Proofpoint On-Demand 로그 수집

다음에서 지원:

이 문서에서는 기본 제공 API 통합을 사용하여 Proofpoint On-Demand 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서는 JSON 로그에서 필드를 추출하여 Chronicle UDM 형식으로 변환합니다. 이 파서는 이메일 메타데이터가 포함된 로그 형식과 SMTP 거래 세부정보가 포함된 로그 형식이라는 두 가지 기본 로그 형식을 처리하며, 조건부 로직을 사용하여 필드를 적절하게 파싱하고 사용 가능한 데이터를 기반으로 통합 데이터 모델 (UDM) 필드를 채웁니다. 파서는 또한 불필요한 문자 삭제 및 타임스탬프 변환과 같은 데이터 정리도 수행합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Proofpoint 주문형 원격 Syslog 라이선스
  • Proofpoint에 대한 권한 있는 액세스

Proofpoint On-Demand API 액세스 구성

  1. Proofpoint Admin 포털에 로그인합니다.
  2. 클러스터 ID (관리 인터페이스의 오른쪽 상단에 출시 번호 옆에 표시됨)를 복사합니다.
  3. 설정 > API 키 관리로 이동합니다.
  4. 새로 만들기를 클릭하여 새 API 키 만들기 대화상자를 엽니다.
  5. 고유한 이름을 입력합니다 (예: Google SecOps Key).
  6. API 키를 생성합니다.
  7. 새 API 키의 더보기 메뉴에서 세부정보 보기를 선택합니다.
  8. API 키를 복사합니다.

피드 설정

피드를 구성하려면 다음 단계를 따르세요.

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. Proofpoint 피드 팩을 클릭합니다.
  4. Proofpoint On-Demand 로그 유형을 선택합니다.
  5. 다음을 클릭합니다.
  6. 다음 입력 파라미터의 값을 지정합니다.
    • 소스 유형: 서드 파티 API
    • 인증 HTTP 헤더: Authorization: Bearer {API_KEY} 형식으로 Proofpoint API 키를 입력하고 다음 WebSocket-Key 데이터(Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ==)를 사용하여 새 줄을 추가합니다.
    • 클러스터 ID: 이전에 복사한 Proofpoint 클러스터 ID를 입력합니다.

