Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Proofpoint オンデマンドログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、組み込みの API 統合を使用して Proofpoint オンデマンドログを Google Security Operations に取り込む方法について説明します。パーサーは JSON ログからフィールドを抽出し、Chronicle UDM 形式に変換します。メールのメタデータを含むログ形式と SMTP トランザクションの詳細を含むログ形式の 2 つの主要なログ形式を処理します。条件付きロジックを使用してフィールドを適切に解析し、利用可能なデータに基づいて統合データモデル（UDM）フィールドにデータを入力します。また、パーサーは、不要な文字の削除やタイムスタンプの変換などのデータクリーニングも行います。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Proofpoint オンデマンド Remote Syslog ライセンス
Proofpoint への特権アクセス

Proofpoint On-Demand の API アクセスを構成する

Proofpoint Admin ポータルにログインします。
クラスタ ID（管理インターフェースの右上、リリース番号の横に表示されます）をコピーします。
[Settings] > [API Key Management] に移動します。
[Create New] をクリックして、[Create New API Key] ダイアログを開きます。
一意の [名前] を入力します（例: Google SecOps Key）。
API キーを生成します。
新しい API キーのその他メニューから [View Details] を選択します。
API キーをコピーします。

フィードを設定する

フィードを構成する手順は次のとおりです。

[SIEM Settings] > [Feeds] に移動します。
[Add New Feed] をクリックします。
[Proofpoint] フィードパックをクリックします。
[Proofpoint On-Demand] ログタイプを選択します。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- ソースタイプ: サードパーティ API
- Authentication HTTP ヘッダー: Proofpoint API キーを Authorization: Bearer {API_KEY} 形式で入力し、WebSocket-Key データ Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ== を含む新しい行を追加します。
- Cluster ID: 先ほどコピーした Proofpoint クラスタ ID を入力します。
詳細オプション

フィード名: フィードを識別する事前入力値。
アセットの名前空間: フィードに関連付けられた名前空間。
取り込みラベル: このフィードのすべてのイベントに適用されるラベル。

[フィードを作成] をクリックします。

UDM マッピングテーブル

次の表に、Proofpoint オンデマンドログフィールドと UDM フィールドのマッピングを示します。

イベントタイプマッピング

次の表に、Proofpoint オンデマンドのイベントタイプマッピングを示します。詳細については、Metadata.EventType と Metadata をご覧ください。

イベントタイプ	マッピング	備考
`EMAIL_TRANSACTION`	`metadata.event_type`	`(([has_sender_email] == "true" or [has_recipient_email] == "true") and (([has_principal] == "true" or [has_principal_user] == "true")))` の場合。
`GENERIC_EVENT`	`metadata.event_type`	`event_type` のデフォルトの代替。
`NETWORK_CONNECTION`	`metadata.event_type`	`[has_principal] == "true" and [has_target] == "true"` の場合。
`STATUS_UPDATE`	`metadata.event_type`	`[has_principal] == "true"` の場合。

