3 principal.ip,
principal.assest.ip		 包含主账号 IP 详细信息。
principal_ip_4 principal.ip,
principal.assest.ip		 包含主账号 IP 详细信息。
principal_ip_5 principal.ip,
principal.assest.ip		 包含主账号 IP 详细信息。
principal_ip_6 principal.ip,
principal.assest.ip		 包含主账号 IP 详细信息。
principal_ip_7 principal.ip,
principal.assest.ip		 包含主账号 IP 详细信息。
principal_ip_8 principal.ip,
principal.assest.ip		 包含主体 IP 详细信息。
principal_ip_port_1 principal.resource.attribute.labels 包含主端口详细信息。
principal_ip_port_2 principal.resource.attribute.labels 包含主端口详细信息。
principal_ip_port_3 principal.resource.attribute.labels 包含主端口详细信息。
principal_ip_port_4 principal.resource.attribute.labels 包含主端口详细信息。
principal_ip_port_5 principal.resource.attribute.labels 包含主端口详细信息。
principal_ip_port_6 principal.resource.attribute.labels 包含主端口详细信息。
principal_ip_port_7 principal.resource.attribute.labels 包含主端口详细信息。
principal_ip_port_8 principal.resource.attribute.labels 包含主端口详细信息。
principal_pid principal.process.pid 捕获进程 PID。
priority_score security_result.detection_fields 供应商专属安全检测字段。
priorityscore additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
profile additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
prot network.application_protocol 包含 application_protocol 详细信息。
protected additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
proto network.application_protocol 包含 application_protocol 详细信息。
pss additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
qid additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
quarantineFolder security_result.priority 包含隔离邮件的文件夹的名称。
quarantineRule security_result.rule_name 隔离邮件的规则的名称。
query additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
querydepth additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
rcode additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
rcpt network.email.to 包含收件人的邮箱。
rcpts network.email.to 包含收件人的邮箱
reason additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
recipient target.user.email_addresses 包含收件人电子邮件详细信息。
reject additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
reply additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
replyToAddress network.email.reply_to Reply-To: 标头中包含的电子邮件地址。
resolve additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
restquery_stage additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
result security_result.action 包含操作详情。
result additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
result_detail security_result.description 提供说明。
reverse additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
routes additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
rss additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
rule security_result.rule_name 包含 rule_name。
s network.session_id 包含 session_id 详细信息。
scancount additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
scope additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
score additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
selector additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
sender principal.user.email_addresses 包含发件人电子邮件详细信息。
senderIP principal.ip,
principal.assest.ip		 包含发件人 IP 详细信息。
sendmail_queue_id additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
sha256 security_result.about.file.sha256 SHA256 文件详细信息。
size principal.process.file.size` 包含文件大小详细信息。
smtputf8 additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
spamscore security_result.detection_fields 邮件的垃圾邮件评分。
src_host principal.hostname,
principal.asset.hostname		 包含主账号主机名详细信息。
STARTTLS additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
stat additional.fields 包含状态详情。
status additional.fields 包含状态详情。
sts network.http.response_code 包含 response_code 数据。
subject network.email.subject 包含 email.subject。
subject network.email.subject 包含电子邮件主题详细信息。
suspectscore additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
sys additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
