Proofpoint オンデマンドのログを収集する

以下でサポートされています。

このドキュメントでは、組み込みの API 統合を使用して Proofpoint オンデマンド ログを Google Security Operations に取り込む方法について説明します。パーサーは JSON ログからフィールドを抽出し、Chronicle UDM 形式に変換します。メールのメタデータを含むログ形式と SMTP トランザクションの詳細を含むログ形式の 2 つの主要なログ形式を処理します。条件付きロジックを使用してフィールドを適切に解析し、利用可能なデータに基づいて統合データモデル（UDM）フィールドにデータを入力します。また、パーサーは、不要な文字の削除やタイムスタンプの変換などのデータ クリーニングも行います。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Proofpoint オンデマンド Remote Syslog ライセンス
  • Proofpoint への特権アクセス

Proofpoint On-Demand の API アクセスを構成する

  1. Proofpoint Admin ポータルにログインします。
  2. クラスタ ID（管理インターフェースの右上、リリース番号の横に表示）をコピーします。
  3. [設定> API キーの管理] に移動します。
  4. [Create New] をクリックして、[Create New API Key] ダイアログを開きます。
  5. 一意の [名前] を入力します（例: Google SecOps Key）。
  6. API キーを生成します。
  7. 新しい API キーのその他アイコン メニューから [View Details] を選択します。
  8. API キーをコピーします。

フィードを設定する

フィードを構成する手順は次のとおりです。

  1. [SIEM Settings] > [Feeds] に移動します。
  2. [Add New Feed] をクリックします。
  3. [Proofpoint] フィードパックをクリックします。
  4. [Proofpoint On-Demand] ログタイプを選択します。
  5. [次へ] をクリックします。
  6. 次の入力パラメータの値を指定します。
    • ソースタイプ: サードパーティ API
    • Authentication HTTP headers: Proofpoint API キーを Authorization: Bearer {API_KEY} 形式で入力し、次の WebSocket-Key データ Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ== を新しい行に追加します。
    • Cluster ID: 先ほどコピーした Proofpoint クラスタ ID を入力します。

