Proofpoint On-Demand-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Proofpoint On-Demand-Logs mithilfe der integrierten API-Integration in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus JSON-Logs und wandelt sie in das Chronicle UDM-Format um. Es werden zwei primäre Logformate verarbeitet: eines mit E-Mail-Metadaten und das andere mit SMTP-Transaktionsdetails. Dabei wird bedingte Logik verwendet, um Felder entsprechend zu parsen und die UDM-Felder (Unified Data Model) basierend auf den verfügbaren Daten zu füllen. Der Parser führt auch eine Datenbereinigung durch, z. B. durch Entfernen von überflüssigen Zeichen und Konvertieren von Zeitstempeln.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Proofpoint On-Demand Remote Syslog-Lizenz
  • Privilegierter Zugriff auf Proofpoint

Proofpoint On-Demand-API-Zugriff konfigurieren

  1. Melden Sie sich im Proofpoint Admin-Portal an.
  2. Kopieren Sie Ihre Cluster-ID (wird oben rechts in der Verwaltungsoberfläche neben der Releasenummer angezeigt).
  3. Rufen Sie Einstellungen > API-Schlüsselverwaltung auf.
  4. Klicken Sie auf Neu erstellen, um das Dialogfeld Neuen API-Schlüssel erstellen zu öffnen.
  5. Geben Sie einen eindeutigen Namen ein, z. B. Google SecOps Key.
  6. Generieren Sie den API-Schlüssel.
  7. Wählen Sie im Dreipunkt-Menü des neuen API-Schlüssels die Option Details ansehen aus.
  8. Kopieren Sie den API-Schlüssel.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf das Proofpoint-Feedpaket.
  4. Wählen Sie den Protokolltyp Proofpoint On-Demand aus.
  5. Klicken Sie auf Weiter.
  6. Geben Sie Werte für die folgenden Eingabeparameter an:
    • Quelltyp: Drittanbieter-API
    • HTTP-Header für die Authentifizierung: Geben Sie den Proofpoint-API-Schlüssel im Format Authorization: Bearer {API_KEY} ein und fügen Sie eine neue Zeile mit den folgenden WebSocket-Key-Daten hinzu: Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ==.
    • Cluster-ID: Geben Sie die Proofpoint-Cluster-ID ein, die Sie zuvor kopiert haben.

    Erweiterte Optionen

  • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
  • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
  • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
  1. Klicken Sie auf Feed erstellen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
classification security_result.detection_fields.classification Der Wert stammt direkt aus dem Feld classification im Rohlog.
cluster security_result.detection_fields.cluster Der Wert stammt direkt aus dem Feld cluster im Rohlog.
completelyRewritten security_result.detection_fields.completelyRewritten Der Wert stammt direkt aus dem Feld completelyRewritten im Rohlog.
connection.country principal.location.country_or_region Der Wert stammt direkt aus dem Feld connection.country im Rohlog, es sei denn, er ist „**“.
connection.host principal.hostname Der Wert stammt direkt aus dem Feld connection.host im Rohlog.
connection.ip principal.ip Der Wert stammt direkt aus dem Feld connection.ip im Rohlog, sofern es sich um eine gültige IPv4-Adresse handelt. Falls vorhanden, wird es auch mit senderIP zusammengeführt.
connection.protocol network.application_protocol Der Protokollteil vor dem Doppelpunkt in connection.protocol wird mit gsub extrahiert und zugeordnet. Beispiel: „smtp:smtp“ wird zu „SMTP“.
connection.tls.inbound.cipher network.tls.cipher Der Wert stammt direkt aus dem Feld connection.tls.inbound.cipher im Rohlog, sofern er nicht „NONE“ ist.
connection.tls.inbound.version network.tls.version Der Wert stammt direkt aus dem Feld connection.tls.inbound.version im Rohlog, sofern die Verschlüsselung nicht „NONE“ ist.
envelope.from network.email.from Der Wert stammt direkt aus dem Feld envelope.from im Rohlog. Er wird auch durch sm.from oder fromAddress ersetzt, falls vorhanden.