一般的なログフィールド

ログフィールド	UDM マッピング	備考
`aliasedRcptsvalue.alias`	`additional.fields`
`aliasedRcptsvalue.primary`	`additional.fields`
`alignment.fromDomain`	`additional.fields`
`alignmentresult.identity`	`security_result.detection_fields`
`alignmentresult.identityOrg`	`security_result.detection_fields`
`alignmentresult.result`	`security_result.detection_fields`
`ALLOW`	`security_result.action`	`[tls][verify] == "OK"` または `[filter][disposition] in ["continue", "accept", "CLEAR", "OK", "redirect"]` の場合。
`app_protocol_output`	`network.application_protocol`	`data` フィールドから抽出されます。
`audit.action`	`security_result.about.resource.attribute.labels`
`audit.level`	`security_result.severity_details`	`data` フィールドの Key-Value ペアから抽出されます。
`audit.resourceType`	`target.resource.name`	`data` フィールドの Key-Value ペアから抽出されます。
`audit.tags.value`	`security_result.detection_fields`
`audit.user.email`	`principal.user.email_addresses`	`[audit][user][email] =~ "^.+@.+$"` の場合。
`audit.user.id`	`principal.user.userid`	`data` フィールドの Key-Value ペアから抽出されます。
`audit.user.ipAddress`	`principal.asset.ip`、 `principal.ip`
`autheresults.method`	`security_result.detection_fields`
`autheresults.result`	`additional.fields`
`BLOCK`	`security_result.action`	`[tls][verify] == "FAIL"` または `[filter][disposition] in ["discard", "reject"]` の場合。
`campaignID`	`security_result.detection_fields`
`cc`	`network.email.cc`	`[cc] =~ "^.+@.+$"` の場合。
`CHALLENGE`	`security_result.action`	`[filter][disposition] in ["hold", "retry"]` の場合。
`charsets`	`security_result.detection_fields`
`classification`	`security_result.detection_fields`
`cluster`	`security_result.detection_fields`
`cmd`	`principal.process.command_line`	`data` フィールドから抽出されます。
`completelyRewritten`	`security_result.detection_fields`
`connection.country`	`principal.location.country_or_region`	`data` フィールドの Key-Value ペアから抽出されます。
`connection.helo`	`network.smtp.helo`	`data` フィールドの Key-Value ペアから抽出されます。
`connection.host`	`principal.asset.hostname`、 `principal.hostname`	`data` フィールドの Key-Value ペアから抽出されます。
`connection.ip`	`principal.asset.ip`、 `principal.ip`
`connection.resolveStatus`	`additional.fields`
`connection.sid`	`security_result.detection_fields`
`connection.tls.inbound.cipher`	`network.tls.cipher`	`data` フィールドの Key-Value ペアから抽出されます。`[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]` の場合。
`connection.tls.inbound.cipherBits`	`additional.fields`
`connection.tls.inbound.version`	`network.tls.version`	`data` フィールドの Key-Value ペアから抽出されます。`[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]` の場合。
`data`	`network.email.to`、 `target.user.email_addresses`	`[email] =~ "^.+@.+$"` の場合。
`detectedExt`	`additional.fields`
`detectedName`	`additional.fields`
`disposition`	`additional.fields`
`duration`	`security_result.detection_fields`
`emailaddr`	`target.user.email_addresses`
`emailaddrnorm`	`target.user.email_addresses`
`emailaddrparsed`	`target.user.email_addresses`
`envelope.from`	`network.email.from`
`ERROR`	`security_result.severity`	`[audit][level] =~ "(?i)(error)"` の場合。
`eventTime`	`metadata.event_timestamp`
`event_type`	`security_result.summary`
`extracted_bytes`	`network.sent_bytes`	`data` フィールドから抽出されます。
`extracted_internal_id`	`additional.fields`
`extracted_msgid`	`additional.fields`
`extracted_queue_status`	`additional.fields`
`extracted_target_host`	`target.asset.hostname`、 `target.hostname`	`data` フィールドから抽出されます。
`extracted_throughput`	`additional.fields`
`extracted_transfer_time`	`additional.fields`
`FAIL`	`security_result.action`	`[filter][disposition] in ["FAIL", "TEMP"]` の場合。
`field_`	`additional.fields`	`NOT = "agent"` の場合。
`FILTER`	`metadata.product_event_type`	`[is_filter] == "true"` の場合。
`filter.actions.action`	`additional.fields`
`filter.actions.isFinal`	`security_result.detection_fields`
`filter.actions.module`	`additional.fields`、 `security_result.detection_fields`
`filter.actions.rule`	`additional.fields`、 `security_result.detection_fields`