    詳細オプション

  • フィード名: フィードを識別する値が事前入力されています。
  • アセットの名前空間: フィードに関連付けられた名前空間。
  • Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。
  1. [フィードを作成] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
classification security_result.detection_fields.classification この値は、未加工ログの classification フィールドから直接取得されます。
cluster security_result.detection_fields.cluster この値は、未加工ログの cluster フィールドから直接取得されます。
completelyRewritten security_result.detection_fields.completelyRewritten この値は、未加工ログの completelyRewritten フィールドから直接取得されます。
connection.country principal.location.country_or_region 値は、** でない限り、未加工ログの connection.country フィールドから直接取得されます。
connection.host principal.hostname この値は、未加工ログの connection.host フィールドから直接取得されます。
connection.ip principal.ip この値は、有効な IPv4 アドレスであれば、未加工ログの connection.ip フィールドから直接取得されます。また、 が存在する場合は、senderIP とも統合されます。
connection.protocol network.application_protocol connection.protocol のコロンの前のプロトコル部分が gsub を使用して抽出され、マッピングされます。たとえば、「smtp:smtp」は「SMTP」になります。
connection.tls.inbound.cipher network.tls.cipher この値は、未加工ログの connection.tls.inbound.cipher フィールドから直接取得されます（「NONE」の場合を除く）。
connection.tls.inbound.version network.tls.version この値は、暗号が「NONE」でない限り、未加工ログの connection.tls.inbound.version フィールドから直接取得されます。
envelope.from network.email.from この値は、未加工ログの envelope.from フィールドから直接取得されます。sm.from または fromAddress（存在する場合）に置き換えられます。
envelope.rcpts network.email.to envelope.rcpts のメールアドレスが有効なメールアドレスである場合、network.email.to フィールドに統合されます。sm.to または toAddresses が存在する場合は、それらとも統合されます。
envelope.rcptsHashed read_only_udm.additional.fields envelope.rcptsHashed のハッシュ化されたメールアドレスは、「toHashed_0」、「toHashed_1」などのキーを持つ追加フィールドとして追加されます。
eventTime @timestamp 値は、ISO8601 または RFC 3339 形式を使用して eventTime フィールドから解析されます。
eventType security_result.summary この値は、未加工ログの eventType フィールドから直接取得されます。
filter.disposition security_result.action_details この値は、tls.verify が存在しない限り、未加工ログの filter.disposition フィールドから直接取得されます。
filter.modules.av.virusNames.0 security_result.threat_name この値は、未加工ログの filter.modules.av.virusNames.0 フィールドから直接取得されます。
filter.modules.dmarc.authResults read_only_udm.additional.fields filter.modules.dmarc.authResults の各エントリのメソッドと結果は、「authResultsMethod_0」、「authResults_result_0」、「authResultsMethod_1」などのキーを持つ追加フィールドとして追加されます。
filter.modules.spam.langs read_only_udm.additional.fields filter.modules.spam.langs の各言語は、「lang_0」、「lang_1」などのキーを持つ追加フィールドとして追加されます。
filter.modules.spam.safeBlockedListMatches.0.listType security_result.detection_fields.safeBlockedListMatches_listType この値は、未加工ログの filter.modules.spam.safeBlockedListMatches.0.listType フィールドから直接取得されます。
filter.modules.spam.safeBlockedListMatches.0.rule security_result.detection_fields.safeBlockedListMatches_rule この値は、未加工ログの filter.modules.spam.safeBlockedListMatches.0.rule フィールドから直接取得されます。
filter.modules.spam.scores.classifiers.adult security_result.detection_fields.adult この値は、未加工ログの filter.modules.spam.scores.classifiers.adult フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.bulk security_result.detection_fields.bulk この値は、未加工ログの filter.modules.spam.scores.classifiers.bulk フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.impostor security_result.detection_fields.impostor この値は、未加工ログの filter.modules.spam.scores.classifiers.impostor フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.lowpriority security_result.detection_fields.lowpriority この値は、未加工ログの filter.modules.spam.scores.classifiers.lowpriority フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.malware security_result.detection_fields.malware この値は、未加工ログの filter.modules.spam.scores.classifiers.malware フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.mlx security_result.detection_fields.mlx この値は、未加工ログの filter.modules.spam.scores.classifiers.mlx フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.mlxlog security_result.detection_fields.mlxlog この値は、未加工ログの filter.modules.spam.scores.classifiers.mlxlog フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.phish security_result.detection_fields.phish この値は、未加工ログの filter.modules.spam.scores.classifiers.phish フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.spam security_result.detection_fields.spam この値は、未加工ログの filter.modules.spam.scores.classifiers.spam フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.classifiers.suspect security_result.detection_fields.suspect この値は、未加工ログの filter.modules.spam.scores.classifiers.suspect フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.engine security_result.detection_fields.engine この値は、未加工ログの filter.modules.spam.scores.engine フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.scores.overall security_result.detection_fields.overall この値は、未加工ログの filter.modules.spam.scores.overall フィールドから直接取得されます（空でも 0 でもない場合）。