envelope.rcpts network.email.to Die E-Mail-Adressen in envelope.rcpts werden im Feld network.email.to zusammengeführt, wenn es sich um gültige E-Mail-Adressen handelt. Sie wird auch mit sm.to oder toAddresses zusammengeführt, falls vorhanden.
envelope.rcptsHashed read_only_udm.additional.fields Die gehashten E‑Mail-Adressen in envelope.rcptsHashed werden als zusätzliche Felder mit Schlüsseln wie „toHashed_0“, „toHashed_1“ usw. hinzugefügt.
eventTime @timestamp Der Wert wird aus dem Feld eventTime im ISO8601- oder RFC 3339-Format geparst.
eventType security_result.summary Der Wert stammt direkt aus dem Feld eventType im Rohlog.
filter.disposition security_result.action_details Der Wert stammt direkt aus dem Feld filter.disposition im Rohlog, es sei denn, tls.verify ist vorhanden.
filter.modules.av.virusNames.0 security_result.threat_name Der Wert stammt direkt aus dem Feld filter.modules.av.virusNames.0 im Rohlog.
filter.modules.dmarc.authResults read_only_udm.additional.fields Die Methode und das Ergebnis jedes Eintrags in filter.modules.dmarc.authResults werden als zusätzliche Felder mit Schlüsseln wie „authResultsMethod_0“, „authResults_result_0“, „authResultsMethod_1“ usw. hinzugefügt.
filter.modules.spam.langs read_only_udm.additional.fields Jede Sprache in filter.modules.spam.langs wird als zusätzliches Feld mit Schlüsseln wie „lang_0“, „lang_1“ usw. hinzugefügt.
filter.modules.spam.safeBlockedListMatches.0.listType security_result.detection_fields.safeBlockedListMatches_listType Der Wert stammt direkt aus dem Feld filter.modules.spam.safeBlockedListMatches.0.listType im Rohlog.
filter.modules.spam.safeBlockedListMatches.0.rule security_result.detection_fields.safeBlockedListMatches_rule Der Wert stammt direkt aus dem Feld filter.modules.spam.safeBlockedListMatches.0.rule im Rohlog.
filter.modules.spam.scores.classifiers.adult security_result.detection_fields.adult Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.adult im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.bulk security_result.detection_fields.bulk Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.bulk im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.impostor security_result.detection_fields.impostor Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.impostor im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.lowpriority security_result.detection_fields.lowpriority Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.lowpriority im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.malware security_result.detection_fields.malware Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.malware im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.mlx security_result.detection_fields.mlx Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.mlx im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.mlxlog security_result.detection_fields.mlxlog Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.mlxlog im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.phish security_result.detection_fields.phish Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.phish im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.spam security_result.detection_fields.spam Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.spam im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.classifiers.suspect security_result.detection_fields.suspect Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.classifiers.suspect im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.engine security_result.detection_fields.engine Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.engine im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.scores.overall security_result.detection_fields.overall Der Wert stammt direkt aus dem Feld filter.modules.spam.scores.overall im Rohlog, sofern es nicht leer oder 0 ist.
filter.modules.spam.version.definitions security_result.summary Der Wert stammt direkt aus dem Feld filter.modules.spam.version.definitions im Rohlog.
filter.modules.spam.version.engine metadata.product_version Der Wert stammt direkt aus dem Feld filter.modules.spam.version.engine im Rohlog.
filter.modules.urldefense.counts.rewritten read_only_udm.additional.fields.urldefenseCountsRewritten Der Wert stammt direkt aus dem Feld filter.modules.urldefense.counts.rewritten im Rohlog.
filter.modules.urldefense.counts.total security_result.detection_fields.urldefense_total Der Wert stammt direkt aus dem Feld filter.modules.urldefense.counts.total im Rohlog.
filter.modules.zerohour.score read_only_udm.additional.fields.zeroHourScore Der Wert stammt direkt aus dem Feld filter.modules.zerohour.score im Rohlog.
filter.origGuid read_only_udm.additional.fields.origGuid Der Wert stammt direkt aus dem Feld filter.origGuid im Rohlog.
