Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Proofpoint On-Demand-Protokolle erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Proofpoint On-Demand-Logs mithilfe der integrierten API-Integration in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus JSON-Logs und wandelt sie in das Chronicle-UDM-Format um. Es verarbeitet zwei primäre Logformate: eines mit E-Mail-Metadaten und eines mit SMTP-Transaktionsdetails. Dabei wird bedingte Logik verwendet, um Felder entsprechend zu parsen und die UDM-Felder (Unified Data Model) basierend auf den verfügbaren Daten zu füllen. Der Parser führt auch eine Datenbereinigung durch, z. B. das Entfernen überflüssiger Zeichen und das Konvertieren von Zeitstempeln.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Google SecOps-Instanz
Proofpoint On-Demand Remote Syslog-Lizenz
Privilegierter Zugriff auf Proofpoint

Proofpoint On-Demand-API-Zugriff konfigurieren

Melden Sie sich im Proofpoint Admin-Portal an.
Kopieren Sie Ihre Cluster-ID (wird oben rechts in der Verwaltungsoberfläche neben der Releasenummer angezeigt).
Rufen Sie Einstellungen > API-Schlüsselverwaltung auf.
Klicken Sie auf Neu erstellen, um das Dialogfeld Neuen API-Schlüssel erstellen zu öffnen.
Geben Sie einen eindeutigen Namen ein, z. B. Google SecOps Key.
Generieren Sie den API-Schlüssel.
Wählen Sie im Dreipunkt-Menü des neuen API-Schlüssels die Option Details ansehen aus.
Kopieren Sie den API-Schlüssel.

Feeds einrichten

So konfigurieren Sie einen Feed:

Rufen Sie die SIEM-Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf das Feedpaket Proofpoint.
Wählen Sie den Protokolltyp Proofpoint On-Demand aus.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
- Quelltyp: Drittanbieter-API
- HTTP-Header für die Authentifizierung: Geben Sie den Proofpoint-API-Schlüssel im Format Authorization: Bearer {API_KEY} ein und fügen Sie eine neue Zeile mit den folgenden WebSocket-Key-Daten hinzu: Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ==.
- Cluster-ID: Geben Sie die Proofpoint-Cluster-ID ein, die Sie zuvor kopiert haben.
Erweiterte Optionen

Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

Klicken Sie auf Feed erstellen.

UDM-Zuordnungstabelle

In den folgenden Tabellen sind die Zuordnungen von Proofpoint On-Demand-Logfeldern zu UDM-Feldern aufgeführt.

Ereignistypzuordnungen

In der folgenden Tabelle sind die Proofpoint On-Demand-Ereignistypzuordnungen aufgeführt. Weitere Informationen finden Sie unter Metadata.EventType und Metadata.

Ereignistyp	Zuordnung	Anmerkungen
`EMAIL_TRANSACTION`	`metadata.event_type`	Wenn `(([has_sender_email] == "true" or [has_recipient_email] == "true") and (([has_principal] == "true" or [has_principal_user] == "true")))`.
`GENERIC_EVENT`	`metadata.event_type`	Standard-Fallback für `event_type`.
`NETWORK_CONNECTION`	`metadata.event_type`	Wenn `[has_principal] == "true" and [has_target] == "true"`.
`STATUS_UPDATE`	`metadata.event_type`	Wenn `[has_principal] == "true"`.