filter.modules.spam.version.definitions security_result.summary この値は、未加工ログの filter.modules.spam.version.definitions フィールドから直接取得されます。
filter.modules.spam.version.engine metadata.product_version この値は、未加工ログの filter.modules.spam.version.engine フィールドから直接取得されます。
filter.modules.urldefense.counts.rewritten read_only_udm.additional.fields.urldefenseCountsRewritten この値は、未加工ログの filter.modules.urldefense.counts.rewritten フィールドから直接取得されます。
filter.modules.urldefense.counts.total security_result.detection_fields.urldefense_total この値は、未加工ログの filter.modules.urldefense.counts.total フィールドから直接取得されます。
filter.modules.zerohour.score read_only_udm.additional.fields.zeroHourScore この値は、未加工ログの filter.modules.zerohour.score フィールドから直接取得されます。
filter.origGuid read_only_udm.additional.fields.origGuid この値は、未加工ログの filter.origGuid フィールドから直接取得されます。
filter.qid read_only_udm.additional.fields.filterQid この値は、未加工ログの filter.qid フィールドから直接取得されます。
filter.quarantine.folder security_result.detection_fields.filter_quarantine_folder この値は、未加工ログの filter.quarantine.folder フィールドから直接取得されます。
filter.quarantine.folderId security_result.detection_fields.filter_quarantine_folderId この値は、未加工ログの filter.quarantine.quarantine.folderId フィールドから直接取得されます。
filter.quarantine.module security_result.detection_fields.filter_quarantine_module この値は、未加工ログの filter.quarantine.module フィールドから直接取得されます。
filter.quarantine.rule security_result.detection_fields.filter_quarantine_rule この値は、未加工ログの filter.quarantine.rule フィールドから直接取得されます。
filter.quarantine.type security_result.detection_fields.filter_quarantine_type この値は、未加工ログの filter.quarantine.type フィールドから直接取得されます。
filter.routeDirection network.direction filter.routeDirection が「inbound」の場合、network.direction は「INBOUND」に設定されます。filter.routeDirection が「outbound」の場合、network.direction は「OUTBOUND」に設定されます。
filter.routes read_only_udm.additional.fields filter.routes の各ルートは、「filterRoutes_0」、「filterRoutes_1」などのキーを持つ追加フィールドとして追加されます。
fromAddress network.email.from fromAddress のメールアドレスが有効なメールアドレスの場合、network.email.from フィールドに置き換えられます。
guid metadata.product_log_id この値は、未加工ログの guid フィールドから直接取得されます。
GUID metadata.product_log_id この値は、未加工ログの GUID フィールドから直接取得されます。
headerFrom network.email.from この値は、未加工ログの headerFrom フィールドから直接取得されます。
impostorScore security_result.detection_fields.impostorScore この値は、未加工ログの impostorScore フィールドから直接取得されます。
malwareScore security_result.detection_fields.malwareScore この値は、未加工ログの malwareScore フィールドから直接取得されます。
messageID network.email.mail_id この値は、未加工ログの messageID フィールドから直接取得されます。
messageSize security_result.detection_fields.messageSize この値は、未加工ログの messageSize フィールドから直接取得されます。
messageTime @timestamp 値は、ISO8601 または RFC 3339 形式を使用して messageTime フィールドから解析されます。
metadata.customerId principal.labels.customerId この値は、未加工ログの metadata.customerId フィールドから直接取得されます。
metadata.origin.data.agent network.http.user_agent この値は、未加工ログの metadata.origin.data.agent フィールドから直接取得されます。
metadata.origin.data.cid principal.user.userid この値は、未加工ログの metadata.origin.data.cid フィールドから直接取得されます。
metadata.origin.data.version metadata.product_version この値は、未加工ログの metadata.origin.data.version フィールドから直接取得されます。
msg.header.from read_only_udm.additional.fields.msgHeaderFrom この値は、未加工ログの msg.header.from.0 フィールドから直接取得されます。
msg.header.reply-to network.email.reply_to msg.header.reply-to.0 の <> で囲まれたメールアドレスが抽出されてマッピングされます。
msg.header.subject network.email.subject この値は、未加工ログの msg.header.subject フィールドから直接取得されます。
msg.header.to read_only_udm.additional.fields.msgHeaderTo この値は、未加工ログの msg.header.to フィールドから直接取得されます。
msg.normalizedHeader.subject network.email.subject この値は、未加工ログの msg.normalizedHeader.subject フィールドから直接取得されます。
msg.parsedAddresses.cc network.email.cc msg.parsedAddresses.cc のメールアドレスが有効な場合、network.email.cc フィールドに統合されます。
msg.parsedAddresses.ccHashed read_only_udm.additional.fields msg.parsedAddresses.ccHashed 内のハッシュ化されたメールアドレスは、「ccHashed_0」、「ccHashed_1」などのキーを持つ追加フィールドとして追加されます。