filter.qid read_only_udm.additional.fields.filterQid Der Wert stammt direkt aus dem Feld filter.qid im Rohlog.
filter.quarantine.folder security_result.detection_fields.filter_quarantine_folder Der Wert stammt direkt aus dem Feld filter.quarantine.folder im Rohlog.
filter.quarantine.folderId security_result.detection_fields.filter_quarantine_folderId Der Wert stammt direkt aus dem Feld filter.quarantine.quarantine.folderId im Rohlog.
filter.quarantine.module security_result.detection_fields.filter_quarantine_module Der Wert stammt direkt aus dem Feld filter.quarantine.module im Rohlog.
filter.quarantine.rule security_result.detection_fields.filter_quarantine_rule Der Wert stammt direkt aus dem Feld filter.quarantine.rule im Rohlog.
filter.quarantine.type security_result.detection_fields.filter_quarantine_type Der Wert stammt direkt aus dem Feld filter.quarantine.type im Rohlog.
filter.routeDirection network.direction Wenn filter.routeDirection „inbound“ ist, wird network.direction auf „INBOUND“ festgelegt. Wenn filter.routeDirection „outbound“ ist, wird network.direction auf „OUTBOUND“ gesetzt.
filter.routes read_only_udm.additional.fields Jede Route in filter.routes wird als zusätzliches Feld mit Schlüsseln wie „filterRoutes_0“, „filterRoutes_1“ usw. hinzugefügt.
fromAddress network.email.from Die E-Mail-Adressen in fromAddress werden in das Feld network.email.from eingefügt, sofern es sich um gültige E-Mail-Adressen handelt.
guid metadata.product_log_id Der Wert stammt direkt aus dem Feld guid im Rohlog.
GUID metadata.product_log_id Der Wert stammt direkt aus dem Feld GUID im Rohlog.
headerFrom network.email.from Der Wert stammt direkt aus dem Feld headerFrom im Rohlog.
impostorScore security_result.detection_fields.impostorScore Der Wert stammt direkt aus dem Feld impostorScore im Rohlog.
malwareScore security_result.detection_fields.malwareScore Der Wert stammt direkt aus dem Feld malwareScore im Rohlog.
messageID network.email.mail_id Der Wert stammt direkt aus dem Feld messageID im Rohlog.
messageSize security_result.detection_fields.messageSize Der Wert stammt direkt aus dem Feld messageSize im Rohlog.
messageTime @timestamp Der Wert wird im ISO8601- oder RFC 3339-Format aus dem Feld messageTime geparst.
metadata.customerId principal.labels.customerId Der Wert stammt direkt aus dem Feld metadata.customerId im Rohlog.
metadata.origin.data.agent network.http.user_agent Der Wert stammt direkt aus dem Feld metadata.origin.data.agent im Rohlog.
metadata.origin.data.cid principal.user.userid Der Wert stammt direkt aus dem Feld metadata.origin.data.cid im Rohlog.
metadata.origin.data.version metadata.product_version Der Wert stammt direkt aus dem Feld metadata.origin.data.version im Rohlog.
msg.header.from read_only_udm.additional.fields.msgHeaderFrom Der Wert stammt direkt aus dem Feld msg.header.from.0 im Rohlog.
msg.header.reply-to network.email.reply_to Die in <> in msg.header.reply-to.0 eingeschlossene E‑Mail-Adresse wird extrahiert und zugeordnet.
msg.header.subject network.email.subject Der Wert stammt direkt aus dem Feld msg.header.subject im Rohlog.
msg.header.to read_only_udm.additional.fields.msgHeaderTo Der Wert stammt direkt aus dem Feld msg.header.to im Rohlog.
msg.normalizedHeader.subject network.email.subject Der Wert stammt direkt aus dem Feld msg.normalizedHeader.subject im Rohlog.
msg.parsedAddresses.cc network.email.cc Die E-Mail-Adressen in msg.parsedAddresses.cc werden im Feld network.email.cc zusammengeführt, wenn es sich um gültige E-Mail-Adressen handelt.