Allgemeine Logfelder

Logfeld	UDM-Zuordnung	Anmerkungen
`aliasedRcptsvalue.alias`	`additional.fields`
`aliasedRcptsvalue.primary`	`additional.fields`
`alignment.fromDomain`	`additional.fields`
`alignmentresult.identity`	`security_result.detection_fields`
`alignmentresult.identityOrg`	`security_result.detection_fields`
`alignmentresult.result`	`security_result.detection_fields`
`ALLOW`	`security_result.action`	Wenn `[tls][verify] == "OK"` oder `[filter][disposition] in ["continue", "accept", "CLEAR", "OK", "redirect"]`.
`app_protocol_output`	`network.application_protocol`	Aus einem `data`-Feld extrahiert.
`audit.action`	`security_result.about.resource.attribute.labels`
`audit.level`	`security_result.severity_details`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`audit.resourceType`	`target.resource.name`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`audit.tags.value`	`security_result.detection_fields`
`audit.user.email`	`principal.user.email_addresses`	Wenn `[audit][user][email] =~ "^.+@.+$"`.
`audit.user.id`	`principal.user.userid`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`audit.user.ipAddress`	`principal.asset.ip`, `principal.ip`
`autheresults.method`	`security_result.detection_fields`
`autheresults.result`	`additional.fields`
`BLOCK`	`security_result.action`	Wenn `[tls][verify] == "FAIL"` oder `[filter][disposition] in ["discard", "reject"]`.
`campaignID`	`security_result.detection_fields`
`cc`	`network.email.cc`	Wenn `[cc] =~ "^.+@.+$"`.
`CHALLENGE`	`security_result.action`	Wenn `[filter][disposition] in ["hold", "retry"]`.
`charsets`	`security_result.detection_fields`
`classification`	`security_result.detection_fields`
`cluster`	`security_result.detection_fields`
`cmd`	`principal.process.command_line`	Aus einem `data`-Feld extrahiert.
`completelyRewritten`	`security_result.detection_fields`
`connection.country`	`principal.location.country_or_region`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`connection.helo`	`network.smtp.helo`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`connection.host`	`principal.asset.hostname`, `principal.hostname`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`connection.ip`	`principal.asset.ip`, `principal.ip`
`connection.resolveStatus`	`additional.fields`
`connection.sid`	`security_result.detection_fields`
`connection.tls.inbound.cipher`	`network.tls.cipher`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`.
`connection.tls.inbound.cipherBits`	`additional.fields`
`connection.tls.inbound.version`	`network.tls.version`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`.
`data`	`network.email.to`, `target.user.email_addresses`	Wenn `[email] =~ "^.+@.+$"`.
`detectedExt`	`additional.fields`
`detectedName`	`additional.fields`
`disposition`	`additional.fields`
`duration`	`security_result.detection_fields`
`emailaddr`	`target.user.email_addresses`
`emailaddrnorm`	`target.user.email_addresses`
`emailaddrparsed`	`target.user.email_addresses`
`envelope.from`	`network.email.from`
`ERROR`	`security_result.severity`	Wenn `[audit][level] =~ "(?i)(error)"`.
`eventTime`	`metadata.event_timestamp`
`event_type`	`security_result.summary`
`extracted_bytes`	`network.sent_bytes`	Aus einem `data`-Feld extrahiert.
`extracted_internal_id`	`additional.fields`
`extracted_msgid`	`additional.fields`
`extracted_queue_status`	`additional.fields`
`extracted_target_host`	`target.asset.hostname`, `target.hostname`	Aus einem `data`-Feld extrahiert.
`extracted_throughput`	`additional.fields`
`extracted_transfer_time`	`additional.fields`
`FAIL`	`security_result.action`	Wenn `[filter][disposition] in ["FAIL", "TEMP"]`.
`field_`	`additional.fields`	Wenn `NOT = "agent"`.
`FILTER`	`metadata.product_event_type`	Wenn `[is_filter] == "true"`.
`filter.actions.action`	`additional.fields`
`filter.actions.isFinal`	`security_result.detection_fields`
`filter.actions.module`	`additional.fields`, `security_result.detection_fields`
`filter.actions.rule`	`additional.fields`, `security_result.detection_fields`
`filter.disposition`	`security_result.action_details`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[filter_disposition] not in ["", "null", "None", "none", "NONE"]`.
`filter.durationSecs`	`additional.fields`
`filter.isMsgEncrypted`	`additional.fields`
`filter.isMsgInDigest`	`additional.fields`
`filter.isMsgOnHold`	`additional.fields`
`filter.isMsgReinjected`	`additional.fields`
`filter.isMsgSplit`	`additional.fields`
`filter.langs`	`additional.fields`
`filter.modules.av.virusNames.0`	`security_result.threat_name`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`filter.modules.banner.insertedBanner`	`security_result.detection_fields`
`filter.modules.dkimv.domain`	`security_result.detection_fields`
`filter.modules.dkimv.result`	`security_result.detection_fields`
`filter.modules.dkimv.selector`	`security_result.detection_fields`
`filter.modules.dmarc.filterdResult`	`security_result.detection_fields`
`filter.modules.dmarc.isVerified`	`additional.fields`
`filter.modules.dmarc.srvid`	`additional.fields`
`filter.modules.pdr.v2.response`	`security_result.detection_fields`