msg.parsedAddresses.from read_only_udm.additional.fields.msgParsedAddressesFrom この値は、未加工ログの msg.parsedAddresses.from.0 フィールドから直接取得されます。
msg.parsedAddresses.from.0 principal.user.email_addresses この値は、未加工ログの msg.parsedAddresses.from.0 フィールドから直接取得されます。
msg.parsedAddresses.fromHashed read_only_udm.additional.fields.fromHashed この値は、未加工ログの msg.parsedAddresses.fromHashed.0 フィールドから直接取得されます。
msg.parsedAddresses.to target.user.email_addresses msg.parsedAddresses.to のメールアドレスが有効な場合、target.user.email_addresses フィールドに統合されます。
msgParts read_only_udm.about 複数の about オブジェクトが作成されます。msgParts のエントリごとに 1 つ作成されます。ファイル ハッシュ、MIME タイプ、サイズ、その他のメタデータが抽出されます。
QID security_result.detection_fields.QID この値は、未加工ログの QID フィールドから直接取得されます。
recipient target.user.email_addresses recipient のメールアドレスが有効な場合、target.user.email_addresses フィールドに統合されます。
replyToAddress network.email.reply_to replyToAddress のメールアドレスが有効なメールアドレスの場合、network.email.reply_to フィールドに置き換えられます。
sender principal.user.email_addresses この値は、有効なメールアドレスであれば、未加工ログの sender フィールドから直接取得されます。
senderIP principal.ip この値は、未加工ログの senderIP フィールドから直接取得されます。
sm.from network.email.from この値は、未加工ログの sm.from フィールドから直接取得されます。
sm.msgid network.email.mail_id この値は、"<" と ">" を削除した後に、未加工ログの sm.msgid フィールドから直接取得されます。
sm.proto network.application_protocol この値は、未加工ログの sm.proto フィールドから直接取得されます。
sm.qid security_result.detection_fields.QUID この値は、未加工ログの sm.qid フィールドから直接取得されます。
sm.relay intermediary.hostname、intermediary.ip ホスト名と IP アドレスは、grok を使用して sm.relay から抽出されます。
sm.stat security_result.detection_fields.Stat sm.stat の最初の単語が Grok を使用して抽出され、マッピングされます。
sm.to network.email.to sm.to のメールアドレスが有効な場合、network.email.to フィールドに統合されます。
spamScore security_result.detection_fields.spamScore この値は、未加工ログの spamScore フィールドから直接取得されます。
subject network.email.subject この値は、未加工ログの subject フィールドから直接取得されます。
threat security_result.detection_fields.threat この値は、未加工ログの threat フィールドから直接取得されます。
threatsInfoMap security_result.detection_fields threatsInfoMap の各エントリの Key-Value ペアが検出フィールドとして追加されます。
threatType security_result.detection_fields.threatType この値は、未加工ログの threatType フィールドから直接取得されます。
tls.cipher network.tls.cipher この値は、未加工ログの tls.cipher フィールドから直接取得されます（「NONE」の場合を除く）。
tls.verify security_result.action_details この値は、未加工ログの tls.verify フィールドから直接取得されます。
tls.version network.tls.version この値は、暗号が「NONE」でない限り、未加工ログの tls.version フィールドから直接取得されます。
toAddresses network.email.to toAddresses のメールアドレスが有効な場合、network.email.to フィールドに統合されます。
ts @timestamp 値は、余分な小数秒を処理するための前処理の後に、ISO8601 または RFC 3339 形式を使用して ts フィールドから解析されます。
msg.parsedAddresses.from event.idm.read_only_udm.network.email.from 変更履歴からマッピング
msgs.urls.url event.idm.read_only_udm.additional.fields 変更履歴からマッピング
pps event.idm.read_only_udm.additional.fields 変更履歴からマッピング
pps.agent event.idm.read_only_udm.observer.hostname 変更履歴からマッピング
sm.relay event.idm.read_only_udm.intermediary.ip 変更履歴からマッピング
msgUrls.url event.idm.read_only_udm.principal.user.email_addresses 変更履歴からマッピング
msgs.metadata.application event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.appname event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.pagecount event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.createdate event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.modifydate event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.documentid event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.instanceid event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.subject event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata.title event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgs.metadata._PROOFPOINT_CONTENT_LENGTH_ event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.urldefense.counts.noRewriteIsEmail event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgPart.sandboxStatus event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgPart.isProtected event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgPart.detectedName event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgPart.labeledName event.idm.read_only_udm.additional.fields 変更履歴からマッピング
messagesBlocked.msgParts.labeledName event.idm.read_only_udm.about.file.full_path 変更履歴からマッピング