sz principal.process.file.size 包含文件大小详细信息。
tests additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
threat 如果 threatType 为 url，则为 security_result.about.url
如果 threatType 为 attachment，则为 security_result.about.file.sha256
如果 threatType 为 messageText，则为 security_result.about.resource.name
值为 Email 且键为 threatType 的 result.about.resource.attribute.labels
security_result.about.resource.name
键为 ["threatType"] 的 security_result.about.resource.attribute.labels
threatID security_result.threat_id 包含威胁 ID 详情。
threatsInfoMap[].campaignID security_result1.rule_id 威胁所属广告系列的标识符（如果在查询时可用）。即使在检索到这些事件后，威胁也可以与广告系列相关联。
threatsInfoMap[].classification security_result.category
security_result.category_details		 在邮件中发现的威胁类别。
threatsInfoMap[].threat 如果 threatType 为 url，则为 security_result.about.url
如果 threatType 为 attachment，则为 security_result.about.file.sha256
如果 threatType 为 messageText，则为 security_result.about.resource.name
值为 Email 且键为 threatsInfoMap[].threatType 的 result.about.resource.attribute.labels
否则为 security_result.about.resource.name
键为 ["threatType"] 的 security_result.about.resource.attribute.labels		 一个结构数组，其中包含有关邮件中检测到的威胁的详细信息。每封邮件可能包含多个威胁。
threatsInfoMap[].threatID security_result.threat_id 包含威胁 ID 详情。
threatsInfoMap[].threatStatus security_result.threat_status 威胁的当前状态。
threatsInfoMap[].threatTime 如果 messageTime 和 clickTime 不存在，则为 metadata.event_timestamp，
security_result.detection_fields
threatsInfoMap[].threatType 如果 threatType 为 url，则为 security_result.about.url
如果 threatType 为 attachment，则为 security_result.about.file.sha256
如果 threatType 为 messageText，则为 security_result.about.resource.name
值为 Email 且键为 threatsInfoMap[].threatType 的 result.about.resource.attribute.labels
security_result.about.resource.name，
键为 ["threatType"] 的 security_result.about.resource.attribute.labels		 一个结构数组，其中包含有关邮件中检测到的威胁的详细信息。每封邮件可能包含多个威胁。
threatsInfoMap[].threatUrl security_result.url_back_to_product 指向 TAP 信息中心内特定威胁条目的链接。
threatStatus security_result.threat_status 威胁的当前状态。
threatTime 如果 messageTime 和 clickTime 不存在，则为 metadata.event_timestamp Proofpoint 将网址识别为威胁的时间。
threatType 如果 threatType 为 url，则为 security_result.about.url
如果 threatType 为 attachment，则为 security_result.about.file.sha256
如果 threatType 为 messageText，则为 security_result.about.resource.name
值为 Email 且键为 threatType 的 result.about.resource.attribute.labels
security_result.about.resource.name
键为 ["threatType"] 的 security_result.about.resource.attribute.labels
threatURL security_result.url_back_to_product 指向 TAP 信息中心内特定威胁条目的链接。
threshold additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
tls network.tls.cipher 包含 tls.cipher 详细信息。
tls-alert security_result.description 提供说明
tls_verify security_result.action 包含验证详情。
tls_version network.tls.version 包含 TLS 版本详情。
to network.email.to 包含收件人的邮箱。
toAddresses network.email.to To: 标头中包含的邮箱列表。
token additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
ts metadata.event_timestamp（如果 messageTime、clickTime 和 threatTime 不存在） syslog 中存在的时间戳。
type additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
uri principal.url 包含网址详情。
url_count additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
userAgent network.http.user_agent,
network.http.parsed_user_agent		 HTTP 用户代理。
value network.email.from 包含发件人的邮箱。
vendor additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
verify security_result.action 包含验证详情。
version network.tls.version 包含 TLS 版本详情。
virtual additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
virusthreat security_result.threat_name 包含威胁名称详情。
virusthreatid security_result.threat_id 包含威胁 ID 详情。
warn additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
x additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
X-Proofpoint-Spam-Details additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
xdelay additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
xmailer security_result.detection_fields X-Mailer: 标头（如果存在）或供应商专用安全检测字段的内容。