`filter.modules.pdr.v2.rscore`	`additional.fields`
`filter.modules.spam.authority.analysis`	`additional.fields`
`filter.modules.spam.authority.cartVersion`	`additional.fields`
`filter.modules.spam.authority.isComplete`	`additional.fields`
`filter.modules.spam.authority.isTruncated`	`additional.fields`
`filter.modules.spam.authority.score`	`additional.fields`
`filter.modules.spam.classifiers.profile`	`additional.fields`
`filter.modules.spam.classifiers.status.clx`	`additional.fields`
`filter.modules.spam.classifiers.status.nostradamus`	`additional.fields`
`filter.modules.spam.classifiers.status.supernova`	`additional.fields`
`filter.modules.spam.classifiers.status.uribl`	`additional.fields`
`filter.modules.spam.scores.classifiers.adult`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.bulk`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.cot`	`additional.fields`
`filter.modules.spam.scores.classifiers.impostor`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.lowpriority`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.malware`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlx`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlxlog`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.phish`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.spam`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.suspect`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.unknownsender`	`additional.fields`
`filter.modules.spam.scores.classifiers.unsafe`	`additional.fields`
`filter.modules.spam.scores.engine`	`security_result.detection_fields`
`filter.modules.spam.scores.overall`	`security_result.detection_fields`
`filter.modules.spam.triggeredClassifier`	`security_result.category_details`
`filter.modules.spam.version.definitions`	`security_result.summary`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`filter.modules.spam.version.engine`	`metadata.product_version`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`filter.modules.spf.domain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsEmail`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsExcludedDomain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsSchemeless`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsUnsupportedScheme`	`additional.fields`
`filter.modules.urldefense.counts.rewritten`	`additional.fields`
`filter.modules.urldefense.counts.total`	`security_result.detection_fields`
`filter.modules.urldefense.counts.unique`	`additional.fields`
`filter.modules.urldefense.counts.unrewritten`	`additional.fields`
`filter.modules.urldefense.version.engine`	`additional.fields`
`filter.modules.zerohour.score`	`additional.fields`
`filter.msgSizeBytes`	`network.received_bytes`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`filter.origGuid`	`additional.fields`
`filter.qid`	`additional.fields`
`filter.quarantine.expirationTs`	`security_result.detection_fields`
`filter.quarantine.folder`	`security_result.detection_fields`
`filter.quarantine.folderId`	`security_result.detection_fields`
`filter.quarantine.module`	`security_result.detection_fields`
`filter.quarantine.rule`	`security_result.detection_fields`
`filter.quarantine.type`	`security_result.detection_fields`
`filter.reinjectedType`	`additional.fields`
`filter.routes`	`additional.fields`
`filter.splitType`	`additional.fields`
`filter.startTime`	`metadata.event_timestamp`
`filter.suborgs.sender`	`additional.fields`
`from_hashed`	`additional.fields`
`fromadd`	`network.email.from`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[fromadd] =~ "^.+@.+$"`.
`GUID`	`metadata.product_log_id`	Aus einem `data`-Feld extrahiert.
`guid`	`metadata.product_log_id`	Aus einem `data`-Feld extrahiert.
`headerfromHashedvalue`	`additional.fields`
`headertoHashedvalue`	`additional.fields`
`hostname`	`principal.asset.hostname`, `principal.hostname`	Aus einem `message`-Feld extrahiert.
`id`	`additional.fields`
`impostorScore`	`security_result.detection_fields`
`INBOUND`	`network.direction`	Wenn `[rule] == "outbound"`, `[filter][routeDirection] == "inbound"` oder `[quarantineRule] =~ "outbound"`.
`INFORMATIONAL`	`security_result.severity`	Wenn `[audit][level] =~ "(?i)(notice)"`.
`intermediary.ip`	`intermediary.asset.ip`, `intermediary.ip`
`intermediary.ip1`	`intermediary.asset.ip`, `intermediary.ip`
`intermediary_hostname`	`intermediary.asset.hostname`, `intermediary.hostname`	Aus einem `data`-Feld extrahiert.
`isArchive`	`additional.fields`
`isCorrupted`	`additional.fields`
`isDeleted`	`additional.fields`
`isProtected`	`additional.fields`
`isTimedOut`	`additional.fields`
`isVirtual`	`additional.fields`
`item.cluster`	`security_result.detection_fields`
`item.GUID`	`security_result.detection_fields`
`item.headerFrom`	`security_result.detection_fields`
`item.id`	`security_result.detection_fields`
`item.impostorScore`	`security_result.detection_fields`
`item.malwareScore`	`security_result.detection_fields`
`item.messageID`	`security_result.detection_fields`
`item.messageSize`	`security_result.detection_fields`
`item.modulesRun`	`additional.fields`
`item.phishScore`	`security_result.detection_fields`
