איסוף יומנים של Proofpoint Threat Response (TRAP)

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Proofpoint Threat Response‏ (TRAP) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Proofpoint Threat Response Auto-Pull (TRAP) היא פלטפורמה לתיאום אבטחה שמאפשרת תגובה אוטומטית לאיומים ותיקון שלהם. הוא משתלב עם כלים לאבטחת אימייל, נקודות קצה ורשתות כדי להאיץ את החקירה וההכלה של אירועים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין שרת Proofpoint TRAP
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת אדמין ל-Proofpoint TRAP management console

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים.

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/proofpoint_trap:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PROOFPOINT_TRAP
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/trap_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/proofpoint_trap
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫tcplog: מקבל syslog דרך TCP. משתמשים ב-udplog אם מגדירים העברת UDP ב-TRAP.
  • ‫0.0.0.0:514: האזנה בכל הממשקים ביציאה 514. אם צריך, משנים את היציאה (לדוגמה, 1514 ל-Linux שאינו root).

• הגדרת כלי הייצוא:

  • ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<CUSTOMER_ID>: מספר הלקוח משלב קבלת מספר הלקוח ב-Google SecOps.
  • ‫<REGION_ENDPOINT>: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברה של syslog ב-Proofpoint TRAP

1. נכנסים למסוף הניהול של Proofpoint TRAP (בדרך כלל בכתובת https://trap-server:8080).
2. עוברים אל Monitoring > Logging.
3. מגדירים את יעד ה-syslog:
   • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (חייב להיות זהה ליציאת המקלט של סוכן Bindplane).
   • רמת חומרה: בוחרים את רמת החומרה המינימלית להעברת יומנים.
4. לוחצים על Save.
5. כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
_field	additional.fields	ממוזג
additional_modulesRun	additional.fields	ממוזג
alternateGraphApiEndpoint_additional	additional.fields	ממוזג
azureAdAuthEndpoint_additional	additional.fields	ממוזג
clientId_additional	additional.fields	ממוזג
clientSecret_additional	additional.fields	ממוזג
disposition_additional_data	additional.fields	ממוזג
disposition_data_available	additional.fields	מיפוי: true → disposition_additional_data
exchangeAPI_additional	additional.fields	ממוזג
exchangeAuthType_additional	additional.fields	ממוזג
graphApiEndpoint_additional	additional.fields	ממוזג
headers_X-Forefront-Antispam-Report	additional.fields	ממוזג
headers_accept_lang_label	additional.fields	ממוזג
headers_authentication_results_label	additional.fields	ממוזג
headers_content_language_label	additional.fields	ממוזג
headers_content_transfer_encoding_label	additional.fields	ממוזג
headers_content_type_label	additional.fields	ממוזג
headers_date_label	additional.fields	ממוזג
headers_message_id_label	additional.fields	ממוזג
headers_mime_version_label	additional.fields	ממוזג
headers_received_label	additional.fields	ממוזג
headers_return_path_label	additional.fields	ממוזג
headers_thread_index_label	additional.fields	ממוזג
headers_thread_topic_label	additional.fields	ממוזג
headers_x_ms_exchange_antispam_feedbackprocessing_scenario_label	additional.fields	ממוזג
headers_x_ms_exchange_antispam_feedcategory_label	additional.fields	ממוזג
headers_x_ms_exchange_antispam_feedtype_label	additional.fields	ממוזג
headers_x_ms_exchange_organization_antispam_feedcategory_label	additional.fields	ממוזג
incident_display_id_label	additional.fields	ממוזג
incident_id_label	additional.fields	ממוזג
incident_link_attribute_label	additional.fields	ממוזג
incident_title_label	additional.fields	ממוזג
privateKey_additional	additional.fields	ממוזג
source_type_additional_data	additional.fields	ממוזג
source_type_data_available	additional.fields	מיפוי: true → source_type_additional_data
sourcesData_name_label	additional.fields	ממוזג
sourcesData_type_label	additional.fields	ממוזג
sources_id_label	additional.fields	ממוזג
sources_type_label	additional.fields	ממוזג
tap_threat_additional_data	additional.fields	ממוזג
tap_threat_data_available	additional.fields	מיפוי: true → tap_threat_additional_data
tenantId_additional	additional.fields	ממוזג
url_list	additional.fields	ממוזג
auth_details	extensions.auth.auth_details	מיפוי ישיר
proofpoint_trap_host	intermediary.hostname	מיפוי ישיר
proofpoint_trap_host	intermediary.ip	ממוזג
url_label	intermediary.labels	ממוזג
desc	metadata.description	מיפוי ישיר
createdAt	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
created_at	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
data.received	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
event1.description.created_at	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
event1.description.updated_at	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
eventTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
received	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
ts	metadata.event_timestamp	ניתוח הכתובות שברשימה: MMM d HH:mm:ss
updatedAt	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
application	metadata.event_type	מיפוי: CROND ← PROCESS_UNCATEGORIZED, ‏ system-modules.authlookup ← USER_LOGIN
has_network_email	metadata.event_type	מיפוי: true → EMAIL_TRANSACTION
has_principal	metadata.event_type	מיפוי: true → EMAIL_TRANSACTION
event1.description.id	metadata.product_log_id	מיפוי ישיר
event_id	metadata.product_log_id	מיפוי ישיר
id	metadata.product_log_id	מיפוי ישיר
has_principal	metadata.product_name	מיפוי: true → PROOFPOINT_TRAP
source	metadata.product_name	מיפוי ישיר
has_principal	metadata.vendor_name	מיפוי: true → PROOFPOINT
attackDirection	network.direction	מיפוי: inbound ← INBOUND, ‏ outbound ← OUTBOUND
cc	network.email.cc	מיפוי: ^.+@.+$ → cc
emaildata.sender.email	network.email.from	מיפוי ישיר