msg.parsedAddresses.ccHashed read_only_udm.additional.fields Die gehashten E-Mail-Adressen in msg.parsedAddresses.ccHashed werden als zusätzliche Felder mit Schlüsseln wie „ccHashed_0“, „ccHashed_1“ usw. hinzugefügt.
msg.parsedAddresses.from read_only_udm.additional.fields.msgParsedAddressesFrom Der Wert stammt direkt aus dem Feld msg.parsedAddresses.from.0 im Rohlog.
msg.parsedAddresses.from.0 principal.user.email_addresses Der Wert stammt direkt aus dem Feld msg.parsedAddresses.from.0 im Rohlog.
msg.parsedAddresses.fromHashed read_only_udm.additional.fields.fromHashed Der Wert stammt direkt aus dem Feld msg.parsedAddresses.fromHashed.0 im Rohlog.
msg.parsedAddresses.to target.user.email_addresses Die E-Mail-Adressen in msg.parsedAddresses.to werden in das Feld target.user.email_addresses zusammengeführt, sofern es sich um gültige E-Mail-Adressen handelt.
msgParts read_only_udm.about Es werden mehrere „Über“-Objekte erstellt, eines für jeden Eintrag in msgParts. Datei-Hashes, MIME-Typ, Größe und andere Metadaten werden extrahiert.
QID security_result.detection_fields.QID Der Wert stammt direkt aus dem Feld QID im Rohlog.
recipient target.user.email_addresses Die E-Mail-Adressen in recipient werden in das Feld target.user.email_addresses zusammengeführt, sofern es sich um gültige E-Mail-Adressen handelt.
replyToAddress network.email.reply_to Die E-Mail-Adressen in replyToAddress werden im Feld network.email.reply_to ersetzt, wenn es sich um gültige E-Mail-Adressen handelt.
sender principal.user.email_addresses Der Wert stammt direkt aus dem Feld sender im Rohlog, sofern es sich um eine gültige E-Mail-Adresse handelt.
senderIP principal.ip Der Wert stammt direkt aus dem Feld senderIP im Rohlog.
sm.from network.email.from Der Wert stammt direkt aus dem Feld sm.from im Rohlog.
sm.msgid network.email.mail_id Der Wert stammt direkt aus dem Feld sm.msgid im Rohlog, nachdem „<“ und „>“ entfernt wurden.
sm.proto network.application_protocol Der Wert stammt direkt aus dem Feld sm.proto im Rohlog.
sm.qid security_result.detection_fields.QUID Der Wert stammt direkt aus dem Feld sm.qid im Rohlog.
sm.relay intermediary.hostname, intermediary.ip Der Hostname und die IP-Adresse werden mit Grok aus sm.relay extrahiert.
sm.stat security_result.detection_fields.Stat Das erste Wort von sm.stat wird mit grok extrahiert und zugeordnet.
sm.to network.email.to Die E-Mail-Adressen in sm.to werden im Feld network.email.to zusammengeführt, sofern es sich um gültige E-Mail-Adressen handelt.
spamScore security_result.detection_fields.spamScore Der Wert stammt direkt aus dem Feld spamScore im Rohlog.
subject network.email.subject Der Wert stammt direkt aus dem Feld subject im Rohlog.
threat security_result.detection_fields.threat Der Wert stammt direkt aus dem Feld threat im Rohlog.
threatsInfoMap security_result.detection_fields Schlüssel/Wert-Paare aus jedem Eintrag in threatsInfoMap werden als Erkennungsfelder hinzugefügt.
threatType security_result.detection_fields.threatType Der Wert stammt direkt aus dem Feld threatType im Rohlog.
tls.cipher network.tls.cipher Der Wert stammt direkt aus dem Feld tls.cipher im Rohlog, sofern er nicht „NONE“ ist.
tls.verify security_result.action_details Der Wert stammt direkt aus dem Feld tls.verify im Rohlog.
tls.version network.tls.version Der Wert stammt direkt aus dem Feld tls.version im Rohlog, sofern die Verschlüsselung nicht „NONE“ ist.
toAddresses network.email.to Die E-Mail-Adressen in toAddresses werden im Feld network.email.to zusammengeführt, wenn es sich um gültige E-Mail-Adressen handelt.