`item.policyRoutes`	`additional.fields`
`item.QID`	`security_result.detection_fields`
`item.quarantineFolder`	`security_result.detection_fields`
`item.quarantineRule`	`security_result.detection_fields`
`item.sender`	`principal.user.email_addresses`	Wenn `[item_sender] =~ "^.+@.+$"`.
`item.senderIP`	`principal.asset.ip`, `principal.ip`
`item.spamScore`	`security_result.detection_fields`
`item.subject`	`network.email.subject`
`item.threats.classification`	`security_result.detection_fields`
`item.threats.threat`	`security_result.detection_fields`
`item.threats.threatID`	`security_result.detection_fields`
`item.threats.threatStatus`	`security_result.detection_fields`
`item.threats.threatTime`	`security_result.detection_fields`
`item.threats.threatType`	`security_result.detection_fields`
`item.threats.threatUrl`	`security_result.detection_fields`
`key.data`	`security_result.detection_fields`
`labeledCharset`	`additional.fields`
`labeledExt`	`additional.fields`
`labeledMime`	`about.file.mime_type`
`labeledName`	`about.file.full_path`
`malwareScore`	`security_result.detection_fields`
`matches.offset`	`additional.fields`
`matches.part`	`additional.fields`
`MEDIUM`	`security_result.severity`	Wenn `[audit][level] =~ "(?i)(warn)"`.
`messageID`	`network.email.mail_id`	Aus einem `data`-Feld extrahiert.
`messageSize`	`security_result.detection_fields`
`messageTime`	`metadata.event_timestamp`
`metadata.customerId`	`principal.resource.attribute.labels`
`metadata.origin.data.agent`	`network.http.parsed_user_agent`, `network.http.user_agent`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`metadata.origin.data.cid`	`additional.fields`
`metadata.origin.data.mode`	`additional.fields`
`metadata.origin.data.theater`	`additional.fields`, `principal.location.country_or_region`	`principal.location.country_or_region` wird aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`metadata.origin.data.version`	`metadata.product_version`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`metadata.origin.schemaVersion`	`additional.fields`
`mod`	`security_result.detection_fields`
`modulesRun`	`additional.fields`
`msg.header.cc`	`additional.fields`
`msg.header.from`	`additional.fields`, `principal.user.email_addresses`	`principal.user.email_addresses` wird diesem Feld mithilfe einer Schleife zugeordnet, wobei JSON-Array-Elemente hier zusammengeführt oder Nicht-JSON-Strings hier zugeordnet werden.
`msg.header.message-id.0`	`additional.fields`, `network.email.mail_id`
`msg.header.reply-to.0`	`additional.fields`, `network.email.reply_to`
`msg.header.to`	`additional.fields`, `target.user.email_addresses`	`target.user.email_addresses` wird hier mithilfe einer Schleife als Nicht-JSON-String zugeordnet.
`msg.header.x-mailer`	`additional.fields`
`msg.lang`	`additional.fields`
`msg.normalizedHeader.from`	`principal.user.email_addresses`	Wird diesem Feld mithilfe einer Schleife zugeordnet. JSON-Array-Elemente werden hier zusammengeführt. Nicht-JSON-Strings werden hier zugeordnet.
`msg.normalizedHeader.subject`	`network.email.subject`	Wenn `msg.normalizedHeader.subject` nicht mit dem Wert des Rohlogfelds `subject` übereinstimmt.
`msg.normalizedHeader.to`	`target.user.email_addresses`	Wird diesem Feld mithilfe einer Schleife zugeordnet. Nicht-JSON-Strings werden hier zugeordnet.
`msg.normalizedHeader.x-mailer`	`additional.fields`
`msg.parsedAddresses.from.0`	`additional.fields`, `network.email.from`
`msg.parsedAddresses.to`	`target.user.email_addresses`	Wird diesem Feld mithilfe einer Schleife zugeordnet. Nicht-JSON-Strings werden hier zugeordnet.
`msg.sizeBytes`	`additional.fields`
`msgBlocked.filename`	`about.file.full_path`
`msgBlocked.labeledMime`	`about.file.mime_type`
`msgBlocked.msgPart.detectedSizeBytes`	`about.file.size`
`msgBlocked.msgPart.md5`	`about.file.md5`
`msgheadersubject`	`additional.fields`
`msgheaderxmailervalue`	`additional.fields`
`msgPart.dataBase64`	`additional.fields`
`msgPart.detectedCharset`	`additional.fields`
`msgPart.detectedMime`	`additional.fields`
`msgPart.detectedSizeBytes`	`about.file.size`
`msgPart.filename`	`about.file.full_path`
`msgPart.md5`	`about.file.md5`
`msgPart.metadata.appversion`	`additional.fields`
`msgPart.metadata.codepage`	`additional.fields`
`msgPart.metadata.color-scheme`	`additional.fields`
`msgPart.metadata.content-language`	`additional.fields`
`msgPart.metadata.format-detection`	`additional.fields`
`msgPart.metadata.history[1]/stevt:action`	`additional.fields`
`msgPart.metadata.history[1]/stevt:softwareagent`	`additional.fields`
`msgPart.metadata.history[1]/stevt:when`	`additional.fields`
`msgPart.oContentType`	`additional.fields`
`msgPart.sha256`	`about.file.sha256`
`msgs.metadata._PROOFPOINT_CONTENT_LENGTH_`	`additional.fields`
`msgs.metadata.application`	`additional.fields`
`msgs.metadata.appname`	`additional.fields`
`msgs.metadata.author`	`security_result.detection_fields`
`msgs.metadata.company`	`security_result.detection_fields`
`msgs.metadata.createdate`	`additional.fields`
`msgs.metadata.documentid`	`additional.fields`
`msgs.metadata.instanceid`	`additional.fields`
`msgs.metadata.modifydate`	`additional.fields`