`filter.disposition`	`security_result.action_details`	`data` フィールドの Key-Value ペアから抽出されます。`[filter_disposition] not in ["", "null", "None", "none", "NONE"]` の場合。
`filter.durationSecs`	`additional.fields`
`filter.isMsgEncrypted`	`additional.fields`
`filter.isMsgInDigest`	`additional.fields`
`filter.isMsgOnHold`	`additional.fields`
`filter.isMsgReinjected`	`additional.fields`
`filter.isMsgSplit`	`additional.fields`
`filter.langs`	`additional.fields`
`filter.modules.av.virusNames.0`	`security_result.threat_name`	`data` フィールドの Key-Value ペアから抽出されます。
`filter.modules.banner.insertedBanner`	`security_result.detection_fields`
`filter.modules.dkimv.domain`	`security_result.detection_fields`
`filter.modules.dkimv.result`	`security_result.detection_fields`
`filter.modules.dkimv.selector`	`security_result.detection_fields`
`filter.modules.dmarc.filterdResult`	`security_result.detection_fields`
`filter.modules.dmarc.isVerified`	`additional.fields`
`filter.modules.dmarc.srvid`	`additional.fields`
`filter.modules.pdr.v2.response`	`security_result.detection_fields`
`filter.modules.pdr.v2.rscore`	`additional.fields`
`filter.modules.spam.authority.analysis`	`additional.fields`
`filter.modules.spam.authority.cartVersion`	`additional.fields`
`filter.modules.spam.authority.isComplete`	`additional.fields`
`filter.modules.spam.authority.isTruncated`	`additional.fields`
`filter.modules.spam.authority.score`	`additional.fields`
`filter.modules.spam.classifiers.profile`	`additional.fields`
`filter.modules.spam.classifiers.status.clx`	`additional.fields`
`filter.modules.spam.classifiers.status.nostradamus`	`additional.fields`
`filter.modules.spam.classifiers.status.supernova`	`additional.fields`
`filter.modules.spam.classifiers.status.uribl`	`additional.fields`
`filter.modules.spam.scores.classifiers.adult`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.bulk`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.cot`	`additional.fields`
`filter.modules.spam.scores.classifiers.impostor`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.lowpriority`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.malware`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlx`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlxlog`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.phish`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.spam`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.suspect`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.unknownsender`	`additional.fields`
`filter.modules.spam.scores.classifiers.unsafe`	`additional.fields`
`filter.modules.spam.scores.engine`	`security_result.detection_fields`
`filter.modules.spam.scores.overall`	`security_result.detection_fields`
`filter.modules.spam.triggeredClassifier`	`security_result.category_details`
`filter.modules.spam.version.definitions`	`security_result.summary`	`data` フィールドの Key-Value ペアから抽出されます。
`filter.modules.spam.version.engine`	`metadata.product_version`	`data` フィールドの Key-Value ペアから抽出されます。
`filter.modules.spf.domain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsEmail`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsExcludedDomain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsSchemeless`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsUnsupportedScheme`	`additional.fields`
`filter.modules.urldefense.counts.rewritten`	`additional.fields`
`filter.modules.urldefense.counts.total`	`security_result.detection_fields`
`filter.modules.urldefense.counts.unique`	`additional.fields`
`filter.modules.urldefense.counts.unrewritten`	`additional.fields`
`filter.modules.urldefense.version.engine`	`additional.fields`
`filter.modules.zerohour.score`	`additional.fields`
`filter.msgSizeBytes`	`network.received_bytes`	`data` フィールドの Key-Value ペアから抽出されます。
`filter.origGuid`	`additional.fields`
`filter.qid`	`additional.fields`
`filter.quarantine.expirationTs`	`security_result.detection_fields`
