Raccogli i log di Proofpoint Threat Response (TRAP)

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Proofpoint Threat Response (TRAP) in Google Security Operations utilizzando l'agente Bindplane.

Proofpoint Threat Response Auto-Pull (TRAP) è una piattaforma di orchestrazione della sicurezza per la risposta e la correzione automatizzate delle minacce. Si integra con gli strumenti di sicurezza di email, endpoint e rete per accelerare l'indagine e il contenimento degli incidenti.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il server Proofpoint TRAP
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso privilegiato alla console di gestione di Proofpoint TRAP con autorizzazioni di amministratore

Recupera le credenziali Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio, bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua, quindi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion legacy (malachiteingestion-pa.googleapis.com), il cui fine del ciclo di vita è previsto da Google per il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è obbligatorio per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade dell'agente di raccolta prima di modificare la configurazione.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/proofpoint_trap:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: PROOFPOINT_TRAP
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/trap_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/proofpoint_trap
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del ricevitore:

  • tcplog: riceve syslog tramite TCP. Utilizza udplog se configuri il trasporto UDP in TRAP.
  • 0.0.0.0:514: ascolta tutte le interfacce sulla porta 514. Se necessario, modifica la porta (ad esempio, 1514 per Linux non root).

• Configurazione dell'esportatore:

  • <CREDS_FILE_PATH>: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: ID cliente del passaggio Recupera l'ID cliente Google SecOps.
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione chronicle.googleapis.com.

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/proofpoint_trap:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PROOFPOINT_TRAP
      raw_log_field: body
      ingestion_labels:
        env: production
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per individuare eventuali errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per individuare eventuali errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura l'inoltro di syslog di Proofpoint TRAP