msg.header.subject event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.spam.authority.isTruncated event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.spam.authority.score event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.urldefense.version.engine event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.urldefense.counts.unique event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.urldefense.counts.unrewritten event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msgUrls.src event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
filter.quarantine.expirationTs event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
msg.header.x-originatororg event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msg.parsedAddresses.fromDisplayNames event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.dmarc.records event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.spam.authority.analysis event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.isMsgSplit event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.splitType event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.delivered.rcpts event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.isMsgReinjected event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.reinjectedType event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msg.lang event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.modules.spam.triggeredClassifier event.idm.read_only_udm.security_result.category_details 変更履歴からマッピング
filter.verified.rcpts event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
filter.modules.dkimv event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
filter.modules.pdr.v2.response event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
filter.modules.spam.authority.sigs event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
metadata.origin.data.mode event.idm.read_only_udm.additional.fields 変更履歴からマッピング
connection.resolveStatus event.idm.read_only_udm.additional.fields 変更履歴からマッピング
connection.tls.inbound.cipherBits event.idm.read_only_udm.additional.fields 変更履歴からマッピング
msg.sizeBytes event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.msgSizeBytes event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.suborgs.sender event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.durationSecs event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.aliasedRcpts event.idm.read_only_udm.additional.fields 変更履歴からマッピング
filter.suborgs.rcpts event.idm.read_only_udm.additional.fields 変更履歴からマッピング
connection.helo event.idm.read_only_udm.network.smtp.helo 変更履歴からマッピング
connection.sid event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
filter.actions.isFinal event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
metadata.origin.data.theater event.idm.read_only_udm.principal.location.country_or_region 変更履歴からマッピング
msg.normalizedHeader.subject event.idm.read_only_udm.network.email.subject 変更履歴からマッピング
audit.user.id principal.user.userid 変更履歴からマッピング
audit.user.ipAddress principal.asset.ip 変更履歴からマッピング
audit.user.email principal.user.email_addresses 変更履歴からマッピング
audit.resourceType target.resource.name 変更履歴からマッピング
audit.action sec_result.attribute.labels 変更履歴からマッピング
audit.level security_result.severity_details 変更履歴からマッピング
audit.tags sec_result.detection_fields 変更履歴からマッピング
filter.modules.regulation.rules.name about.resource.attribute.labels and 変更履歴からマッピング
filter.actions.action additional.fields 変更履歴からマッピング
filter.actions.module additional.fields 変更履歴からマッピング
filter.actions.rule additional.fields 変更履歴からマッピング
filter.modules.dmarc.authResults.* additional.fields 変更履歴からマッピング
filter.modules.regulation.rules.name" and "filter.modules.regulation.rules.severity additional.fields 変更履歴からマッピング
msgParts.metadata.company" and "msgParts.metadata.author security_result.detection_fields 変更履歴からマッピング
msgPart.detectedSizeBytes about.file.size 変更履歴からマッピング
msg.header.x-mailer additional.fields 変更履歴からマッピング
ccAddresses network.email.cc 変更履歴からマッピング
spamScore", "phishScore", "threatsInfoMap", "impostorScore", "malwareScore", " security_result.detection_fields 変更履歴からマッピング
msg.headeparsedAddressesr.from.0 principal.user.email_addresses 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。