`msgs.metadata.pagecount`	`additional.fields`
`msgs.metadata.subject`	`additional.fields`
`msgs.metadata.title`	`additional.fields`
`msgs.textExtracted`	`additional.fields`
`msgUrls.url`	`additional.fields`, `security_result.detection_fields`
`normalizedHeader.x_originating_ip`	`principal.asset.ip`, `principal.ip`
`normalizedHeaderfromHashed`	`additional.fields`
`normalizedHeaderHashedvalue`	`additional.fields`
`normalizedHeaderMessageidvalue`	`additional.fields`
`normalizedheaderreplytohashed`	`additional.fields`
`normalizedheaderreturnpath`	`additional.fields`
`oContentType`	`additional.fields`
`OUTBOUND`	`network.direction`	Wenn `[rule] == "outbound"`, `[filter][routeDirection] == "outbound"` oder `[quarantineRule] =~ "outbound"`.
`parsed.useragent`	`network.http.parsed_user_agent`
`parsed_stat_value`	`security_result.detection_fields`
`parsedAddress`	`network.email.cc`	Wenn `[parsedAddress] =~ "^.+@.+$"`.
`parsedAddressesfromHashedvalue`	`additional.fields`
`parsedaddressesreplytohashed`	`additional.fields`
`parsedAddrestoHashedvalue`	`additional.fields`
`phishScore`	`security_result.detection_fields`
`pid`	`principal.process.pid`	Aus einem `message`-Feld extrahiert.
`PoD`	`metadata.product_name`	Statische Zuweisung.
`policy_route.*`	`additional.fields`	`[list_values]` / verwendete Kartenfunktion.
`policyRoutes`	`additional.fields`
`pps.agent`	`observer.hostname`
`prod_event_name`	`metadata.product_event_type`	Aus einem `message`-Feld extrahiert.
`Proofpoint`	`metadata.vendor_name`	Statische Zuweisung.
`QID`	`security_result.detection_fields`
`QUARANTINE`	`security_result.action`	Wenn `[filter][disposition] == "quarantine"`.
`quarantineFolder`	`security_result.detection_fields`
`quarantineRule`	`security_result.detection_fields`
`queryEndTime`	`metadata.collected_timestamp`
`rcd.error`	`additional.fields`
`rcd.record`	`additional.fields`
`rcpt`	`additional.fields`, `security_result.detection_fields`
`rcpt_hashed`	`additional.fields`
`reply`	`network.email.reply_to`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[reply] =~ "^.+@.+$"`.
`replytohashed`	`additional.fields`
`res.emailIdentities.header.from`	`additional.fields`
`res.emailIdentities.smtp.mailfrom`	`additional.fields`
`res.emailIdentities.smtp.mailfromHashed`	`additional.fields`
`res.method`	`additional.fields`
`res.propspec.header.d`	`additional.fields`
`res.propspec.header.s`	`additional.fields`
`rules.name`	`additional.fields`
`rules.severity`	`additional.fields`
`s`	`network.session_id`	Aus einem `data`-Feld extrahiert.
`safeBlockedListMatches_listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.rule`	`security_result.detection_fields`
`sandbox.status`	`additional.fields`
`sec_result_action`	`security_result.action`
`sec_result_category`	`security_result.category`
`sender`	`principal.user.email_addresses`	Wenn `[sender] =~ "^.+@.+$"`.
`senderIP`	`principal.asset.ip`, `principal.ip`
`SENDMAIL`	`metadata.product_event_type`	Wenn `[message] =~ "sendmail"`.
`sendmail_hostname`	`principal.asset.hostname`, `principal.hostname`	Aus einem `data`-Feld extrahiert.
`sendmail_process_name`	`principal.process.file.full_path`	Aus einem `data`-Feld extrahiert.
`sendmail_qid`	`additional.fields`
`sendmail_ts`	`metadata.collected_timestamp`	Aus einem `data`-Feld extrahiert.
`sig.engine`	`security_result.detection_fields`
`sig.isPresent`	`security_result.detection_fields`
`sig.signature`	`security_result.detection_fields`
`sizeDecodedBytes`	`additional.fields`
`sm.daemon`	`additional.fields`
`sm.delay`	`additional.fields`
`sm.dsn`	`additional.fields`
`sm.from`	`network.email.from`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[email_src] =~ "^.+@.+$"`.
`sm.guid`	`metadata.product_log_id`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[message] =~ "sendmail"`.
`sm.mailer`	`additional.fields`
`sm.messageTs`	`additional.fields`
`sm.msgid`	`network.email.mail_id`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`sm.nrcpts`	`additional.fields`
`sm.pri`	`additional.fields`
`sm.qid`	`security_result.detection_fields`
`sm.stat`	`security_result.description`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert.
`sm.xdelay`	`additional.fields`
`smtoemail`	`network.email.to`	Wenn `[sm_to_email] =~ "^.+@.+$"`.
`spamScore`	`security_result.detection_fields`
`SpamType`	`security_result.detection_fields`
`subject`	`network.email.subject`
`suborgs`	`additional.fields`
`threat`	`security_result.detection_fields`
`threatType`	`security_result.detection_fields`
`tls.verify`	`security_result.action_details`	Aus einem Schlüssel/Wert-Paar in einem `data`-Feld extrahiert. Wenn `[tls_verify] not in ["", "null", "None", "none", "NONE"]`.
`to`	`network.email.to`	Wenn `[to] =~ "^.+@.+$"`.
`ts`	`metadata.event_timestamp`
`uinteger`	`network.received_bytes`, `network.sent_bytes`
`UNKNOWN_ACTION`	`security_result.action`	Wenn `[filter][disposition] in ["hold", "retry"]`.
`UNKNOWN_SEVERITY`	`security_result.severity`
`urlsource`	`security_result.detection_fields`
`value`	`additional.fields`
`x_originating_ip`	`principal.asset.ip`, `principal.ip`