    고급 옵션

  • 피드 이름: 피드를 식별하는 미리 입력된 값입니다.
  • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
  • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.
  1. 피드 만들기를 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
classification security_result.detection_fields.classification 값은 원시 로그의 classification 필드에서 직접 가져옵니다.
cluster security_result.detection_fields.cluster 값은 원시 로그의 cluster 필드에서 직접 가져옵니다.
completelyRewritten security_result.detection_fields.completelyRewritten 이 값은 원시 로그의 completelyRewritten 필드에서 직접 가져옵니다.
connection.country principal.location.country_or_region 값은 '**'가 아닌 한 원시 로그의 connection.country 필드에서 직접 가져옵니다.
connection.host principal.hostname 값은 원시 로그의 connection.host 필드에서 직접 가져옵니다.
connection.ip principal.ip 이 값은 유효한 IPv4 주소인 경우 원시 로그의 connection.ip 필드에서 직접 가져옵니다. senderIP가 있는 경우 이와도 병합됩니다.
connection.protocol network.application_protocol connection.protocol의 콜론 앞의 프로토콜 부분이 gsub를 사용하여 추출되고 매핑됩니다. 예를 들어 'smtp:smtp'는 'SMTP'가 됩니다.
connection.tls.inbound.cipher network.tls.cipher 값이 'NONE'이 아닌 경우 원시 로그의 connection.tls.inbound.cipher 필드에서 직접 가져옵니다.
connection.tls.inbound.version network.tls.version 암호가 'NONE'이 아닌 경우 값은 원시 로그의 connection.tls.inbound.version 필드에서 직접 가져옵니다.
envelope.from network.email.from 값은 원시 로그의 envelope.from 필드에서 직접 가져옵니다. sm.from 또는 fromAddress가 있는 경우에도 대체됩니다.
envelope.rcpts network.email.to envelope.rcpts의 이메일 주소가 유효한 이메일 주소인 경우 network.email.to 필드로 병합됩니다. 있는 경우 sm.to 또는 toAddresses와도 병합됩니다.
envelope.rcptsHashed read_only_udm.additional.fields envelope.rcptsHashed의 해싱된 이메일 주소는 'toHashed_0', 'toHashed_1' 등의 키가 있는 추가 필드로 추가됩니다.
eventTime @timestamp 값은 ISO8601 또는 RFC 3339 형식을 사용하여 eventTime 필드에서 파싱됩니다.
eventType security_result.summary 값은 원시 로그의 eventType 필드에서 직접 가져옵니다.
filter.disposition security_result.action_details tls.verify이 있는 경우를 제외하고 값은 원시 로그의 filter.disposition 필드에서 직접 가져옵니다.
filter.modules.av.virusNames.0 security_result.threat_name 값은 원시 로그의 filter.modules.av.virusNames.0 필드에서 직접 가져옵니다.
filter.modules.dmarc.authResults read_only_udm.additional.fields filter.modules.dmarc.authResults의 각 항목의 메서드와 결과는 'authResultsMethod_0', 'authResults_result_0', 'authResultsMethod_1' 등의 키가 있는 추가 필드로 추가됩니다.
filter.modules.spam.langs read_only_udm.additional.fields filter.modules.spam.langs의 각 언어는 'lang_0', 'lang_1' 등의 키가 있는 추가 필드로 추가됩니다.
filter.modules.spam.safeBlockedListMatches.0.listType security_result.detection_fields.safeBlockedListMatches_listType 값은 원시 로그의 filter.modules.spam.safeBlockedListMatches.0.listType 필드에서 직접 가져옵니다.
filter.modules.spam.safeBlockedListMatches.0.rule security_result.detection_fields.safeBlockedListMatches_rule 이 값은 원시 로그의 filter.modules.spam.safeBlockedListMatches.0.rule 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.adult security_result.detection_fields.adult 이 값은 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.adult 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.bulk security_result.detection_fields.bulk 이 값은 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.bulk 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.impostor security_result.detection_fields.impostor 이 값은 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.impostor 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.lowpriority security_result.detection_fields.lowpriority 값이 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.lowpriority 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.malware security_result.detection_fields.malware 이 값은 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.malware 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.mlx security_result.detection_fields.mlx 값이 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.mlx 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.mlxlog security_result.detection_fields.mlxlog 값이 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.mlxlog 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.phish security_result.detection_fields.phish 값이 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.phish 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.spam security_result.detection_fields.spam 이 값은 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.spam 필드에서 직접 가져옵니다.