1. Accedi alla console di gestione Proofpoint TRAP (in genere all'indirizzo https://trap-server:8080).
2. Vai a Monitoraggio > Logging.
3. Configura la destinazione syslog:
   • Host: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Porta: inserisci 514 (deve corrispondere alla porta del ricevitore dell'agente Bindplane).
   • Gravità: seleziona il livello di gravità minimo per l'inoltro dei log.
4. Fai clic su Salva.
5. Verifica che i log vengano inviati controllando i log dell'agente Bindplane.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
_field	additional.fields	Unita
additional_modulesRun	additional.fields	Unita
alternateGraphApiEndpoint_additional	additional.fields	Unita
azureAdAuthEndpoint_additional	additional.fields	Unita
clientId_additional	additional.fields	Unita
clientSecret_additional	additional.fields	Unita
disposition_additional_data	additional.fields	Unita
disposition_data_available	additional.fields	Mappatura: true → disposition_additional_data
exchangeAPI_additional	additional.fields	Unita
exchangeAuthType_additional	additional.fields	Unita
graphApiEndpoint_additional	additional.fields	Unita
headers_X-Forefront-Antispam-Report	additional.fields	Unita
headers_accept_lang_label	additional.fields	Unita
headers_authentication_results_label	additional.fields	Unita
headers_content_language_label	additional.fields	Unita
headers_content_transfer_encoding_label	additional.fields	Unita
headers_content_type_label	additional.fields	Unita
headers_date_label	additional.fields	Unita
headers_message_id_label	additional.fields	Unita
headers_mime_version_label	additional.fields	Unita
headers_received_label	additional.fields	Unita
headers_return_path_label	additional.fields	Unita
headers_thread_index_label	additional.fields	Unita
headers_thread_topic_label	additional.fields	Unita
headers_x_ms_exchange_antispam_feedbackprocessing_scenario_label	additional.fields	Unita
headers_x_ms_exchange_antispam_feedcategory_label	additional.fields	Unita
headers_x_ms_exchange_antispam_feedtype_label	additional.fields	Unita
headers_x_ms_exchange_organization_antispam_feedcategory_label	additional.fields	Unita
incident_display_id_label	additional.fields	Unita
incident_id_label	additional.fields	Unita
incident_link_attribute_label	additional.fields	Unita
incident_title_label	additional.fields	Unita
privateKey_additional	additional.fields	Unita
source_type_additional_data	additional.fields	Unita
source_type_data_available	additional.fields	Mappatura: true → source_type_additional_data
sourcesData_name_label	additional.fields	Unita
sourcesData_type_label	additional.fields	Unita
sources_id_label	additional.fields	Unita
sources_type_label	additional.fields	Unita
tap_threat_additional_data	additional.fields	Unita
tap_threat_data_available	additional.fields	Mappato: true → tap_threat_additional_data
tenantId_additional	additional.fields	Unita
url_list	additional.fields	Unita
auth_details	extensions.auth.auth_details	Mappata direttamente
proofpoint_trap_host	intermediary.hostname	Mappata direttamente
proofpoint_trap_host	intermediary.ip	Unita
url_label	intermediary.labels	Unita
desc	metadata.description	Mappata direttamente
createdAt	metadata.event_timestamp	Analizzato come ISO8601
created_at	metadata.event_timestamp	Analizzato come ISO8601
data.received	metadata.event_timestamp	Analizzato come ISO8601
event1.description.created_at	metadata.event_timestamp	Analizzato come ISO8601
event1.description.updated_at	metadata.event_timestamp	Analizzato come ISO8601
eventTime	metadata.event_timestamp	Analizzato come ISO8601
received	metadata.event_timestamp	Analizzato come ISO8601
ts	metadata.event_timestamp	Analizzato come MMM d HH:mm:ss
updatedAt	metadata.event_timestamp	Analizzato come ISO8601
application	metadata.event_type	Mappatura: CROND → PROCESS_UNCATEGORIZED, system-modules.authlookup → USER_LOGIN
has_network_email	metadata.event_type	Mappatura: true → EMAIL_TRANSACTION
has_principal	metadata.event_type	Mappato: true → EMAIL_TRANSACTION
event1.description.id	metadata.product_log_id	Mappato direttamente
event_id	metadata.product_log_id	Mappato direttamente
id	metadata.product_log_id	Mappata direttamente
has_principal	metadata.product_name	Mappato: true → PROOFPOINT_TRAP
source	metadata.product_name	Mappata direttamente
has_principal	metadata.vendor_name	Mappato: true → PROOFPOINT
attackDirection	network.direction	Mappatura: inbound → INBOUND, outbound → OUTBOUND
cc	network.email.cc	Mappatura: ^.+@.+$ → cc
emaildata.sender.email	network.email.from	Mappato direttamente
event1.description.headers.From	network.email.from	Mappato direttamente
fromadd	network.email.from	Mappato direttamente
principal_user2	network.email.from	Mappato direttamente
send_email	network.email.from	Mappato direttamente
sender_address	network.email.from	Mappato direttamente
email_id	network.email.mail_id	Mappato direttamente
event1.description.messageid	network.email.mail_id	Mappato direttamente
messageID	network.email.mail_id	Mappato direttamente
event1.description.headers.Reply-To	network.email.reply_to	Mappato direttamente
reply	network.email.reply_to	Mappata direttamente
email_subject	network.email.subject	Unita
emaildata.subject	network.email.subject	Unita
event1.description.subject	network.email.subject	Unita
index	network.email.subject	Mappato: 0 → emaildata.subject
subject	network.email.subject	Unita
emaildata.recipient.email	network.email.to	Unita
event1.description.headers.To	network.email.to	Unita
index	network.email.to	Mappatura: 0 → emaildata.recipient.email, 0 → to_email
principal_user1	network.email.to	Unita