`filter.quarantine.folder`	`security_result.detection_fields`
`filter.quarantine.folderId`	`security_result.detection_fields`
`filter.quarantine.module`	`security_result.detection_fields`
`filter.quarantine.rule`	`security_result.detection_fields`
`filter.quarantine.type`	`security_result.detection_fields`
`filter.reinjectedType`	`additional.fields`
`filter.routes`	`additional.fields`
`filter.splitType`	`additional.fields`
`filter.startTime`	`metadata.event_timestamp`
`filter.suborgs.sender`	`additional.fields`
`from_hashed`	`additional.fields`
`fromadd`	`network.email.from`	`data` フィールドの Key-Value ペアから抽出されます。`[fromadd] =~ "^.+@.+$"` の場合。
`GUID`	`metadata.product_log_id`	`data` フィールドから抽出されます。
`guid`	`metadata.product_log_id`	`data` フィールドから抽出されます。
`headerfromHashedvalue`	`additional.fields`
`headertoHashedvalue`	`additional.fields`
`hostname`	`principal.asset.hostname`、 `principal.hostname`	`message` フィールドから抽出されます。
`id`	`additional.fields`
`impostorScore`	`security_result.detection_fields`
`INBOUND`	`network.direction`	`[rule] == "outbound"`、`[filter][routeDirection] == "inbound"`、`[quarantineRule] =~ "outbound"` のいずれか。
`INFORMATIONAL`	`security_result.severity`	`[audit][level] =~ "(?i)(notice)"` の場合。
`intermediary.ip`	`intermediary.asset.ip`、 `intermediary.ip`
`intermediary.ip1`	`intermediary.asset.ip`、 `intermediary.ip`
`intermediary_hostname`	`intermediary.asset.hostname`、 `intermediary.hostname`	`data` フィールドから抽出されます。
`isArchive`	`additional.fields`
`isCorrupted`	`additional.fields`
`isDeleted`	`additional.fields`
`isProtected`	`additional.fields`
`isTimedOut`	`additional.fields`
`isVirtual`	`additional.fields`
`item.cluster`	`security_result.detection_fields`
`item.GUID`	`security_result.detection_fields`
`item.headerFrom`	`security_result.detection_fields`
`item.id`	`security_result.detection_fields`
`item.impostorScore`	`security_result.detection_fields`
`item.malwareScore`	`security_result.detection_fields`
`item.messageID`	`security_result.detection_fields`
`item.messageSize`	`security_result.detection_fields`
`item.modulesRun`	`additional.fields`
`item.phishScore`	`security_result.detection_fields`
`item.policyRoutes`	`additional.fields`
`item.QID`	`security_result.detection_fields`
`item.quarantineFolder`	`security_result.detection_fields`
`item.quarantineRule`	`security_result.detection_fields`
`item.sender`	`principal.user.email_addresses`	`[item_sender] =~ "^.+@.+$"` の場合。
`item.senderIP`	`principal.asset.ip`、 `principal.ip`
`item.spamScore`	`security_result.detection_fields`
`item.subject`	`network.email.subject`
`item.threats.classification`	`security_result.detection_fields`
`item.threats.threat`	`security_result.detection_fields`
`item.threats.threatID`	`security_result.detection_fields`
`item.threats.threatStatus`	`security_result.detection_fields`
`item.threats.threatTime`	`security_result.detection_fields`
`item.threats.threatType`	`security_result.detection_fields`
`item.threats.threatUrl`	`security_result.detection_fields`
`key.data`	`security_result.detection_fields`
`labeledCharset`	`additional.fields`
`labeledExt`	`additional.fields`
`labeledMime`	`about.file.mime_type`
`labeledName`	`about.file.full_path`
`malwareScore`	`security_result.detection_fields`
`matches.offset`	`additional.fields`
`matches.part`	`additional.fields`
`MEDIUM`	`security_result.severity`	`[audit][level] =~ "(?i)(warn)"` の場合。
`messageID`	`network.email.mail_id`	`data` フィールドから抽出されます。
`messageSize`	`security_result.detection_fields`
`messageTime`	`metadata.event_timestamp`
`metadata.customerId`	`principal.resource.attribute.labels`
`metadata.origin.data.agent`	`network.http.parsed_user_agent`、 `network.http.user_agent`	`data` フィールドの Key-Value ペアから抽出されます。
`metadata.origin.data.cid`	`additional.fields`
`metadata.origin.data.mode`	`additional.fields`
`metadata.origin.data.theater`	`additional.fields`、 `principal.location.country_or_region`	`principal.location.country_or_region` は、`data` フィールドの Key-Value ペアから抽出されます。