filter.modules.spam.scores.classifiers.suspect security_result.detection_fields.suspect 이 값은 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.classifiers.suspect 필드에서 직접 가져옵니다.
filter.modules.spam.scores.engine security_result.detection_fields.engine 값이 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.engine 필드에서 직접 가져옵니다.
filter.modules.spam.scores.overall security_result.detection_fields.overall 값이 비어 있지 않거나 0이 아닌 경우 원시 로그의 filter.modules.spam.scores.overall 필드에서 직접 가져옵니다.
filter.modules.spam.version.definitions security_result.summary 값은 원시 로그의 filter.modules.spam.version.definitions 필드에서 직접 가져옵니다.
filter.modules.spam.version.engine metadata.product_version 값은 원시 로그의 filter.modules.spam.version.engine 필드에서 직접 가져옵니다.
filter.modules.urldefense.counts.rewritten read_only_udm.additional.fields.urldefenseCountsRewritten 값은 원시 로그의 filter.modules.urldefense.counts.rewritten 필드에서 직접 가져옵니다.
filter.modules.urldefense.counts.total security_result.detection_fields.urldefense_total 이 값은 원시 로그의 filter.modules.urldefense.counts.total 필드에서 직접 가져옵니다.
filter.modules.zerohour.score read_only_udm.additional.fields.zeroHourScore 값은 원시 로그의 filter.modules.zerohour.score 필드에서 직접 가져옵니다.
filter.origGuid read_only_udm.additional.fields.origGuid 값은 원시 로그의 filter.origGuid 필드에서 직접 가져옵니다.
filter.qid read_only_udm.additional.fields.filterQid 값은 원시 로그의 filter.qid 필드에서 직접 가져옵니다.
filter.quarantine.folder security_result.detection_fields.filter_quarantine_folder 이 값은 원시 로그의 filter.quarantine.folder 필드에서 직접 가져옵니다.
filter.quarantine.folderId security_result.detection_fields.filter_quarantine_folderId 값은 원시 로그의 filter.quarantine.quarantine.folderId 필드에서 직접 가져옵니다.
filter.quarantine.module security_result.detection_fields.filter_quarantine_module 값은 원시 로그의 filter.quarantine.module 필드에서 직접 가져옵니다.
filter.quarantine.rule security_result.detection_fields.filter_quarantine_rule 값은 원시 로그의 filter.quarantine.rule 필드에서 직접 가져옵니다.
filter.quarantine.type security_result.detection_fields.filter_quarantine_type 값은 원시 로그의 filter.quarantine.type 필드에서 직접 가져옵니다.
filter.routeDirection network.direction filter.routeDirection이 'inbound'인 경우 network.direction은 'INBOUND'로 설정됩니다. filter.routeDirection이 'outbound'인 경우 network.direction이 'OUTBOUND'로 설정됩니다.
filter.routes read_only_udm.additional.fields filter.routes의 각 경로가 'filterRoutes_0', 'filterRoutes_1' 등의 키가 있는 추가 필드로 추가됩니다.
fromAddress network.email.from fromAddress의 이메일 주소가 올바른 이메일 주소인 경우 network.email.from 필드로 대체됩니다.
guid metadata.product_log_id 이 값은 원시 로그의 guid 필드에서 직접 가져옵니다.
GUID metadata.product_log_id 이 값은 원시 로그의 GUID 필드에서 직접 가져옵니다.
headerFrom network.email.from 값은 원시 로그의 headerFrom 필드에서 직접 가져옵니다.
impostorScore security_result.detection_fields.impostorScore 값은 원시 로그의 impostorScore 필드에서 직접 가져옵니다.
malwareScore security_result.detection_fields.malwareScore 이 값은 원시 로그의 malwareScore 필드에서 직접 가져옵니다.
messageID network.email.mail_id 값은 원시 로그의 messageID 필드에서 직접 가져옵니다.
messageSize security_result.detection_fields.messageSize 값은 원시 로그의 messageSize 필드에서 직접 가져옵니다.
messageTime @timestamp 값은 ISO8601 또는 RFC 3339 형식을 사용하여 messageTime 필드에서 파싱됩니다.
metadata.customerId principal.labels.customerId 필드의 값은 원시 로그의 metadata.customerId 필드에서 직접 가져옵니다.
metadata.origin.data.agent network.http.user_agent 필드의 값은 원시 로그의 metadata.origin.data.agent 필드에서 직접 가져옵니다.
metadata.origin.data.cid principal.user.userid 값은 원시 로그의 metadata.origin.data.cid 필드에서 직접 가져옵니다.
metadata.origin.data.version metadata.product_version 값은 원시 로그의 metadata.origin.data.version 필드에서 직접 가져옵니다.
msg.header.from read_only_udm.additional.fields.msgHeaderFrom 값은 원시 로그의 msg.header.from.0 필드에서 직접 가져옵니다.
msg.header.reply-to network.email.reply_to msg.header.reply-to.0에서 <>로 묶인 이메일 주소가 추출되고 매핑됩니다.
msg.header.subject network.email.subject 값은 원시 로그의 msg.header.subject 필드에서 직접 가져옵니다.
msg.header.to read_only_udm.additional.fields.msgHeaderTo 값은 원시 로그의 msg.header.to 필드에서 직접 가져옵니다.
msg.normalizedHeader.subject network.email.subject 필드의 값은 원시 로그의 msg.normalizedHeader.subject 필드에서 직접 가져옵니다.
msg.parsedAddresses.cc network.email.cc msg.parsedAddresses.cc의 이메일 주소가 유효한 이메일 주소인 경우 network.email.cc 필드에 병합됩니다.
msg.parsedAddresses.ccHashed read_only_udm.additional.fields msg.parsedAddresses.ccHashed의 해싱된 이메일 주소가 'ccHashed_0', 'ccHashed_1' 등과 같은 키가 있는 추가 필드로 추가됩니다.