event1.description.headers.From	network.email.from	מיפוי ישיר
fromadd	network.email.from	מיפוי ישיר
principal_user2	network.email.from	מיפוי ישיר
send_email	network.email.from	מיפוי ישיר
sender_address	network.email.from	מיפוי ישיר
email_id	network.email.mail_id	מיפוי ישיר
event1.description.messageid	network.email.mail_id	מיפוי ישיר
messageID	network.email.mail_id	מיפוי ישיר
event1.description.headers.Reply-To	network.email.reply_to	מיפוי ישיר
reply	network.email.reply_to	מיפוי ישיר
email_subject	network.email.subject	ממוזג
emaildata.subject	network.email.subject	ממוזג
event1.description.subject	network.email.subject	ממוזג
index	network.email.subject	מיפוי: 0 → emaildata.subject
subject	network.email.subject	ממוזג
emaildata.recipient.email	network.email.to	ממוזג
event1.description.headers.To	network.email.to	ממוזג
index	network.email.to	מיפוי: 0 ← emaildata.recipient.email, ‏ 0 ← to_email
principal_user1	network.email.to	ממוזג
recipient_address	network.email.to	מיפוי: ^.+@.+$ → recipient_address
to	network.email.to	מיפוי: ^.+@.+$ → to
to_email	network.email.to	ממוזג
http_method	network.http.method	מיפוי ישיר
http_url	network.http.referral_url	מיפוי ישיר
ses_id	network.session_id	מיפוי ישיר
application	principal.application	מיפוי ישיר
senderIP	principal.asset.ip	ממוזג
sender_IP	principal.asset.ip	ממוזג
msgparts.md5	principal.file.md5	מיפוי ישיר
msgparts.filename	principal.file.names	ממוזג
msgparts.sha256	principal.file.sha1	מיפוי ישיר
hostname	principal.hostname	מיפוי ישיר
senderIP	principal.ip	ממוזג
sender_IP	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
file_name	principal.process.file.full_path	מיפוי ישיר
pid	principal.process.pid	מיפוי ישיר
attachment_label	principal.resource.attribute.labels	ממוזג
title_label	principal.resource.attribute.labels	ממוזג
ewsUrl	principal.url	מיפוי ישיר
principal_link	principal.url	מיפוי ישיר
sender_vap_label	principal.user.attribute.labels	ממוזג
emaildata.sender.email	principal.user.email_addresses	ממוזג
index	principal.user.email_addresses	מיפוי: 0 → emaildata.sender.email
principal_user1	principal.user.email_addresses	ממוזג
principal_user2	principal.user.email_addresses	ממוזג
sender	principal.user.email_addresses	ממוזג
assignedUserName	principal.user.user_display_name	מיפוי ישיר
username	principal.user.user_display_name	מיפוי ישיר
assignedUserId	principal.user.userid	מיפוי ישיר
principal_user1	principal.user.userid	מיפוי ישיר
principal_user2	principal.user.userid	מיפוי ישיר
sender_email	principal.user.userid	מיפוי ישיר
src_user	principal.user.userid	מיפוי ישיר
user	principal.user.userid	מיפוי ישיר
index	security_result	מיפוי: 0 → sec_res2
sec_res	security_result	ממוזג
sec_res2	security_result	ממוזג
sec_result	security_result	ממוזג
state	security_result.alert_state	מיפוי: "OPEN", "IN_PROGRESS" ← ALERTING, ‏ CLOSED ← NOT_ALERTING
QID_field	security_result.detection_fields	ממוזג
alert_type_label	security_result.detection_fields	ממוזג
body_label	security_result.detection_fields	ממוזג
body_type_label	security_result.detection_fields	ממוזג
cluster_label	security_result.detection_fields	ממוזג
completelyRewritten_field	security_result.detection_fields	ממוזג
disposition_label	security_result.detection_fields	ממוזג
dkim1_label	security_result.detection_fields	ממוזג
dkim2_label	security_result.detection_fields	ממוזג
dkim3_label	security_result.detection_fields	ממוזג
dmarc_label	security_result.detection_fields	ממוזג
event_id_label	security_result.detection_fields	ממוזג
header_d1_label	security_result.detection_fields	ממוזג
header_d2_label	security_result.detection_fields	ממוזג
header_d3_label	security_result.detection_fields	ממוזג
header_from_label	security_result.detection_fields	ממוזג
header_s1_label	security_result.detection_fields	ממוזג
header_s2_label	security_result.detection_fields	ממוזג
header_s3_label	security_result.detection_fields	ממוזג
impostorScore_field	security_result.detection_fields	ממוזג
index	security_result.detection_fields	מיפוי: 0 → messageId_label
key_data	security_result.detection_fields	ממוזג
mailfrom_label	security_result.detection_fields	ממוזג
malwareScore_field	security_result.detection_fields	ממוזג
messageId_label	security_result.detection_fields	ממוזג
messageSize_field	security_result.detection_fields	ממוזג
phishScore_field	security_result.detection_fields	ממוזג
quarantineFolder_label	security_result.detection_fields	ממוזג
quarantineRule_label	security_result.detection_fields	ממוזג
spamScore_field	security_result.detection_fields	ממוזג
spf_label	security_result.detection_fields	ממוזג
state_label	security_result.detection_fields	ממוזג
severity	security_result.severity	מיפוי: Info → INFORMATIONAL
severity	security_result.severity_details	מיפוי ישיר
state	security_result.summary	מיפוי ישיר
cmd	target.process.command_line	מיפוי ישיר
pwd	target.process.file.full_path	מיפוי ישיר
recipient_vap_label	target.user.attribute.labels	ממוזג
email	target.user.email_addresses	ממוזג
emaildata.abuseReporterAddress	target.user.email_addresses	ממוזג
index	target.user.email_addresses	מיפוי: 0 → emaildata.abuseReporterAddress
recipient_email	target.user.email_addresses	ממוזג
dst_user	target.user.userid	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: EMAIL_TRANSACTION
לא רלוונטי	metadata.product_name	קבוע: PROOFPOINT_TRAP
לא רלוונטי	metadata.vendor_name	קבוע: PROOFPOINT
לא רלוונטי	network.application_protocol	קבוע: HTTP
לא רלוונטי	network.direction	קבוע: INBOUND
לא רלוונטי	security_result.alert_state	קבוע: ALERTING
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
received_at	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
sources.name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
created_at	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