recipient_address	network.email.to	Mappato: ^.+@.+$ → recipient_address
to	network.email.to	Mappato: ^.+@.+$ → to
to_email	network.email.to	Unita
http_method	network.http.method	Mappata direttamente
http_url	network.http.referral_url	Mappato direttamente
ses_id	network.session_id	Mappato direttamente
application	principal.application	Mappata direttamente
senderIP	principal.asset.ip	Unita
sender_IP	principal.asset.ip	Unita
msgparts.md5	principal.file.md5	Mappata direttamente
msgparts.filename	principal.file.names	Unita
msgparts.sha256	principal.file.sha1	Mappata direttamente
hostname	principal.hostname	Mappata direttamente
senderIP	principal.ip	Unita
sender_IP	principal.ip	Unita
src_ip	principal.ip	Unita
file_name	principal.process.file.full_path	Mappata direttamente
pid	principal.process.pid	Mappata direttamente
attachment_label	principal.resource.attribute.labels	Unita
title_label	principal.resource.attribute.labels	Unita
ewsUrl	principal.url	Mappata direttamente
principal_link	principal.url	Mappata direttamente
sender_vap_label	principal.user.attribute.labels	Unita
emaildata.sender.email	principal.user.email_addresses	Unita
index	principal.user.email_addresses	Mappatura: 0 → emaildata.sender.email
principal_user1	principal.user.email_addresses	Unita
principal_user2	principal.user.email_addresses	Unita
sender	principal.user.email_addresses	Unita
assignedUserName	principal.user.user_display_name	Mappata direttamente
username	principal.user.user_display_name	Mappato direttamente
assignedUserId	principal.user.userid	Mappato direttamente
principal_user1	principal.user.userid	Mappato direttamente
principal_user2	principal.user.userid	Mappato direttamente
sender_email	principal.user.userid	Mappato direttamente
src_user	principal.user.userid	Mappato direttamente
user	principal.user.userid	Mappata direttamente
index	security_result	Mappatura: 0 → sec_res2
sec_res	security_result	Unita
sec_res2	security_result	Unita
sec_result	security_result	Unita
state	security_result.alert_state	Mappato: "OPEN", "IN_PROGRESS" → ALERTING, CLOSED → NOT_ALERTING
QID_field	security_result.detection_fields	Unita
alert_type_label	security_result.detection_fields	Unita
body_label	security_result.detection_fields	Unita
body_type_label	security_result.detection_fields	Unita
cluster_label	security_result.detection_fields	Unita
completelyRewritten_field	security_result.detection_fields	Unita
disposition_label	security_result.detection_fields	Unita
dkim1_label	security_result.detection_fields	Unita
dkim2_label	security_result.detection_fields	Unita
dkim3_label	security_result.detection_fields	Unita
dmarc_label	security_result.detection_fields	Unita
event_id_label	security_result.detection_fields	Unita
header_d1_label	security_result.detection_fields	Unita
header_d2_label	security_result.detection_fields	Unita
header_d3_label	security_result.detection_fields	Unita
header_from_label	security_result.detection_fields	Unita
header_s1_label	security_result.detection_fields	Unita
header_s2_label	security_result.detection_fields	Unita
header_s3_label	security_result.detection_fields	Unita
impostorScore_field	security_result.detection_fields	Unita
index	security_result.detection_fields	Mappatura: 0 → messageId_label
key_data	security_result.detection_fields	Unita
mailfrom_label	security_result.detection_fields	Unita
malwareScore_field	security_result.detection_fields	Unita
messageId_label	security_result.detection_fields	Unita
messageSize_field	security_result.detection_fields	Unita
phishScore_field	security_result.detection_fields	Unita
quarantineFolder_label	security_result.detection_fields	Unita
quarantineRule_label	security_result.detection_fields	Unita
spamScore_field	security_result.detection_fields	Unita
spf_label	security_result.detection_fields	Unita
state_label	security_result.detection_fields	Unita
severity	security_result.severity	Mappato: Info → INFORMATIONAL
severity	security_result.severity_details	Mappata direttamente
state	security_result.summary	Mappato direttamente
cmd	target.process.command_line	Mappato direttamente
pwd	target.process.file.full_path	Mappata direttamente
recipient_vap_label	target.user.attribute.labels	Unita
email	target.user.email_addresses	Unita
emaildata.abuseReporterAddress	target.user.email_addresses	Unita
index	target.user.email_addresses	Mappato: 0 → emaildata.abuseReporterAddress
recipient_email	target.user.email_addresses	Unita
dst_user	target.user.userid	Mappato direttamente
N/D	metadata.event_type	Costante: EMAIL_TRANSACTION
N/D	metadata.product_name	Costante: PROOFPOINT_TRAP
N/D	metadata.vendor_name	Costante: PROOFPOINT
N/D	network.application_protocol	Costante: HTTP
N/D	network.direction	Costante: INBOUND
N/D	security_result.alert_state	Costante: ALERTING
N/D	security_result.severity	Costante: INFORMATIONAL
received_at	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
sources.name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
created_at	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
received_time	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
titlePII	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
pps_guid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
email_recipient_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
email_message_size	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
remediation_status	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tap_false_positive	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
abuse_reporter_rank	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