msg.parsedAddresses.from read_only_udm.additional.fields.msgParsedAddressesFrom 이 값은 원시 로그의 msg.parsedAddresses.from.0 필드에서 직접 가져옵니다.
msg.parsedAddresses.from.0 principal.user.email_addresses 값은 원시 로그의 msg.parsedAddresses.from.0 필드에서 직접 가져옵니다.
msg.parsedAddresses.fromHashed read_only_udm.additional.fields.fromHashed 이 값은 원시 로그의 msg.parsedAddresses.fromHashed.0 필드에서 직접 가져옵니다.
msg.parsedAddresses.to target.user.email_addresses msg.parsedAddresses.to의 이메일 주소가 유효한 이메일 주소인 경우 target.user.email_addresses 필드로 병합됩니다.
msgParts read_only_udm.about msgParts의 각 항목에 대해 하나씩 여러 개의 about 객체가 생성됩니다. 파일 해시, MIME 유형, 크기, 기타 메타데이터가 추출됩니다.
QID security_result.detection_fields.QID 값은 원시 로그의 QID 필드에서 직접 가져옵니다.
recipient target.user.email_addresses recipient의 이메일 주소가 유효한 이메일 주소인 경우 target.user.email_addresses 필드에 병합됩니다.
replyToAddress network.email.reply_to replyToAddress의 이메일 주소가 올바른 이메일 주소인 경우 network.email.reply_to 필드로 대체됩니다.
sender principal.user.email_addresses 값이 유효한 이메일 주소인 경우 원시 로그의 sender 필드에서 직접 가져옵니다.
senderIP principal.ip 값은 원시 로그의 senderIP 필드에서 직접 가져옵니다.
sm.from network.email.from 필드의 값은 원시 로그의 sm.from 필드에서 직접 가져옵니다.
sm.msgid network.email.mail_id 값은 '<' 및 '>'를 삭제한 후 원시 로그의 sm.msgid 필드에서 직접 가져옵니다.
sm.proto network.application_protocol 값은 원시 로그의 sm.proto 필드에서 직접 가져옵니다.
sm.qid security_result.detection_fields.QUID 이 값은 원시 로그의 sm.qid 필드에서 직접 가져옵니다.
sm.relay intermediary.hostname, intermediary.ip 호스트 이름과 IP 주소는 grok을 사용하여 sm.relay에서 추출됩니다.
sm.stat security_result.detection_fields.Stat sm.stat의 첫 번째 단어는 grok을 사용하여 추출되고 매핑됩니다.
sm.to network.email.to sm.to의 이메일 주소가 유효한 이메일 주소인 경우 network.email.to 필드에 병합됩니다.
spamScore security_result.detection_fields.spamScore 값은 원시 로그의 spamScore 필드에서 직접 가져옵니다.
subject network.email.subject 값은 원시 로그의 subject 필드에서 직접 가져옵니다.
threat security_result.detection_fields.threat 값은 원시 로그의 threat 필드에서 직접 가져옵니다.
threatsInfoMap security_result.detection_fields threatsInfoMap의 각 항목에서 가져온 키-값 쌍이 감지 필드로 추가됩니다.
threatType security_result.detection_fields.threatType 값은 원시 로그의 threatType 필드에서 직접 가져옵니다.
tls.cipher network.tls.cipher 값이 'NONE'이 아닌 경우 원시 로그의 tls.cipher 필드에서 직접 가져옵니다.
tls.verify security_result.action_details 값은 원시 로그의 tls.verify 필드에서 직접 가져옵니다.
tls.version network.tls.version 암호가 'NONE'이 아닌 경우 값은 원시 로그의 tls.version 필드에서 직접 가져옵니다.
toAddresses network.email.to toAddresses의 이메일 주소가 유효한 이메일 주소인 경우 network.email.to 필드로 병합됩니다.
ts @timestamp 이 값은 추가 소수점 이하 초를 처리하기 위한 일부 전처리 후 ISO8601 또는 RFC 3339 형식을 사용하여 ts 필드에서 파싱됩니다.
msg.parsedAddresses.from event.idm.read_only_udm.network.email.from 변경 로그에서 매핑됨
msgs.urls.url event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
pps event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
pps.agent event.idm.read_only_udm.observer.hostname 변경 로그에서 매핑됨
sm.relay event.idm.read_only_udm.intermediary.ip 변경 로그에서 매핑됨
msgUrls.url event.idm.read_only_udm.principal.user.email_addresses 변경 로그에서 매핑됨
msgs.metadata.application event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.appname event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.pagecount event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.createdate event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.modifydate event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.documentid event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.instanceid event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.subject event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata.title event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgs.metadata._PROOFPOINT_CONTENT_LENGTH_ event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.urldefense.counts.noRewriteIsEmail event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgPart.sandboxStatus event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgPart.isProtected event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgPart.detectedName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgPart.labeledName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
messagesBlocked.msgParts.labeledName event.idm.read_only_udm.about.file.full_path 변경 로그에서 매핑됨