received_time	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
titlePII	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
pps_guid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
email_recipient_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
email_message_size	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
remediation_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tap_false_positive	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
abuse_reporter_rank	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
quarantine_strategy	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
mime_content_expired	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
mime_content_present	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
click_block_exclusive	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
remediation_status_context	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
last_known_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
clear_confidence	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_status.is_read	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_status.permitted_clicks	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_status.message_delivered	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sender_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tenant_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
created_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
updated_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
disposition	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
received_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tap_cleared	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
body_expired	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
body_present	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
clear_verdict	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tap_threat_types	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
source.id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
source.type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.title	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.display_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.link_attribute	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sender_address	event.idm.read_only_udm.network.email.from	מופה מיומן השינויים
email_id	event.idm.read_only_udm.network.email.mail_id	מופה מיומן השינויים
email_subject	event.idm.read_only_udm.network.email.subject	מופה מיומן השינויים
recipient_address	event.idm.read_only_udm.network.email.to	מופה מיומן השינויים
assignedUserName	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
assignedUserId	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
state	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
createdAt	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
updatedAt	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
tenantId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
closedAt	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
displayId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
assignedTeamName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
assignedTeamId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
messageCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vap	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vip	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
commentCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dispositions	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourceTypes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourcesData	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
state	event.idm.read_only_udm.security_result.alert_state	מופה מיומן השינויים
event1.description.messageid	event.idm.read_only_udm.network.email.mail_id	מופה מיומן השינויים
event1.description.sender.email	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
event1.description.recipient.email	event.idm.read_only_udm.target.user.email_addresses	מופה מיומן השינויים
event1.description.subject	event.idm.read_only_udm.network.email.subject	מופה מיומן השינויים
event1.description.created_at	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
event1.description.updated_at	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
event1.description.id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
event1.description.headers.From	event.idm.read_only_udm.sec_result.detection_fields	מופה מיומן השינויים
event1.description.headers.To	event.idm.read_only_udm.network.email.to	מופה מיומן השינויים
event1.description.headers.Reply-To	event.idm.read_only_udm.network.email.reply_to	מופה מיומן השינויים
event1.description.headers.Received-SPF	event.idm.read_only_udm.sec_result.description	מופה מיומן השינויים
event1.description.headers.DKIM-Signature	event.idm.read_only_udm.sec_result.detection_fields	מופה מיומן השינויים
event1.description.sender.vap	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
event1.description.recipient.vap	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
event1.description.hosts.url	event.idm.read_only_udm.intermediary.labels	מופה מיומן השינויים
event1.description.urls	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
event1.description.severity	event.idm.read_only_udm.sec_result.severity	מופה מיומן השינויים
event1.description.state	event.idm.read_only_udm.sec_result.summary	מופה מיומן השינויים
mailfrom", "spf", "dkim1", "header_s1", "header_d1", "dkim2", "header_s2", "header_d2", and "dmarc	security_result.detection_fields	מופה מיומן השינויים
users	principal.user.userid	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.