CEF 日志字段

日志字段 UDM 字段 说明
cluster additional.fields 特定于供应商的其他字段。
file_hash principal.file.md5 包含文件 MD5 详细信息。
file_name principal.file.full_path 包含路径。
GUID metadata.product_log_id 包含 product_log_id。
guid metadata.product_log_id 包含 product_log_id。
headerFrom additional.fields From: 标头的完整内容。
headerReplyTo additional.fields["headerReplyTo"] Reply-To: 标头的完整内容。
host principal.hostname,
principal.assest.hostname		 包含主体主机名。
id additional.fields 包含供应商特定事件数据的其他字段，这些数据无法在 UDM 模型的正式部分中充分表示。
id additional.fields 特定于供应商的其他字段。
impostorScore security_result.detection_fields 供应商专属安全检测字段。
malwareScore security_result.detection_fields 供应商专属安全检测字段。
message_id network.email.mail_id 包含 mail_id 详细信息。
messageParts_contentType principal.file.mime_type 表示电子邮件中特定部分/组件的 MIME 类型。
messageParts_disposition additional.fields 特定于供应商的其他字段。
messageParts_oContentType additional.fields 特定于供应商的其他字段。
messageParts_sandboxStatus security_result.detection_fields 供应商专属安全检测字段。
messageParts_sha256 principal.file.sha256 包含文件 256 的详细信息。
messageTime metadata.event_timestamp 邮件递送给用户或被 PPS 隔离的时间。
modulesRun security_result.detection_fields 处理过该邮件的 PPS 模块列表。
modulesRun security_result.detection_fields 供应商专属安全检测字段。
orig_dest network.email.to 电子邮件到达网关时，初始 SMTP 信封/标头中的电子邮件地址。
orig_recipient target.user.email_addresses 收件人的邮箱。
orig_src network.email.from 来源的邮箱。
policyRoutes additional.fields 特定于供应商的其他字段。
process_id principal.process.pid 包含进程 PID 详细信息。
QID additional.fields PPS 中消息的队列 ID。它可用于在 PPS 中标识消息，但不是唯一的。
quarantineFolder security_result.priority 包含隔离邮件的文件夹的名称。
quarantineRule security_result.rule_name 隔离邮件的规则的名称。
return_addr principal.user.email_addresses SMTP 传输期间指定的信封地址 (MAIL FROM)。
rt additional.fields 特定于供应商的其他字段。
sender principal.user.email_addresses 包含发件人的邮箱。
src principal.ip,
principal.asset.ip		 包含主账号 IP 地址。
stag additional.fields 特定于供应商的其他字段。
start additional.fields 特定于供应商的其他字段。
status_code additional.fields 特定于供应商的其他字段。
subject network.email.subject 包含 email.subject。
threatsInfoMap_campaignID security_result.rule_id 威胁所属广告系列的标识符（如果在查询时可用）。即使在检索到这些事件后，威胁也可以与广告系列相关联。
threatsInfoMap_classification security_result.category,
security_result.category_details		 恶意网址的威胁类别。
threatsInfoMap_detectionType security_result.detection_fields 供应商专属安全检测字段。
threatsInfoMap_threatID security_result.threat_id 包含威胁 ID 详情。
threatsInfoMap_threatTime 如果 messageTime 为空，则为 metadata.event_timestamp Proofpoint 分配 threatStatus 的时间。
threatsInfoMap_threatTime security_result.detection_fields 供应商专属安全检测字段。
threatsInfoMap_threatType security_result.detection_fields 供应商专属安全检测字段。
threatsInfoMap_threatUrl security_result.url_back_to_product 包含重定向到 Proofpoint 威胁情报、沙盒分析和取证详情视图的网址。
threatStatistics_families_name0 security_result.detection_fields 供应商专属安全检测字段。
threatStatistics_families_score0 security_result.detection_fields 供应商专属安全检测字段。
url security_result.about.url 实际的可疑/恶意网址。
version additional.fields 特定于供应商的其他字段。
vip additional.fields 特定于供应商的其他字段。
xmailer security_result.detection_fields X-Mailer: 标头（如果存在）或供应商专用安全检测字段的内容。

UDM 映射增量参考

2025 年 9 月 9 日，Google SecOps 发布了新版 Proofpoint TAP 提醒解析器，其中对 Proofpoint TAP 提醒日志字段到 UDM 字段的映射进行了重大更改，并更新了事件类型分类（映射）。

日志字段映射增量

下表显示了 Proofpoint TAP 提醒日志字段与 UDM 字段的映射方式的变化。 旧映射列列出了 2025 年 9 月 9 日之前公开的字段，当前映射列列出了新字段。

日志字段 旧映射 当前映射
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields 如果 quarantineFolder等于 low priority或 high priority，则映射到 security_result.priority。否则，请映射到 security_result.detection_fields。
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields 如果 quarantineFolder等于 low priority或 high priority，则映射到 security_result.priority。否则，请映射到 security_result.detection_fields。
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields 如果 quarantineFolder 等于 low priority 或 high priority，则映射到 UDM 字段 security_result.priority。否则，请映射到 security_result.detection_fields。
spamScore additional.fields security_result.detection_fields

事件类型映射增量

之前被归类为常规事件的多个事件现在已正确归类为更有意义的事件类型。

下表列出了 2025 年 9 月 9 日之前和之后处理 Proofpoint TAP 提醒事件类型的差异（分别列在旧 event_type 和当前 event_type 列中）。

格式 日志中的 eventType 旧 event_type Current event_type
SYSLOG+KV 如果日志包含 fromAddress、toAddresses、hfrom、from、value、to、rcpt、rcpts 或 mailer，则 proto、mod 字段会存在 EMAIL_TRANSACTION
如果日志仅包含 mail_id 详细信息 EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
CEF 日志 eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
如果日志具有 emails、sender、headerReplyTo、orig_recipient USER_UNCATEGORIED
如果日志包含 src、host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered, messagesBlocked, clicksPermitted, clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。