msg.header.subject event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.spam.authority.isTruncated event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.spam.authority.score event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.urldefense.version.engine event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.urldefense.counts.unique event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.urldefense.counts.unrewritten event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msgUrls.src event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
filter.quarantine.expirationTs event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
msg.header.x-originatororg event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msg.parsedAddresses.fromDisplayNames event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.dmarc.records event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.spam.authority.analysis event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.isMsgSplit event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.splitType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.delivered.rcpts event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.isMsgReinjected event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.reinjectedType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msg.lang event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.modules.spam.triggeredClassifier event.idm.read_only_udm.security_result.category_details 변경 로그에서 매핑됨
filter.verified.rcpts event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
filter.modules.dkimv event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
filter.modules.pdr.v2.response event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
filter.modules.spam.authority.sigs event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
metadata.origin.data.mode event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
connection.resolveStatus event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
connection.tls.inbound.cipherBits event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
msg.sizeBytes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.msgSizeBytes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.suborgs.sender event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.durationSecs event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.aliasedRcpts event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
filter.suborgs.rcpts event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
connection.helo event.idm.read_only_udm.network.smtp.helo 변경 로그에서 매핑됨
connection.sid event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
filter.actions.isFinal event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
metadata.origin.data.theater event.idm.read_only_udm.principal.location.country_or_region 변경 로그에서 매핑됨
msg.normalizedHeader.subject event.idm.read_only_udm.network.email.subject 변경 로그에서 매핑됨
audit.user.id principal.user.userid 변경 로그에서 매핑됨
audit.user.ipAddress principal.asset.ip 변경 로그에서 매핑됨
audit.user.email principal.user.email_addresses 변경 로그에서 매핑됨
audit.resourceType target.resource.name 변경 로그에서 매핑됨
audit.action sec_result.attribute.labels 변경 로그에서 매핑됨
audit.level security_result.severity_details 변경 로그에서 매핑됨
audit.tags sec_result.detection_fields 변경 로그에서 매핑됨
filter.modules.regulation.rules.name about.resource.attribute.labels and 변경 로그에서 매핑됨
filter.actions.action additional.fields 변경 로그에서 매핑됨
filter.actions.module additional.fields 변경 로그에서 매핑됨
filter.actions.rule additional.fields 변경 로그에서 매핑됨
filter.modules.dmarc.authResults.* additional.fields 변경 로그에서 매핑됨
filter.modules.regulation.rules.name" and "filter.modules.regulation.rules.severity additional.fields 변경 로그에서 매핑됨
msgParts.metadata.company" and "msgParts.metadata.author security_result.detection_fields 변경 로그에서 매핑됨
msgPart.detectedSizeBytes about.file.size 변경 로그에서 매핑됨
msg.header.x-mailer additional.fields 변경 로그에서 매핑됨
ccAddresses network.email.cc 변경 로그에서 매핑됨
spamScore", "phishScore", "threatsInfoMap", "impostorScore", "malwareScore", " security_result.detection_fields 변경 로그에서 매핑됨
msg.headeparsedAddressesr.from.0 principal.user.email_addresses 변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.