quarantine_strategy	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mime_content_expired	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mime_content_present	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
click_block_exclusive	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
remediation_status_context	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
last_known_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
clear_confidence	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
message_status.is_read	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
message_status.permitted_clicks	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
message_status.message_delivered	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sender_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tenant_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
created_at	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
message_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
updated_at	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
disposition	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
received_at	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tap_cleared	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
body_expired	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
body_present	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
clear_verdict	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tap_threat_types	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
source.id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
source.type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
incident.id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
incident.title	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
incident.display_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
incident.link_attribute	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sender_address	event.idm.read_only_udm.network.email.from	Mappato dal log delle modifiche
email_id	event.idm.read_only_udm.network.email.mail_id	Mappato dal log delle modifiche
email_subject	event.idm.read_only_udm.network.email.subject	Mappato dal log delle modifiche
recipient_address	event.idm.read_only_udm.network.email.to	Mappato dal log delle modifiche
assignedUserName	event.idm.read_only_udm.principal.user.user_display_name	Mappato dal log delle modifiche
assignedUserId	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
state	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
createdAt	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
updatedAt	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche
tenantId	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
closedAt	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
displayId	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
assignedTeamName	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
assignedTeamId	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
messageCount	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
vap	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
vip	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
commentCount	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dispositions	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sourceTypes	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sourcesData	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
state	event.idm.read_only_udm.security_result.alert_state	Mappato dal log delle modifiche
event1.description.messageid	event.idm.read_only_udm.network.email.mail_id	Mappato dal log delle modifiche
event1.description.sender.email	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
event1.description.recipient.email	event.idm.read_only_udm.target.user.email_addresses	Mappato dal log delle modifiche
event1.description.subject	event.idm.read_only_udm.network.email.subject	Mappato dal log delle modifiche
event1.description.created_at	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
event1.description.updated_at	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche
event1.description.id	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
event1.description.headers.From	event.idm.read_only_udm.sec_result.detection_fields	Mappato dal log delle modifiche
event1.description.headers.To	event.idm.read_only_udm.network.email.to	Mappato dal log delle modifiche
event1.description.headers.Reply-To	event.idm.read_only_udm.network.email.reply_to	Mappato dal log delle modifiche
event1.description.headers.Received-SPF	event.idm.read_only_udm.sec_result.description	Mappato dal log delle modifiche
event1.description.headers.DKIM-Signature	event.idm.read_only_udm.sec_result.detection_fields	Mappato dal log delle modifiche
event1.description.sender.vap	event.idm.read_only_udm.principal.user.attribute.labels	Mappato dal log delle modifiche
event1.description.recipient.vap	event.idm.read_only_udm.target.user.attribute.labels	Mappato dal log delle modifiche
event1.description.hosts.url	event.idm.read_only_udm.intermediary.labels	Mappato dal log delle modifiche
event1.description.urls	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
event1.description.severity	event.idm.read_only_udm.sec_result.severity	Mappato dal log delle modifiche
event1.description.state	event.idm.read_only_udm.sec_result.summary	Mappato dal log delle modifiche
mailfrom", "spf", "dkim1", "header_s1", "header_d1", "dkim2", "header_s2", "header_d2", and "dmarc	security_result.detection_fields	Mappato dal log delle modifiche
users	principal.user.userid	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.