`metadata.origin.data.version`	`metadata.product_version`	`data` フィールドの Key-Value ペアから抽出されます。
`metadata.origin.schemaVersion`	`additional.fields`
`mod`	`security_result.detection_fields`
`modulesRun`	`additional.fields`
`msg.header.cc`	`additional.fields`
`msg.header.from`	`additional.fields`、 `principal.user.email_addresses`	`principal.user.email_addresses` は、ループを使用してこのフィールドにマッピングされます。JSON 配列要素はここにマージされ、JSON 以外の文字列はここにマッピングされます。
`msg.header.message-id.0`	`additional.fields`、 `network.email.mail_id`
`msg.header.reply-to.0`	`additional.fields`、 `network.email.reply_to`
`msg.header.to`	`additional.fields`、 `target.user.email_addresses`	`target.user.email_addresses` は、ループを使用して JSON 以外の文字列としてマッピングされます。
`msg.header.x-mailer`	`additional.fields`
`msg.lang`	`additional.fields`
`msg.normalizedHeader.from`	`principal.user.email_addresses`	ループを使用してこのフィールドにマッピングされます。JSON 配列要素はここにマージされます。JSON 以外の文字列はここにマッピングされます。
`msg.normalizedHeader.subject`	`network.email.subject`	`msg.normalizedHeader.subject` が `subject` 未加工ログフィールドの値と等しくない場合。
`msg.normalizedHeader.to`	`target.user.email_addresses`	ループを使用してこのフィールドにマッピングされます。JSON 以外の文字列はここにマッピングされます。
`msg.normalizedHeader.x-mailer`	`additional.fields`
`msg.parsedAddresses.from.0`	`additional.fields`、 `network.email.from`
`msg.parsedAddresses.to`	`target.user.email_addresses`	ループを使用してこのフィールドにマッピングされます。JSON 以外の文字列はここにマッピングされます。
`msg.sizeBytes`	`additional.fields`
`msgBlocked.filename`	`about.file.full_path`
`msgBlocked.labeledMime`	`about.file.mime_type`
`msgBlocked.msgPart.detectedSizeBytes`	`about.file.size`
`msgBlocked.msgPart.md5`	`about.file.md5`
`msgheadersubject`	`additional.fields`
`msgheaderxmailervalue`	`additional.fields`
`msgPart.dataBase64`	`additional.fields`
`msgPart.detectedCharset`	`additional.fields`
`msgPart.detectedMime`	`additional.fields`
`msgPart.detectedSizeBytes`	`about.file.size`
`msgPart.filename`	`about.file.full_path`
`msgPart.md5`	`about.file.md5`
`msgPart.metadata.appversion`	`additional.fields`
`msgPart.metadata.codepage`	`additional.fields`
`msgPart.metadata.color-scheme`	`additional.fields`
`msgPart.metadata.content-language`	`additional.fields`
`msgPart.metadata.format-detection`	`additional.fields`
`msgPart.metadata.history[1]/stevt:action`	`additional.fields`
`msgPart.metadata.history[1]/stevt:softwareagent`	`additional.fields`
`msgPart.metadata.history[1]/stevt:when`	`additional.fields`
`msgPart.oContentType`	`additional.fields`
`msgPart.sha256`	`about.file.sha256`
`msgs.metadata._PROOFPOINT_CONTENT_LENGTH_`	`additional.fields`
`msgs.metadata.application`	`additional.fields`
`msgs.metadata.appname`	`additional.fields`
`msgs.metadata.author`	`security_result.detection_fields`
`msgs.metadata.company`	`security_result.detection_fields`
`msgs.metadata.createdate`	`additional.fields`
`msgs.metadata.documentid`	`additional.fields`
`msgs.metadata.instanceid`	`additional.fields`
`msgs.metadata.modifydate`	`additional.fields`
`msgs.metadata.pagecount`	`additional.fields`
`msgs.metadata.subject`	`additional.fields`
`msgs.metadata.title`	`additional.fields`
`msgs.textExtracted`	`additional.fields`
`msgUrls.url`	`additional.fields`、 `security_result.detection_fields`
`normalizedHeader.x_originating_ip`	`principal.asset.ip`、 `principal.ip`
`normalizedHeaderfromHashed`	`additional.fields`
`normalizedHeaderHashedvalue`	`additional.fields`
`normalizedHeaderMessageidvalue`	`additional.fields`
`normalizedheaderreplytohashed`	`additional.fields`
`normalizedheaderreturnpath`	`additional.fields`
`oContentType`	`additional.fields`
`OUTBOUND`	`network.direction`	`[rule] == "outbound"`、`[filter][routeDirection] == "outbound"`、`[quarantineRule] =~ "outbound"` のいずれか。
`parsed.useragent`	`network.http.parsed_user_agent`
`parsed_stat_value`	`security_result.detection_fields`
`parsedAddress`	`network.email.cc`	`[parsedAddress] =~ "^.+@.+$"` の場合。