Referenz zu Delta-Änderungen bei der UDM-Zuordnung

Am 13. Oktober 2026 hat Google SecOps eine neue Version des Proofpoint On-Demand-Parsers veröffentlicht. Diese enthält wesentliche Änderungen an der Zuordnung von Proofpoint On-Demand-Logfeldern zu UDM-Feldern sowie Aktualisierungen der Ereignistypklassifizierungen (Zuordnungen).

Delta der Logfeldzuordnung

In der folgenden Tabelle werden die Änderungen bei der Zuordnung von Proofpoint On-Demand-Logfeldern zu UDM-Feldern beschrieben. In der Spalte Alte Zuordnung sind die Felder aufgeführt, die vor dem 13. Oktober 2026 verfügbar waren, und in der Spalte Aktuelle Zuordnung die neuen Felder.

Logfeld	Alte Zuordnung	Aktuelle Zuordnung
`connection.sid`	`additional.fields`	`security_result.detection_fields`
`filter.modules.pdr.v2.response`	`additional.fields`	`security_result.detection_fields`
`filter.modules.urldefense.counts.total`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.expirationTs`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folder`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folderId`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.module`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.rule`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.type`	`additional.fields`	`security_result.detection_fields`
`messageTime`	`additional.fields`	`metadata.event_timestamp`
`messagesBlocked.spamScore`	`additional.fields`	`security_result.detection_fields`
`metadata.customerId`	`additional.fields`	`principal.resource.attribute.labelsmod`
`msgParts.detectedSizeBytes`	`additional.fields`	`about.file.size`
`msg_header_from_json_array.value`	`additional.fields`	`principal.user.email_addresses`
`principal.resource.attribute.labelsmod`	`additional.fields`	`security_result.detection_fields`

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten