‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Proofpoint On-Demand

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Proofpoint On-Demand ב-Google Security Operations באמצעות שילוב API מובנה. מנתח הנתונים מחלץ שדות מיומני JSON וממיר אותם לפורמט UDM של Chronicle. הוא מטפל בשני פורמטים עיקריים של יומנים: אחד שמכיל מטא-נתונים של אימיילים והשני שמכיל פרטי עסקאות SMTP. הוא משתמש בלוגיקה מותנית כדי לנתח שדות בצורה מתאימה ולאכלס את השדות של מודל הנתונים המאוחד (UDM) על סמך הנתונים הזמינים. המנתח גם מבצע טיוב נתונים, למשל מסיר תווים מיותרים וממיר חותמות זמן.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מופע של Google SecOps
רישיון ל-Proofpoint On-Demand Remote Syslog
גישה מיוחדת ל-Proofpoint

הגדרת גישה ל-API של Proofpoint On-Demand

נכנסים לפורטל Proofpoint Admin.
מעתיקים את מזהה האשכול (מוצג בפינה השמאלית העליונה של ממשק הניהול, לצד מספר הגרסה).
עוברים אל הגדרות > ניהול מפתחות API.
לוחצים על Create New כדי לפתוח את תיבת הדו-שיח Create New API Key.
מזינים שם ייחודי (לדוגמה, Google SecOps Key).
יוצרים את מפתח ה-API.
בתפריט שלוש הנקודות של מפתח ה-API החדש, לוחצים על הצגת פרטים.
מעתיקים את מפתח ה-API.

הגדרת פידים

כדי להגדיר פיד:

עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
לוחצים על הוספת פיד חדש.
לוחצים על חבילת הפיד של Proofpoint.
בוחרים את סוג היומן Proofpoint On-Demand.
לוחצים על הבא.
מציינים ערכים לפרמטרים הבאים של הקלט:
- סוג המקור: API של צד שלישי
- כותרות HTTP לאימות: מזינים את מפתח ה-API של Proofpoint בפורמט Authorization: Bearer {API_KEY}, ומוסיפים בשורה חדשה את נתוני WebSocket-Key הבאים: Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ==.
- מזהה אשכול: מזינים את מזהה האשכול של Proofpoint שהעתקתם קודם.
אפשרויות מתקדמות

שם הפיד: ערך שמזהה את הפיד וממולא מראש.
מרחב השמות של הנכס: מרחב השמות שמשויך לפיד.
תוויות הטמעה: תוויות שנוספו לכל האירועים מהפיד הזה.

לוחצים על יצירת פיד.

טבלת מיפוי UDM

בטבלאות הבאות מפורטים המיפויים של שדות היומן של Proofpoint On-Demand לשדות UDM.

מיפויים של סוגי אירועים

בטבלה הבאה מפורטים המיפויים של סוגי האירועים ב-Proofpoint On-Demand. מידע נוסף זמין במאמרים Metadata.EventType ו-Metadata.

סוג אירוע	מיפוי	הערות
`EMAIL_TRANSACTION`	`metadata.event_type`	אם `(([has_sender_email] == "true" or [has_recipient_email] == "true") and (([has_principal] == "true" or [has_principal_user] == "true")))`.
`GENERIC_EVENT`	`metadata.event_type`	ברירת המחדל לגיבוי של `event_type`.
`NETWORK_CONNECTION`	`metadata.event_type`	אם `[has_principal] == "true" and [has_target] == "true"`.
`STATUS_UPDATE`	`metadata.event_type`	אם `[has_principal] == "true"`.

שדות כלליים ביומן

שדה ביומן	מיפוי UDM	הערות
`aliasedRcptsvalue.alias`	`additional.fields`
`aliasedRcptsvalue.primary`	`additional.fields`
`alignment.fromDomain`	`additional.fields`
`alignmentresult.identity`	`security_result.detection_fields`
`alignmentresult.identityOrg`	`security_result.detection_fields`
`alignmentresult.result`	`security_result.detection_fields`
`ALLOW`	`security_result.action`	אם `[tls][verify] == "OK"` או `[filter][disposition] in ["continue", "accept", "CLEAR", "OK", "redirect"]`.
`app_protocol_output`	`network.application_protocol`	חולץ משדה `data`.
`audit.action`	`security_result.about.resource.attribute.labels`
`audit.level`	`security_result.severity_details`	חולץ מצמד מפתח/ערך בשדה `data`.
`audit.resourceType`	`target.resource.name`	חולץ מצמד מפתח/ערך בשדה `data`.
`audit.tags.value`	`security_result.detection_fields`
`audit.user.email`	`principal.user.email_addresses`	אם `[audit][user][email] =~ "^.+@.+$"`.
`audit.user.id`	`principal.user.userid`	חולץ מצמד מפתח/ערך בשדה `data`.
`audit.user.ipAddress`	`principal.asset.ip`, `principal.ip`
`autheresults.method`	`security_result.detection_fields`
`autheresults.result`	`additional.fields`
`BLOCK`	`security_result.action`	אם `[tls][verify] == "FAIL"` או `[filter][disposition] in ["discard", "reject"]`.
`campaignID`	`security_result.detection_fields`
`cc`	`network.email.cc`	אם `[cc] =~ "^.+@.+$"`.
`CHALLENGE`	`security_result.action`	אם `[filter][disposition] in ["hold", "retry"]`.
`charsets`	`security_result.detection_fields`
`classification`	`security_result.detection_fields`
`cluster`	`security_result.detection_fields`
`cmd`	`principal.process.command_line`	חולץ משדה `data`.
`completelyRewritten`	`security_result.detection_fields`
`connection.country`	`principal.location.country_or_region`	חולץ מצמד מפתח/ערך בשדה `data`.
`connection.helo`	`network.smtp.helo`	חולץ מצמד מפתח/ערך בשדה `data`.
`connection.host`	`principal.asset.hostname`, `principal.hostname`	חולץ מצמד מפתח/ערך בשדה `data`.
`connection.ip`	`principal.asset.ip`, `principal.ip`
`connection.resolveStatus`	`additional.fields`
`connection.sid`	`security_result.detection_fields`
`connection.tls.inbound.cipher`	`network.tls.cipher`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`.
`connection.tls.inbound.cipherBits`	`additional.fields`
`connection.tls.inbound.version`	`network.tls.version`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`.
`data`	`network.email.to`, `target.user.email_addresses`	אם `[email] =~ "^.+@.+$"`.
`detectedExt`	`additional.fields`
`detectedName`	`additional.fields`
`disposition`	`additional.fields`
`duration`	`security_result.detection_fields`
`emailaddr`	`target.user.email_addresses`
`emailaddrnorm`	`target.user.email_addresses`
`emailaddrparsed`	`target.user.email_addresses`
`envelope.from`	`network.email.from`
`ERROR`	`security_result.severity`	אם `[audit][level] =~ "(?i)(error)"`.
`eventTime`	`metadata.event_timestamp`
`event_type`	`security_result.summary`
`extracted_bytes`	`network.sent_bytes`	חולץ משדה `data`.
`extracted_internal_id`	`additional.fields`
`extracted_msgid`	`additional.fields`
`extracted_queue_status`	`additional.fields`
`extracted_target_host`	`target.asset.hostname`, `target.hostname`	חולץ משדה `data`.
`extracted_throughput`	`additional.fields`
`extracted_transfer_time`	`additional.fields`
`FAIL`	`security_result.action`	אם `[filter][disposition] in ["FAIL", "TEMP"]`.
`field_`	`additional.fields`	אם `NOT = "agent"`.
`FILTER`	`metadata.product_event_type`	אם `[is_filter] == "true"`.
`filter.actions.action`	`additional.fields`
`filter.actions.isFinal`	`security_result.detection_fields`
`filter.actions.module`	`additional.fields`, `security_result.detection_fields`
`filter.actions.rule`	`additional.fields`, `security_result.detection_fields`
`filter.disposition`	`security_result.action_details`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[filter_disposition] not in ["", "null", "None", "none", "NONE"]`.
`filter.durationSecs`	`additional.fields`
`filter.isMsgEncrypted`	`additional.fields`
`filter.isMsgInDigest`	`additional.fields`
`filter.isMsgOnHold`	`additional.fields`
`filter.isMsgReinjected`	`additional.fields`
`filter.isMsgSplit`	`additional.fields`
`filter.langs`	`additional.fields`
`filter.modules.av.virusNames.0`	`security_result.threat_name`	חולץ מצמד מפתח/ערך בשדה `data`.
`filter.modules.banner.insertedBanner`	`security_result.detection_fields`
`filter.modules.dkimv.domain`	`security_result.detection_fields`
`filter.modules.dkimv.result`	`security_result.detection_fields`
`filter.modules.dkimv.selector`	`security_result.detection_fields`
`filter.modules.dmarc.filterdResult`	`security_result.detection_fields`
`filter.modules.dmarc.isVerified`	`additional.fields`
`filter.modules.dmarc.srvid`	`additional.fields`
`filter.modules.pdr.v2.response`	`security_result.detection_fields`
`filter.modules.pdr.v2.rscore`	`additional.fields`
`filter.modules.spam.authority.analysis`	`additional.fields`
`filter.modules.spam.authority.cartVersion`	`additional.fields`
`filter.modules.spam.authority.isComplete`	`additional.fields`
`filter.modules.spam.authority.isTruncated`	`additional.fields`
`filter.modules.spam.authority.score`	`additional.fields`
`filter.modules.spam.classifiers.profile`	`additional.fields`
`filter.modules.spam.classifiers.status.clx`	`additional.fields`
`filter.modules.spam.classifiers.status.nostradamus`	`additional.fields`
`filter.modules.spam.classifiers.status.supernova`	`additional.fields`
`filter.modules.spam.classifiers.status.uribl`	`additional.fields`
`filter.modules.spam.scores.classifiers.adult`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.bulk`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.cot`	`additional.fields`
`filter.modules.spam.scores.classifiers.impostor`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.lowpriority`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.malware`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlx`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlxlog`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.phish`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.spam`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.suspect`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.unknownsender`	`additional.fields`
`filter.modules.spam.scores.classifiers.unsafe`	`additional.fields`
`filter.modules.spam.scores.engine`	`security_result.detection_fields`
`filter.modules.spam.scores.overall`	`security_result.detection_fields`
`filter.modules.spam.triggeredClassifier`	`security_result.category_details`
`filter.modules.spam.version.definitions`	`security_result.summary`	חולץ מצמד מפתח/ערך בשדה `data`.
`filter.modules.spam.version.engine`	`metadata.product_version`	חולץ מצמד מפתח/ערך בשדה `data`.
`filter.modules.spf.domain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsEmail`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsExcludedDomain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsSchemeless`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsUnsupportedScheme`	`additional.fields`
`filter.modules.urldefense.counts.rewritten`	`additional.fields`
`filter.modules.urldefense.counts.total`	`security_result.detection_fields`
`filter.modules.urldefense.counts.unique`	`additional.fields`
`filter.modules.urldefense.counts.unrewritten`	`additional.fields`
`filter.modules.urldefense.version.engine`	`additional.fields`
`filter.modules.zerohour.score`	`additional.fields`
`filter.msgSizeBytes`	`network.received_bytes`	חולץ מצמד מפתח/ערך בשדה `data`.
`filter.origGuid`	`additional.fields`
`filter.qid`	`additional.fields`
`filter.quarantine.expirationTs`	`security_result.detection_fields`
`filter.quarantine.folder`	`security_result.detection_fields`
`filter.quarantine.folderId`	`security_result.detection_fields`
`filter.quarantine.module`	`security_result.detection_fields`
`filter.quarantine.rule`	`security_result.detection_fields`
`filter.quarantine.type`	`security_result.detection_fields`
`filter.reinjectedType`	`additional.fields`
`filter.routes`	`additional.fields`
`filter.splitType`	`additional.fields`
`filter.startTime`	`metadata.event_timestamp`
`filter.suborgs.sender`	`additional.fields`
`from_hashed`	`additional.fields`
`fromadd`	`network.email.from`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[fromadd] =~ "^.+@.+$"`.
`GUID`	`metadata.product_log_id`	חולץ משדה `data`.
`guid`	`metadata.product_log_id`	חולץ משדה `data`.
`headerfromHashedvalue`	`additional.fields`
`headertoHashedvalue`	`additional.fields`
`hostname`	`principal.asset.hostname`, `principal.hostname`	חולץ משדה `message`.
`id`	`additional.fields`
`impostorScore`	`security_result.detection_fields`
`INBOUND`	`network.direction`	אם `[rule] == "outbound"`, `[filter][routeDirection] == "inbound"` או `[quarantineRule] =~ "outbound"`.
`INFORMATIONAL`	`security_result.severity`	אם `[audit][level] =~ "(?i)(notice)"`.
`intermediary.ip`	`intermediary.asset.ip`, `intermediary.ip`
`intermediary.ip1`	`intermediary.asset.ip`, `intermediary.ip`
`intermediary_hostname`	`intermediary.asset.hostname`, `intermediary.hostname`	חולץ משדה `data`.
`isArchive`	`additional.fields`
`isCorrupted`	`additional.fields`
`isDeleted`	`additional.fields`
`isProtected`	`additional.fields`
`isTimedOut`	`additional.fields`
`isVirtual`	`additional.fields`
`item.cluster`	`security_result.detection_fields`
`item.GUID`	`security_result.detection_fields`
`item.headerFrom`	`security_result.detection_fields`
`item.id`	`security_result.detection_fields`
`item.impostorScore`	`security_result.detection_fields`
`item.malwareScore`	`security_result.detection_fields`
`item.messageID`	`security_result.detection_fields`
`item.messageSize`	`security_result.detection_fields`
`item.modulesRun`	`additional.fields`
`item.phishScore`	`security_result.detection_fields`
`item.policyRoutes`	`additional.fields`
`item.QID`	`security_result.detection_fields`
`item.quarantineFolder`	`security_result.detection_fields`
`item.quarantineRule`	`security_result.detection_fields`
`item.sender`	`principal.user.email_addresses`	אם `[item_sender] =~ "^.+@.+$"`.
`item.senderIP`	`principal.asset.ip`, `principal.ip`
`item.spamScore`	`security_result.detection_fields`
`item.subject`	`network.email.subject`
`item.threats.classification`	`security_result.detection_fields`
`item.threats.threat`	`security_result.detection_fields`
`item.threats.threatID`	`security_result.detection_fields`
`item.threats.threatStatus`	`security_result.detection_fields`
`item.threats.threatTime`	`security_result.detection_fields`
`item.threats.threatType`	`security_result.detection_fields`
`item.threats.threatUrl`	`security_result.detection_fields`
`key.data`	`security_result.detection_fields`
`labeledCharset`	`additional.fields`
`labeledExt`	`additional.fields`
`labeledMime`	`about.file.mime_type`
`labeledName`	`about.file.full_path`
`malwareScore`	`security_result.detection_fields`
`matches.offset`	`additional.fields`
`matches.part`	`additional.fields`
`MEDIUM`	`security_result.severity`	אם `[audit][level] =~ "(?i)(warn)"`.
`messageID`	`network.email.mail_id`	חולץ משדה `data`.
`messageSize`	`security_result.detection_fields`
`messageTime`	`metadata.event_timestamp`
`metadata.customerId`	`principal.resource.attribute.labels`
`metadata.origin.data.agent`	`network.http.parsed_user_agent`, `network.http.user_agent`	חולץ מצמד מפתח/ערך בשדה `data`.
`metadata.origin.data.cid`	`additional.fields`
`metadata.origin.data.mode`	`additional.fields`
`metadata.origin.data.theater`	`additional.fields`, `principal.location.country_or_region`	הערך `principal.location.country_or_region` נשלף מצמד מפתח/ערך בשדה `data`.
`metadata.origin.data.version`	`metadata.product_version`	חולץ מצמד מפתח/ערך בשדה `data`.
`metadata.origin.schemaVersion`	`additional.fields`
`mod`	`security_result.detection_fields`
`modulesRun`	`additional.fields`
`msg.header.cc`	`additional.fields`
`msg.header.from`	`additional.fields`, `principal.user.email_addresses`	השדה `principal.user.email_addresses` ממופה לשדה הזה באמצעות לולאה, עם רכיבי מערך JSON שמוזגו כאן, או מחרוזות שאינן JSON שמופו כאן.
`msg.header.message-id.0`	`additional.fields`, `network.email.mail_id`
`msg.header.reply-to.0`	`additional.fields`, `network.email.reply_to`
`msg.header.to`	`additional.fields`, `target.user.email_addresses`	הערך `target.user.email_addresses` ממופה כאן כמחרוזת שהיא לא JSON באמצעות לולאה.
`msg.header.x-mailer`	`additional.fields`
`msg.lang`	`additional.fields`
`msg.normalizedHeader.from`	`principal.user.email_addresses`	ממופה לשדה הזה באמצעות לולאה. רכיבי מערך JSON מוזגו כאן; מחרוזות שאינן JSON ממופות כאן.
`msg.normalizedHeader.subject`	`network.email.subject`	אם הערך של `msg.normalizedHeader.subject` לא שווה לערך של שדה היומן הגולמי `subject`.
`msg.normalizedHeader.to`	`target.user.email_addresses`	ממופה לשדה הזה באמצעות לולאה. מחרוזות שהן לא JSON ממופות כאן.
`msg.normalizedHeader.x-mailer`	`additional.fields`
`msg.parsedAddresses.from.0`	`additional.fields`, `network.email.from`
`msg.parsedAddresses.to`	`target.user.email_addresses`	ממופה לשדה הזה באמצעות לולאה. מחרוזות שהן לא JSON ממופות כאן.
`msg.sizeBytes`	`additional.fields`
`msgBlocked.filename`	`about.file.full_path`
`msgBlocked.labeledMime`	`about.file.mime_type`
`msgBlocked.msgPart.detectedSizeBytes`	`about.file.size`
`msgBlocked.msgPart.md5`	`about.file.md5`
`msgheadersubject`	`additional.fields`
`msgheaderxmailervalue`	`additional.fields`
`msgPart.dataBase64`	`additional.fields`
`msgPart.detectedCharset`	`additional.fields`
`msgPart.detectedMime`	`additional.fields`
`msgPart.detectedSizeBytes`	`about.file.size`
`msgPart.filename`	`about.file.full_path`
`msgPart.md5`	`about.file.md5`
`msgPart.metadata.appversion`	`additional.fields`
`msgPart.metadata.codepage`	`additional.fields`
`msgPart.metadata.color-scheme`	`additional.fields`
`msgPart.metadata.content-language`	`additional.fields`
`msgPart.metadata.format-detection`	`additional.fields`
`msgPart.metadata.history[1]/stevt:action`	`additional.fields`
`msgPart.metadata.history[1]/stevt:softwareagent`	`additional.fields`
`msgPart.metadata.history[1]/stevt:when`	`additional.fields`
`msgPart.oContentType`	`additional.fields`
`msgPart.sha256`	`about.file.sha256`
`msgs.metadata._PROOFPOINT_CONTENT_LENGTH_`	`additional.fields`
`msgs.metadata.application`	`additional.fields`
`msgs.metadata.appname`	`additional.fields`
`msgs.metadata.author`	`security_result.detection_fields`
`msgs.metadata.company`	`security_result.detection_fields`
`msgs.metadata.createdate`	`additional.fields`
`msgs.metadata.documentid`	`additional.fields`
`msgs.metadata.instanceid`	`additional.fields`
`msgs.metadata.modifydate`	`additional.fields`
`msgs.metadata.pagecount`	`additional.fields`
`msgs.metadata.subject`	`additional.fields`
`msgs.metadata.title`	`additional.fields`
`msgs.textExtracted`	`additional.fields`
`msgUrls.url`	`additional.fields`, `security_result.detection_fields`
`normalizedHeader.x_originating_ip`	`principal.asset.ip`, `principal.ip`
`normalizedHeaderfromHashed`	`additional.fields`
`normalizedHeaderHashedvalue`	`additional.fields`
`normalizedHeaderMessageidvalue`	`additional.fields`
`normalizedheaderreplytohashed`	`additional.fields`
`normalizedheaderreturnpath`	`additional.fields`
`oContentType`	`additional.fields`
`OUTBOUND`	`network.direction`	אם `[rule] == "outbound"`, `[filter][routeDirection] == "outbound"` או `[quarantineRule] =~ "outbound"`.
`parsed.useragent`	`network.http.parsed_user_agent`
`parsed_stat_value`	`security_result.detection_fields`
`parsedAddress`	`network.email.cc`	אם `[parsedAddress] =~ "^.+@.+$"`.
`parsedAddressesfromHashedvalue`	`additional.fields`
`parsedaddressesreplytohashed`	`additional.fields`
`parsedAddrestoHashedvalue`	`additional.fields`
`phishScore`	`security_result.detection_fields`
`pid`	`principal.process.pid`	חולץ משדה `message`.
`PoD`	`metadata.product_name`	הקצאה סטטית.
`policy_route.*`	`additional.fields`	`[list_values]` / השתמש בפונקציית המפה.
`policyRoutes`	`additional.fields`
`pps.agent`	`observer.hostname`
`prod_event_name`	`metadata.product_event_type`	חולץ משדה `message`.
`Proofpoint`	`metadata.vendor_name`	הקצאה סטטית.
`QID`	`security_result.detection_fields`
`QUARANTINE`	`security_result.action`	אם `[filter][disposition] == "quarantine"`.
`quarantineFolder`	`security_result.detection_fields`
`quarantineRule`	`security_result.detection_fields`
`queryEndTime`	`metadata.collected_timestamp`
`rcd.error`	`additional.fields`
`rcd.record`	`additional.fields`
`rcpt`	`additional.fields`, `security_result.detection_fields`
`rcpt_hashed`	`additional.fields`
`reply`	`network.email.reply_to`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[reply] =~ "^.+@.+$"`.
`replytohashed`	`additional.fields`
`res.emailIdentities.header.from`	`additional.fields`
`res.emailIdentities.smtp.mailfrom`	`additional.fields`
`res.emailIdentities.smtp.mailfromHashed`	`additional.fields`
`res.method`	`additional.fields`
`res.propspec.header.d`	`additional.fields`
`res.propspec.header.s`	`additional.fields`
`rules.name`	`additional.fields`
`rules.severity`	`additional.fields`
`s`	`network.session_id`	חולץ משדה `data`.
`safeBlockedListMatches_listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.rule`	`security_result.detection_fields`
`sandbox.status`	`additional.fields`
`sec_result_action`	`security_result.action`
`sec_result_category`	`security_result.category`
`sender`	`principal.user.email_addresses`	אם `[sender] =~ "^.+@.+$"`.
`senderIP`	`principal.asset.ip`, `principal.ip`
`SENDMAIL`	`metadata.product_event_type`	אם `[message] =~ "sendmail"`.
`sendmail_hostname`	`principal.asset.hostname`, `principal.hostname`	חולץ משדה `data`.
`sendmail_process_name`	`principal.process.file.full_path`	חולץ משדה `data`.
`sendmail_qid`	`additional.fields`
`sendmail_ts`	`metadata.collected_timestamp`	חולץ משדה `data`.
`sig.engine`	`security_result.detection_fields`
`sig.isPresent`	`security_result.detection_fields`
`sig.signature`	`security_result.detection_fields`
`sizeDecodedBytes`	`additional.fields`
`sm.daemon`	`additional.fields`
`sm.delay`	`additional.fields`
`sm.dsn`	`additional.fields`
`sm.from`	`network.email.from`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[email_src] =~ "^.+@.+$"`.
`sm.guid`	`metadata.product_log_id`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[message] =~ "sendmail"`.
`sm.mailer`	`additional.fields`
`sm.messageTs`	`additional.fields`
`sm.msgid`	`network.email.mail_id`	חולץ מצמד מפתח/ערך בשדה `data`.
`sm.nrcpts`	`additional.fields`
`sm.pri`	`additional.fields`
`sm.qid`	`security_result.detection_fields`
`sm.stat`	`security_result.description`	חולץ מצמד מפתח/ערך בשדה `data`.
`sm.xdelay`	`additional.fields`
`smtoemail`	`network.email.to`	אם `[sm_to_email] =~ "^.+@.+$"`.
`spamScore`	`security_result.detection_fields`
`SpamType`	`security_result.detection_fields`
`subject`	`network.email.subject`
`suborgs`	`additional.fields`
`threat`	`security_result.detection_fields`
`threatType`	`security_result.detection_fields`
`tls.verify`	`security_result.action_details`	חולץ מצמד מפתח/ערך בשדה `data`. אם `[tls_verify] not in ["", "null", "None", "none", "NONE"]`.
`to`	`network.email.to`	אם `[to] =~ "^.+@.+$"`.
`ts`	`metadata.event_timestamp`
`uinteger`	`network.received_bytes`, `network.sent_bytes`
`UNKNOWN_ACTION`	`security_result.action`	אם `[filter][disposition] in ["hold", "retry"]`.
`UNKNOWN_SEVERITY`	`security_result.severity`
`urlsource`	`security_result.detection_fields`
`value`	`additional.fields`
`x_originating_ip`	`principal.asset.ip`, `principal.ip`

הפניה לדלתא של מיפוי UDM

ב-13 באוקטובר 2026, Google SecOps השיקה גרסה חדשה של מנתח הנתונים של Proofpoint On-Demand, שכוללת שינויים משמעותיים במיפוי של שדות היומן של Proofpoint On-Demand לשדות UDM ועדכונים לסיווגים (מיפויים) של סוגי אירועים.

ההבדל במיפוי של שדות היומן

בטבלה הבאה מוצגים השינויים במיפוי של שדות היומן של Proofpoint On-Demand לשדות UDM. בעמודה מיפוי ישן מפורטים השדות שנחשפו לפני 13 באוקטובר 2026, ובעמודה מיפוי נוכחי מפורטים השדות החדשים.

שדה ביומן	מיפוי ישן	המיפוי הנוכחי
`connection.sid`	`additional.fields`	`security_result.detection_fields`
`filter.modules.pdr.v2.response`	`additional.fields`	`security_result.detection_fields`
`filter.modules.urldefense.counts.total`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.expirationTs`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folder`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folderId`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.module`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.rule`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.type`	`additional.fields`	`security_result.detection_fields`
`messageTime`	`additional.fields`	`metadata.event_timestamp`
`messagesBlocked.spamScore`	`additional.fields`	`security_result.detection_fields`
`metadata.customerId`	`additional.fields`	`principal.resource.attribute.labelsmod`
`msgParts.detectedSizeBytes`	`additional.fields`	`about.file.size`
`msg_header_from_json_array.value`	`additional.fields`	`principal.user.email_addresses`
`principal.resource.attribute.labelsmod`	`additional.fields`	`security_result.detection_fields`

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.