`parsedAddressesfromHashedvalue`	`additional.fields`
`parsedaddressesreplytohashed`	`additional.fields`
`parsedAddrestoHashedvalue`	`additional.fields`
`phishScore`	`security_result.detection_fields`
`pid`	`principal.process.pid`	`message` フィールドから抽出されます。
`PoD`	`metadata.product_name`	静的割り当て。
`policy_route.*`	`additional.fields`	`[list_values]` / map 関数を使用。
`policyRoutes`	`additional.fields`
`pps.agent`	`observer.hostname`
`prod_event_name`	`metadata.product_event_type`	`message` フィールドから抽出されます。
`Proofpoint`	`metadata.vendor_name`	静的割り当て。
`QID`	`security_result.detection_fields`
`QUARANTINE`	`security_result.action`	`[filter][disposition] == "quarantine"` の場合。
`quarantineFolder`	`security_result.detection_fields`
`quarantineRule`	`security_result.detection_fields`
`queryEndTime`	`metadata.collected_timestamp`
`rcd.error`	`additional.fields`
`rcd.record`	`additional.fields`
`rcpt`	`additional.fields`、 `security_result.detection_fields`
`rcpt_hashed`	`additional.fields`
`reply`	`network.email.reply_to`	`data` フィールドの Key-Value ペアから抽出されます。`[reply] =~ "^.+@.+$"` の場合。
`replytohashed`	`additional.fields`
`res.emailIdentities.header.from`	`additional.fields`
`res.emailIdentities.smtp.mailfrom`	`additional.fields`
`res.emailIdentities.smtp.mailfromHashed`	`additional.fields`
`res.method`	`additional.fields`
`res.propspec.header.d`	`additional.fields`
`res.propspec.header.s`	`additional.fields`
`rules.name`	`additional.fields`
`rules.severity`	`additional.fields`
`s`	`network.session_id`	`data` フィールドから抽出されます。
`safeBlockedListMatches_listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.rule`	`security_result.detection_fields`
`sandbox.status`	`additional.fields`
`sec_result_action`	`security_result.action`
`sec_result_category`	`security_result.category`
`sender`	`principal.user.email_addresses`	`[sender] =~ "^.+@.+$"` の場合。
`senderIP`	`principal.asset.ip`、 `principal.ip`
`SENDMAIL`	`metadata.product_event_type`	`[message] =~ "sendmail"` の場合。
`sendmail_hostname`	`principal.asset.hostname`、 `principal.hostname`	`data` フィールドから抽出されます。
`sendmail_process_name`	`principal.process.file.full_path`	`data` フィールドから抽出されます。
`sendmail_qid`	`additional.fields`
`sendmail_ts`	`metadata.collected_timestamp`	`data` フィールドから抽出されます。
`sig.engine`	`security_result.detection_fields`
`sig.isPresent`	`security_result.detection_fields`
`sig.signature`	`security_result.detection_fields`
`sizeDecodedBytes`	`additional.fields`
`sm.daemon`	`additional.fields`
`sm.delay`	`additional.fields`
`sm.dsn`	`additional.fields`
`sm.from`	`network.email.from`	`data` フィールドの Key-Value ペアから抽出されます。`[email_src] =~ "^.+@.+$"` の場合。
`sm.guid`	`metadata.product_log_id`	`data` フィールドの Key-Value ペアから抽出されます。`[message] =~ "sendmail"` の場合。
`sm.mailer`	`additional.fields`
`sm.messageTs`	`additional.fields`
`sm.msgid`	`network.email.mail_id`	`data` フィールドの Key-Value ペアから抽出されます。
`sm.nrcpts`	`additional.fields`
`sm.pri`	`additional.fields`
`sm.qid`	`security_result.detection_fields`
`sm.stat`	`security_result.description`	`data` フィールドの Key-Value ペアから抽出されます。
`sm.xdelay`	`additional.fields`
`smtoemail`	`network.email.to`	`[sm_to_email] =~ "^.+@.+$"` の場合。
`spamScore`	`security_result.detection_fields`
`SpamType`	`security_result.detection_fields`
`subject`	`network.email.subject`
`suborgs`	`additional.fields`
`threat`	`security_result.detection_fields`
`threatType`	`security_result.detection_fields`
`tls.verify`	`security_result.action_details`	`data` フィールドの Key-Value ペアから抽出されます。`[tls_verify] not in ["", "null", "None", "none", "NONE"]` の場合。
`to`	`network.email.to`	`[to] =~ "^.+@.+$"` の場合。
`ts`	`metadata.event_timestamp`
`uinteger`	`network.received_bytes`、 `network.sent_bytes`
`UNKNOWN_ACTION`	`security_result.action`	`[filter][disposition] in ["hold", "retry"]` の場合。
`UNKNOWN_SEVERITY`	`security_result.severity`
`urlsource`	`security_result.detection_fields`
`value`	`additional.fields`
`x_originating_ip`	`principal.asset.ip`、 `principal.ip`

UDM マッピングデルタリファレンス

2026 年 10 月 13 日、Google SecOps は Proofpoint オンデマンドパーサーの新しいバージョンをリリースしました。これには、Proofpoint オンデマンドログフィールドの UDM フィールドへのマッピングに関する重要な変更と、イベントタイプ分類（マッピング）の更新が含まれています。

ログフィールドマッピングの差分

次の表に、Proofpoint オンデマンドログフィールドが UDM フィールドにマッピングされる方法の変更を示します。[古いマッピング] 列には 2026 年 10 月 13 日より前に公開されたフィールドが、[現在のマッピング] 列には新しいフィールドが一覧表示されます。

ログフィールド	古いマッピング	現在のマッピング
`connection.sid`	`additional.fields`	`security_result.detection_fields`
`filter.modules.pdr.v2.response`	`additional.fields`	`security_result.detection_fields`
`filter.modules.urldefense.counts.total`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.expirationTs`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folder`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folderId`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.module`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.rule`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.type`	`additional.fields`	`security_result.detection_fields`
`messageTime`	`additional.fields`	`metadata.event_timestamp`
`messagesBlocked.spamScore`	`additional.fields`	`security_result.detection_fields`
`metadata.customerId`	`additional.fields`	`principal.resource.attribute.labelsmod`
`msgParts.detectedSizeBytes`	`additional.fields`	`about.file.size`
`msg_header_from_json_array.value`	`additional.fields`	`principal.user.email_addresses`
`principal.resource.attribute.labelsmod`	`additional.fields`	`security_result.detection_fields`

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。

Proofpoint オンデマンド ログを収集する