ts @timestamp Der Wert wird aus dem Feld ts im ISO8601- oder RFC 3339-Format geparst, nachdem einige Vorverarbeitungen zur Behandlung zusätzlicher Bruchteile von Sekunden durchgeführt wurden.
msg.parsedAddresses.from event.idm.read_only_udm.network.email.from Aus dem Änderungsprotokoll zugeordnet
msgs.urls.url event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
pps event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
pps.agent event.idm.read_only_udm.observer.hostname Aus dem Änderungsprotokoll zugeordnet
sm.relay event.idm.read_only_udm.intermediary.ip Aus dem Änderungsprotokoll zugeordnet
msgUrls.url event.idm.read_only_udm.principal.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.application event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.appname event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.pagecount event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.createdate event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.modifydate event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.documentid event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.instanceid event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.subject event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata.title event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgs.metadata._PROOFPOINT_CONTENT_LENGTH_ event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.urldefense.counts.noRewriteIsEmail event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgPart.sandboxStatus event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgPart.isProtected event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgPart.detectedName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgPart.labeledName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
messagesBlocked.msgParts.labeledName event.idm.read_only_udm.about.file.full_path Aus dem Änderungsprotokoll zugeordnet
msg.header.subject event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.spam.authority.isTruncated event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.spam.authority.score event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.urldefense.version.engine event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.urldefense.counts.unique event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.urldefense.counts.unrewritten event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msgUrls.src event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
filter.quarantine.expirationTs event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
msg.header.x-originatororg event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msg.parsedAddresses.fromDisplayNames event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.dmarc.records event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.spam.authority.analysis event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.isMsgSplit event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.splitType event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.delivered.rcpts event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.isMsgReinjected event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.reinjectedType event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msg.lang event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.spam.triggeredClassifier event.idm.read_only_udm.security_result.category_details Aus dem Änderungsprotokoll zugeordnet
filter.verified.rcpts event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.dkimv event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.pdr.v2.response event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.spam.authority.sigs event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
metadata.origin.data.mode event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
connection.resolveStatus event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
connection.tls.inbound.cipherBits event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
msg.sizeBytes event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.msgSizeBytes event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.suborgs.sender event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.durationSecs event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.aliasedRcpts event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.suborgs.rcpts event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
connection.helo event.idm.read_only_udm.network.smtp.helo Aus dem Änderungsprotokoll zugeordnet
connection.sid event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
filter.actions.isFinal event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
metadata.origin.data.theater event.idm.read_only_udm.principal.location.country_or_region Aus dem Änderungsprotokoll zugeordnet
msg.normalizedHeader.subject event.idm.read_only_udm.network.email.subject Aus dem Änderungsprotokoll zugeordnet
audit.user.id principal.user.userid Aus dem Änderungsprotokoll zugeordnet
audit.user.ipAddress principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
audit.user.email principal.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
audit.resourceType target.resource.name Aus dem Änderungsprotokoll zugeordnet
audit.action sec_result.attribute.labels Aus dem Änderungsprotokoll zugeordnet
audit.level security_result.severity_details Aus dem Änderungsprotokoll zugeordnet
audit.tags sec_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.regulation.rules.name about.resource.attribute.labels and Aus dem Änderungsprotokoll zugeordnet
filter.actions.action additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.actions.module additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.actions.rule additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.dmarc.authResults.* additional.fields Aus dem Änderungsprotokoll zugeordnet
filter.modules.regulation.rules.name" and "filter.modules.regulation.rules.severity additional.fields Aus dem Änderungsprotokoll zugeordnet
msgParts.metadata.company" and "msgParts.metadata.author security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
msgPart.detectedSizeBytes about.file.size Aus dem Änderungsprotokoll zugeordnet
msg.header.x-mailer additional.fields Aus dem Änderungsprotokoll zugeordnet
ccAddresses network.email.cc Aus dem Änderungsprotokoll zugeordnet
spamScore", "phishScore", "threatsInfoMap", "impostorScore", "malwareScore", " security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
msg.headeparsedAddressesr.from.0 principal.user.email_addresses Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten