收集 Proofpoint TAP 警告記錄

支援的國家/地區：

本文說明如何設定 Google Security Operations 動態饋給，收集 Proofpoint Targeted Attack Protection (TAP) 快訊記錄。

詳情請參閱「Google SecOps 資料擷取」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 PROOFPOINT_MAIL 攝入標籤的剖析器。

設定 Proofpoint TAP 警告

  1. 使用憑證登入 Proofpoint 威脅洞察入口網站。
  2. 在「設定」分頁標籤中，選取「已連結的應用程式」。系統會顯示「服務憑證」部分。
  3. 在「名稱」部分，按一下「建立新憑證」。
  4. 輸入貴機構的名稱，例如 altostrat.com。
  5. 點選「生成」，「產生的服務憑證」對話方塊會顯示「服務主體」和「密鑰」值。
  6. 複製「服務主體」和「密鑰」值。這些值只會在建立時顯示，設定 Google Security Operations 資訊提供時必須使用這些值。
  7. 按一下「完成」。

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態饋給」。
  3. 按一下「Proofpoint」動態饋給套件。
  4. 找出「Proofpoint Tap Alerts」記錄類型。

  5. 為下列欄位指定值：

    • 來源類型：第三方 API
    • 「使用者名稱」：指定先前取得的服務主體。
    • 密鑰：指定您先前取得的密鑰。

    進階選項

    • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
    • 資產命名空間：與動態饋給相關聯的命名空間。
    • 擷取標籤：套用至這個動態饋給所有事件的標籤。

  6. 按一下「建立動態饋給」。

如要進一步瞭解 Google Security Operations 資訊提供，請參閱 Google Security Operations 資訊提供說明文件。如要瞭解各動態饋給類型的規定，請參閱「依類型設定動態饋給」。如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會處理 JSON 或鍵/值格式的 Proofpoint Mail 記錄，並擷取電子郵件和網路活動詳細資料。這項功能會將記錄欄位對應至 UDM，將事件分類 (例如電子郵件交易和網路 HTTP 要求)，並加入動作、類別和威脅資訊等安全性詳細資料。

限制

分析 PROOFPOINT_MAIL 記錄時，您可能會發現事件具有歷史時間戳記，但實際擷取時間是即時。這是 Proofpoint API 的固有行為，而非 Google SecOps 擷取管道。即使 Google SecOps 查詢的是最新活動，Proofpoint API 仍可能傳回幾天前發生的事件。由於 Proofpoint 緩衝及發布事件資料的方式，PROOFPOINT_MAIL 記錄類型預期會出現 event_timestamp 與 ingestion_time 之間的差異。詳情請參閱 Proofpoint 事件時間戳記說明文件。

UDM 對應表

下表列出 Proofpoint TAP 快訊原始記錄欄位與 UDM 欄位的對應關係，並依格式分類。

記錄欄位 UDM 欄位 說明
clicksBlocked[].classification security_result.category、
security_result.category_details		 威脅的分類 (例如 malware、phish)。
clicksBlocked[].clickIP principal.ip、
security_result.about.ip		 點按網址的使用者 IP 位址。
clicksBlocked[].clickTime metadata.event_timestamp、
additional.fields["clickTime"]		 點擊時間戳記。
clicksBlocked[].GUID metadata.product_log_id 點擊事件的專屬 ID。
clicksBlocked[].guid metadata.product_log_id 點擊事件的專屬 ID。
clicksBlocked[].id additional.fields["id"] 專屬的點擊 ID。
clicksBlocked[].messageID network.email.mail_id 原始電子郵件訊息 ID。
clicksBlocked[].recipient network.email.to、
target.user.email_addresses		 收件者的電子郵件地址。
clicksBlocked[].sender network.email.from、
principal.user.email_addresses		 寄件者的電子郵件地址。使用者部分已雜湊處理。網域部分為明文。
clicksBlocked[].senderIP principal.ip 原始寄件者的 IP 位址。
clicksBlocked[].threatID security_result.threat_id 偵測到的威脅 ID。
clicksBlocked[].threatStatus security_result.threat_status 威脅的狀態 (Active、Cleared 等)。
clicksBlocked[].threatTime metadata.event_timestamp if clicksBlocked[].clickTime is null,
additional.fields["clicks_clickTime"]		 Proofpoint 指派 threatStatus 的時間。
clicksBlocked[].threatUrl security_result.url_back_to_product 特定威脅的 TAP 資訊主頁項目連結。
clicksBlocked[].url target.url、
security_result.about.url		 遭點選的惡意網址。
clicksBlocked[].userAgent network.http.user_agent、
network.http.parsed_user_agent		 發出點擊的用戶端使用者代理程式。
clicksPermitted[].classification security_result.category、
security_result.category_details		 威脅的分類 (例如 malware、phish)。
clicksPermitted[].clickIP principal.ip、
security_result.about.ip		 點按網址的使用者 IP 位址。
clicksPermitted[].clickTime metadata.event_timestamp、
additional.fields["clickTime"]		 點擊時間戳記。
clicksPermitted[].GUID metadata.product_log_id 點擊事件的專屬 ID。
clicksPermitted[].guid metadata.product_log_id 點擊事件的專屬 ID。
clicksPermitted[].id additional.fields["id"] 專屬的點擊 ID。
clicksPermitted[].messageID network.email.mail_id 原始電子郵件訊息 ID。
clicksPermitted[].recipient network.email.to、
target.user.email_addresses		 收件者的電子郵件地址。
clicksPermitted[].sender network.email.from、
principal.user.email_addresses		 寄件者的電子郵件地址。使用者部分已雜湊處理。網域部分為明文。
clicksPermitted[].senderIP principal.ip 原始寄件者的 IP 位址。
clicksPermitted[].threatID security_result.threat_id 偵測到的威脅 ID。
clicksPermitted[].threatStatus security_result.threat_status 威脅狀態 (有效、已清除等)。
clicksPermitted[].threatTime metadata.event_timestamp if clicksPermitted[].clickTime is null,
additional.fields["clicks_clickTime"]		 Proofpoint 指派 threatStatus 的時間。
clicksPermitted[].threatUrl security_result.url_back_to_product 特定威脅的 TAP 資訊主頁項目連結。
clicksPermitted[].url target.url、
security_result.about.url		 遭點選的惡意網址。
clicksPermitted[].userAgent network.http.user_agent、
network.http.parsed_user_agent		 發出點擊的用戶端使用者代理程式。
記錄欄位 UDM 欄位 說明
messagesBlocked[].ccAddresses intermediary.user.email_addresses CC: 標頭中包含的電子郵件地址清單。
messagesBlocked[].cluster additional.fields["cluster"] 處理電子郵件事件的特定 Proofpoint 郵件處理叢集 (或租戶部署)。
messagesBlocked[].clusterId additional.fields 處理訊息的 PPS 叢集名稱。
messagesBlocked[].fromAddress principal.user.email_addresses，
network.email.from如果 messagesBlocked[].sender 不存在		 From: 標頭中包含的電子郵件地址，不含友善名稱。
messagesBlocked[].guid metadata.product_log_id PPS 內的訊息 ID。可用於在 PPS 中識別郵件，且一律不會重複。
messagesBlocked[].GUID metadata.product_log_id PPS 內的訊息 ID。可用於在 PPS 中識別郵件，且一律不會重複。
messagesBlocked[].headerCC additional.fields["headerCC "] 包含 headerCC 詳細資料。
messagesBlocked[].headerReplyTo additional.fields["headerReplyTo "] 如果有的話，Reply-To: 標頭的完整內容，包括任何友善名稱。
messagesBlocked[].id additional.fields["id"] 包含郵件 ID 詳細資料。
messagesBlocked[].impostorScore security_result.detection_fields["impostorScore"] 郵件的冒用者分數。
messagesBlocked[].malwareScore security_result.detection_fields["malwareScore"] 郵件的惡意軟體分數。
messagesBlocked[].messageID network.email.mail_id 從電子郵件訊息標頭擷取的郵件 ID。可用於在 PPS 中查詢相關訊息，且具有唯一性。
messagesBlocked[].messageParts[].contentType about.file.mime_type 檔案的 MIME 類型。
messagesBlocked[].messageParts[].disposition additional.fields["disposition "] 郵件部分的處理方式 (例如附加、內嵌)。動態建立索引。
messagesBlocked[].messageParts[].md5 about.file.md5 郵件部分/檔案的 MD5 雜湊。
messagesBlocked[].messageParts[].oContentType additional.fields["oContentType "] messagePart 宣告的 Content-Type。
messagesBlocked[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] 沙箱中的檔案分析狀態。
messagesBlocked[].messageParts[].sha256 about.file.sha256 訊息部分/檔案的 SHA256 雜湊。
messagesBlocked[].messagesBlocked[].messageParts[].filename about.file.full_path 檔案或附件的名稱。
messagesBlocked[].messageSize additional.fields["messageSize"] 郵件大小 (以位元組為單位)，包括標頭和附件。
messagesBlocked[].messageTime metadata.event_timestamp 郵件傳送給使用者或遭 PPS 隔離的時間。
messagesBlocked[].modulesRun additional.fields["modulesRun"] 處理訊息的 PPS 模組清單。
messagesBlocked[].phishScore security_result.detection_fields["phishScore"] 郵件的網路釣魚分數。
messagesBlocked[].policyRoutes additional.fields["PolicyRoutes"] 郵件在 PPS 處理期間符合的政策路徑。
messagesBlocked[].QID additional.fields["QID"] PPS 內訊息的佇列 ID。可用於在 PPS 中識別訊息，但並非專屬 ID。
messagesBlocked[].quarantineFolder 如果 messagesBlocked[].quarantineFolder 為「低優先順序」或「高優先順序」，則為 security_result.priority，否則為
security_result.detection_fields ["quarantineFolder"]		 含有遭隔離郵件的資料夾名稱。
messagesBlocked[].recipient network.email.to 包含收件者電子郵件地址的陣列。
messagesBlocked[].replyToAddress network.email.reply_to (如果是有效電子郵件)
additional.fields["replyTo"] (否則)		 Reply-To: 標頭中包含的電子郵件地址。
messagesBlocked[].sender network.email.from 寄件者的電子郵件地址。
messagesBlocked[].senderIP principal.ip、
principal.asset.ip		 寄件者的電子郵件地址。
messagesBlocked[].spamScore security_result.detection_fields["spamScore"] 郵件的垃圾內容分數。
messagesBlocked[].subject network.email.subject 電子郵件主旨。
messagesBlocked[].suborgs.rcpts additional.fields["suborgsRcpts"] 指派給收件者的內部子機構 ID 陣列。
messagesBlocked[].suborgs.sender additional.fields["suborgsSender"] 指派給傳送者的內部子機構 ID。
messagesBlocked[].threatsInfoMap[].campaignId security_result.rule_id 如果查詢時有威脅所屬廣告活動的 ID，系統會提供該 ID。即使在擷取這些事件後，威脅仍可連結至廣告活動。
messagesBlocked[].threatsInfoMap[].campaignID security_result.rule_id 如果查詢時有威脅所屬廣告活動的 ID，系統會提供該 ID。即使在擷取這些事件後，威脅仍可連結至廣告活動。
messagesBlocked[].threatsInfoMap[].classification security_result.category、
security_result.category_details		 郵件中發現的威脅類別。
messagesBlocked[].threatsInfoMap[].completelyRewritten security_result.detection_fields、
security_result.action		 訊息的重新撰寫狀態。如果值為 true，表示郵件中的所有網址威脅例項都已成功重寫。如果值為 false，表示至少有一個威脅網址未經過重寫。如果值為 na，表示郵件不含任何網址相關威脅。
messagesBlocked[].threatsInfoMap[].detectionType security_result.detection_fields 回應中新增了 detectionType 和 ThreatInfo 欄位。
messagesBlocked[].threatsInfoMap[].threat security_result.about.url (如果 threatType 為 url)、
security_result.about.file.sha256 (如果 attachment)、
security_result.about.resource.name (如果 messageText)、
result.about.resource.attribute.labels (值為 Email，且鍵為 threatType、
security_result.about.resource.name、
security_result.about.resource.attribute.labels)		 威脅是附件、網址還是郵件類型。
messagesBlocked[].threatsInfoMap[].threatID security_result.threat_id 與這項威脅相關聯的專屬 ID。可用於查詢鑑識和廣告活動端點。
messagesBlocked[].threatsInfoMap[].threats.actors[].id security_result.detection_fields 結構陣列，內含參與者 ID 的詳細資料。
messagesBlocked[].threatsInfoMap[].threats.actors[].name security_result.detection_fields 結構陣列，內含參與者 ID 的詳細資料。
messagesBlocked[].threatsInfoMap[].threats.actors[].type security_result.detection_fields 結構陣列，內含參與者 ID 的詳細資料。
messagesBlocked[].threatsInfoMap[].threatStatus security_result.threat_status 威脅的目前狀態。
messagesBlocked[].threatsInfoMap[].threatTime metadata.event_timestamp如果沒有 messagesBlocked[].messageTime，
security_result.detection_fields		 Proofpoint 指派 threatStatus 的時間。
messagesBlocked[].threatsInfoMap[].threatType security_result.threat_name 字串，用於指定要在資料中傳回的威脅類型。
messagesBlocked[].threatsInfoMap[].threatUrl security_result.url_back_to_product TAP 資訊主頁上威脅項目的連結。
messagesBlocked[].toAddresses target.user.email_addresses To: 標頭中包含的電子郵件地址清單。
messagesBlocked[].xmailer security_result.detection_fields["xmailer"] X-Mailer: 標頭的內容。
messagesDelivered[].ccAddresses intermediary.user.email_addresses CC: 標頭中包含的電子郵件地址清單。
messagesDelivered[].cluster additional.fields["cluster"] 處理電子郵件事件的特定 Proofpoint 郵件處理叢集 (或租戶部署)。
messagesDelivered[].clusterId additional.fields 處理訊息的 PPS 叢集名稱。
messagesDelivered[].fromAddress principal.user.email_addresses，
network.email.from如果 messagesDelivered[].sender 不存在		 From: 標頭中包含的電子郵件地址，不含友善名稱。
messagesDelivered[].GUID metadata.product_log_id PPS 內的訊息 ID。可用於在 PPS 中識別郵件，且一律不會重複。
messagesDelivered[].guid metadata.product_log_id PPS 內的訊息 ID。可用於在 PPS 中識別郵件，且一律不會重複。
messagesDelivered[].headerCC additional.fields["headerCC "] 包含 headerCC 詳細資料。
messagesDelivered[].headerReplyTo additional.fields["headerReplyTo "] 如果有的話，Reply-To: 標頭的完整內容，包括任何友善名稱。
messagesDelivered[].id additional.fields["id "] 包含郵件 ID 詳細資料。
messagesDelivered[].impostorScore security_result.detection_fields["impostorScore"] 郵件的冒用者分數。
messagesDelivered[].malwareScore security_result.detection_fields["malwareScore"] 郵件的惡意軟體分數。
messagesDelivered[].messageID network.email.mail_id 從電子郵件訊息標頭擷取的郵件 ID。可用於在 PPS 中查詢相關訊息，但並非專屬 ID。
messagesDelivered[].messageParts[].contentType about.file.mime_type 檔案的 MIME 類型。
messagesDelivered[].messageParts[].disposition additional.fields["disposition "] 郵件部分的處理方式 (例如附加、內嵌)。動態建立索引。
messagesDelivered[].messageParts[].md5 about.file.md5 郵件部分/檔案的 MD5 雜湊。
messagesDelivered[].messageParts[].oContentType additional.fields["oContentType "] messagePart 宣告的 Content-Type。
messagesDelivered[].messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] 沙箱中的檔案分析狀態。
messagesDelivered[].messageParts[].sha256 about.file.sha256 訊息部分/檔案的 SHA256 雜湊。
messagesDelivered[].messagesDelivered[].messageParts[].filename about.file.full_path 檔案或附件的名稱。
messagesDelivered[].messageSize additional.fields["messageSize"] 郵件大小 (以位元組為單位)，包括標頭和附件。
messagesDelivered[].messageTime metadata.event_timestamp 郵件傳送給使用者或遭 PPS 隔離的時間。
messagesDelivered[].modulesRun additional.fields["modulesRun"] 處理訊息的 PPS 模組清單。
messagesDelivered[].phishScore security_result.detection_fields["phishScore"] 郵件的網路釣魚分數。
messagesDelivered[].policyRoutes additional.fields["PolicyRoutes"] 郵件在 PPS 處理期間符合的政策路徑。
messagesDelivered[].QID additional.fields["QID"] PPS 內訊息的佇列 ID。可用於在 PPS 中識別訊息，但並非專屬 ID。
messagesDelivered[].quarantineFolder 如果 messagesDelivered[].quarantineFolder 為「低優先順序」或「高優先順序」，則為 security_result.priority，否則為
security_result.detection_fields ["quarantineFolder"]		 含有遭隔離郵件的資料夾名稱。
messagesDelivered[].recipient network.email.to 包含收件者電子郵件地址的陣列。
messagesDelivered[].replyToAddress network.email.reply_to (如果是有效電子郵件)
additional.fields ["replyTo"] (否則)		 Reply-To: 標頭中包含的電子郵件地址。
messagesDelivered[].senderIP principal.ip、
principal.asset.ip		 寄件者的電子郵件地址。
messagesDelivered[].spamScore security_result.detection_fields["spamScore"] 郵件的垃圾內容分數。
messagesDelivered[].subject network.email.subject 電子郵件主旨。
messagesDelivered[].suborgs.rcpts additional.fields["suborgsRcpts"] 指派給收件者的內部子機構 ID 陣列。
messagesDelivered[].suborgs.sender additional.fields["suborgsSender"] 指派給傳送者的內部子機構 ID
messagesDelivered[].threatsInfoMap[].campaignId security_result.rule_id 如果查詢時有威脅所屬廣告活動的 ID，系統會提供該 ID。即使在擷取這些事件後，威脅仍可連結至廣告活動。
messagesDelivered[].threatsInfoMap[].campaignID security_result.rule_id 如果查詢時有威脅所屬廣告活動的 ID，系統會提供該 ID。即使在擷取這些事件後，威脅仍可連結至廣告活動。
messagesDelivered[].threatsInfoMap[].classification security_result.category、
security_result.category_details		 郵件中發現的威脅類別。
messagesDelivered[].threatsInfoMap[].completelyRewritten security_result.detection_fields、
security_result.action		 訊息的重新撰寫狀態。如果值為 true，表示郵件中的所有網址威脅例項都已成功重寫。如果值為 false，表示至少有一個威脅網址未經過重寫。如果值為 na，表示郵件不含任何網址相關威脅。
messagesDelivered[].threatsInfoMap[].detectionType security_result.detection_fields 回應中新增了 detectionType 和 ThreatInfo 欄位。
messagesDelivered[].threatsInfoMap[].threat security_result.about.url (如果 threatType 為 url)、
security_result.about.file.sha256 (如果 threatType 為 attachment)、
security_result.about.resource.name (如果 threatType 為 messageText)、
security_result.about.resource.name (否則)、
result.about.resource.attribute.labels (值為 Email，鍵為 threatType)、
security_result.about.resource.name、
security_result.about.resource.attribute.labels		 威脅是附件、網址還是訊息類型。
messagesDelivered[].threatsInfoMap[].threatID security_result.threat_id 與這項威脅相關聯的專屬 ID。可用於查詢鑑識和廣告活動端點。
messagesDelivered[].threatsInfoMap[].threats.actors[].id security_result.detection_fields 結構陣列，內含參與者 ID 的詳細資料。
messagesDelivered[].threatsInfoMap[].threats.actors[].name security_result.detection_fields 結構陣列，內含參與者 ID 的詳細資料。
messagesDelivered[].threatsInfoMap[].threats.actors[].type security_result.detection_fields 結構陣列，內含參與者 ID 的詳細資料。
messagesDelivered[].threatsInfoMap[].threatStatus security_result.threat_status 威脅的目前狀態。
messagesDelivered[].threatsInfoMap[].threatTime metadata.event_timestamp如果沒有 messagesDelivered[].messageTime，
security_result.detection_fields		 Proofpoint 指派 threatStatus 的時間。
messagesDelivered[].threatsInfoMap[].threatType security_result.threat_name 字串，用於指定要在資料中傳回的威脅類型。
messagesDelivered[].threatsInfoMap[].threatUrl security_result.url_back_to_product TAP 資訊主頁上威脅項目的連結。
messagesDelivered[].toAddresses target.user.email_addresses To: 標頭中包含的電子郵件地址清單。
messagesDelivered[].xmailer security_result.detection_fields["xmailer"] X-Mailer: 標頭的內容。
msg.accountType 供應商專用的其他欄位。
msg.address principal.user.email_addresses 與受監控或評估威脅活動的帳戶相關聯的特定電子郵件地址。
msg.dashboardLink security_result.url_back_to_product 威脅洞察資訊主頁的連結。
msg.deliveredMessages 供應商專用的其他欄位。
msg.eventTime 如果 messageTime 和 threatTime 為空，則為 metadata.event_timestamp 產生這項威脅觀察或記錄事件的確切世界標準時間戳記。
msg.highRisk security_result.action 布林值標記 (true/false)，指出 Proofpoint 是否將這個帳戶歸類為具有較高的安全風險或遭入侵程度。
msg.identity 供應商專用的其他欄位。
msg.maliciousMessages 供應商專用的其他欄位。
msg.observations[] additional.fields["observations"] Proofpoint 演算法標記的特定威脅情報行為標記或異常指標清單。
msg.timeRanges[].end additional.fields 時間範圍陣列，顯示系統主動觀察到這個帳戶出現可疑行為或威脅指標的時間。
msg.timeRanges[].falsePositive additional.fields 時間範圍陣列，顯示系統主動觀察到這個帳戶出現可疑行為或威脅指標的時間。
msg.timeRanges[].start,msg additional.fields 時間範圍陣列，顯示系統主動觀察到這個帳戶出現可疑行為或威脅指標的時間。
msg.trafficType 供應商專用的其他欄位。
queryEndTime metadata.collected_timestamp 查詢資料的期間結束時間。
sender_domain principal.domain.name 從 messagesBlocked[].fromAddress 或 messagesDelivered[].fromAddress 擷取，包含寄件者的網域名稱。

Syslog 格式的記錄欄位

記錄欄位 UDM 欄位 說明
a additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
action security_result.action、
security_result.action_details		 包含動作詳細資料。
active security_result.threat_status 威脅狀態。
adjust additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
adultscore additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
application principal.application 包含主要應用程式詳細資料。
attachments additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
bits additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
bulkscore additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
campaignID security_result.rule_id 如果查詢時有威脅所屬廣告活動的 ID，系統會提供該 ID。即使在擷取這些事件後，威脅仍可連結至廣告活動。
ccAddresses intermediary.user.email_addresses CC: 標頭中包含的電子郵件地址清單。
cid additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
cipher network.tls.cipher 包含 tls.cipher 詳細資料。
cipher_bits additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
class security_result.category、
security_result.category_details		 惡意網址的威脅類別。
classifier security_result.category 郵件中發現的威脅類別。
clickIP security_result.about.ip、principal.ip、
principal.asset.ip		 點選連結的使用者外部 IP 位址。如果使用者位於執行網路位址轉譯的防火牆後方，系統會顯示防火牆的 IP 位址。
clickTime 如果沒有 messageTime，請使用 metadata.event_timestamp 使用者點按網址的時間。
cluster additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
clusterId additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
clx_result_group additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
clx_score additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
clx_shade additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
clxscore additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
cmd 如果 STS 不為空，則為 network.http.method，否則為
principal.process.command_line		 如果 STS 不為空白，則包含 HTTP 方法；否則包含指令列詳細資料。
completelyRewritten security_result.action、
security_result.detection_fields["completelyRewritten"]		 訊息的重新撰寫狀態。如果值為 true，表示郵件中的所有網址威脅例項都已成功重寫。如果值為 false，表示至少有一個威脅網址未經過重寫。如果值為 na，表示郵件不含任何網址相關威脅。
corrupted additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
country principal.location.country_or_region 包含國家/地區詳細資料。
daemon additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
date_log metadata.event_timestamp 如果沒有 messageTime、clickTime 和 threatTime syslog 中的時間戳記。
date_log_rebase metadata.event_timestamp 如果沒有 messageTime、clickTime 和 threatTime syslog 中的時間戳記。
default additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
definitions additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
delay additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
dict security_result.category_details 內含category_details。
dnsid network.dns.id 包含 DNS ID 詳細資料。
domain principal.administrative_domain 包含 administrative_domain 詳細資料。
dsn additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
duration additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
eid additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
elapsed additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
engine metadata.product_version 包含 product_version 詳細資料。
envid additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
err security_result.description 說明。
evt extensions.auth.auth_details 驗證詳細資料。
expires additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
file about.process.file.full_path 內含檔案完整路徑詳細資料。
from network.email.from 包含寄件者的電子郵件地址。
fromAddress network.email.from From: 標頭中包含的電子郵件地址。
guid metadata.product_log_id PPS 內的訊息 ID。可用於在 PPS 中識別郵件，且一律不會重複。
hdr_mid network.email.mail_id 包含 mail_id 詳細資料。
headerFrom additional.fields["headerFrom"] From: 標頭的完整內容，包括任何友善名稱。
headerReplyTo additional.fields["headerReplyTo"] 如果有的話，Reply-To: 標頭的完整內容。
headerTo additional.fields 供應商專用的其他欄位。
helo security_result.detection_fields 供應商專屬的安全偵測欄位。
hfrom network.email.from 內含寄件者的電子郵件地址。
hfrom_domain principal.administrative_domain 包含 administrative_domain 詳細資料。
hops-ip intermediary.ip 包含中介 IP 位址。
host principal.hostname 包含主機名稱詳細資料。
id additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
id additional.fields 供應商專用的其他欄位。
impostor_score security_result.detection_fields 供應商專屬的安全偵測欄位。
impostorScore security_result.detection_fields 郵件的冒用者分數。
inter_host intermediary.hostname 包含中繼主機名稱詳細資料。
intermediary_hostname intermediary.hostname 包含中繼主機名稱。
intermediary_ip intermediary.ip 包含中介 IP 位址。
ip principal.ip、
principal.asset.ip		 包含寄件者的 IP 位址
len additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
lint security_result.detection_fields 供應商專屬的安全偵測欄位。
lip intermediary.ip 包含中介 IP 位址。
log_level security_result.severity 包含嚴重程度詳細資料。
lowpriorityscore additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
m network.email.mail_id 包含 mail_id 詳細資料。
mailer network.application_protocol 包含 application_protocol 詳細資料。
malwareScore security_result.detection_fields 供應商專屬的安全偵測欄位。
messageID network.email.mail_id 從電子郵件訊息標頭擷取的郵件 ID。
messageParts[].contentType about.file.mime_type 檔案的 MIME 類型。
messageParts[].disposition additional.fields["disposition "] 郵件部分的處理方式 (例如附加、內嵌)。動態建立索引。
messageParts[].filename about.file.full_path 檔案或附件的名稱。
messageParts[].md5 about.file.md5 郵件部分/檔案的 MD5 雜湊。
messageParts[].oContentType additional.fields["oContentType "] messagePart 宣告的 Content-Type。
messageParts[].sandboxStatus security_detection.fields["sandboxStatus "] 沙箱中的檔案分析狀態。
messageParts[].sha256 about.file.sha256 訊息部分/檔案的 SHA256 雜湊。
messageTime metadata.event_timestamp 郵件傳送給使用者或遭 PPS 隔離的時間。
mime principal.process.file.mime_type 包含檔案 mime_type 詳細資料。
mlxscore additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
mod network.application_protocol 包含 application_protocol 詳細資料。
module additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
modulesRun security_result.detection_fields 處理訊息的 PPS 模組清單。
modulesRun security_result.detection_fields 供應商專屬的安全偵測欄位。
msg security_result.description 說明。
msghold_response additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
msgid network.email.mail_id 包含 mail_id 詳細資料。
msgs additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
name about.process.file.full_path 內含檔案的完整路徑。
notroutes additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
nrcpts additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
path principal.url 包含網址詳細資料。
phishscore security_result.detection_fields 郵件的網路釣魚分數。
pid principal.process.pid 包含 PID 詳細資料。
policy network.direction 說明網路流量。包含傳入/傳出值。
pri additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
principal_hostname principal.hostname、
principal.asset.hostname		 包含主要主機名稱詳細資料。
principal_ip_1 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_2 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_3 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_4 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_5 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_6 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_7 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_8 principal.ip、
principal.assest.ip		 包含主要 IP 詳細資料。
principal_ip_port_1 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_ip_port_2 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_ip_port_3 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_ip_port_4 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_ip_port_5 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_ip_port_6 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_ip_port_7 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_ip_port_8 principal.resource.attribute.labels 包含主要連接埠詳細資料。
principal_pid principal.process.pid 擷取程序 PID。
priority_score security_result.detection_fields 供應商專屬的安全偵測欄位。
priorityscore additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
profile additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
prot network.application_protocol 包含 application_protocol 詳細資料。
protected additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
proto network.application_protocol 包含 application_protocol 詳細資料。
pss additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
qid additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
quarantineFolder security_result.priority 含有遭隔離郵件的資料夾名稱。
quarantineRule security_result.rule_name 隔離郵件的規則名稱。
query additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
querydepth additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
rcode additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
rcpt network.email.to 包含收件者的電子郵件地址。
rcpts network.email.to 包含收件者的電子郵件地址
reason additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
recipient target.user.email_addresses 包含收件者的電子郵件詳細資料。
reject additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
reply additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
replyToAddress network.email.reply_to Reply-To: 標頭中包含的電子郵件地址。
resolve additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
restquery_stage additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
result security_result.action 包含動作詳細資料。
result additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
result_detail security_result.description 提供說明。
reverse additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
routes additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
rss additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
rule security_result.rule_name 包含 rule_name。
s network.session_id 包含 session_id 詳細資料。
scancount additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
scope additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
score additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
selector additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
sender principal.user.email_addresses 內含寄件者電子郵件詳細資料。
senderIP principal.ip、
principal.assest.ip		 包含寄件者 IP 詳細資料。
sendmail_queue_id additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
sha256 security_result.about.file.sha256 SHA256 檔案詳細資料。
size principal.process.file.size` 包含檔案大小詳細資料。
smtputf8 additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
spamscore security_result.detection_fields 郵件的垃圾內容分數。
src_host principal.hostname、
principal.asset.hostname		 包含主要主機名稱詳細資料。
STARTTLS additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
stat additional.fields 包含狀態詳細資料。
status additional.fields 包含狀態詳細資料。
sts network.http.response_code 包含 response_code 資料。
subject network.email.subject 包含 email.subject。
subject network.email.subject 包含電子郵件主旨詳細資料。
suspectscore additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
sys additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
sz principal.process.file.size 包含檔案大小詳細資料。
tests additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
threat security_result.about.url (如果 threatType 為 url)、
security_result.about.file.sha256 (如果 threatType 為 attachment)、
security_result.about.resource.name (如果 threatType 為 messageText)、
result.about.resource.attribute.labels (值為 Email，鍵為 threatType
security_result.about.resource.name)、
security_result.about.resource.attribute.labels (鍵為 ["threatType"])
threatID security_result.threat_id 包含威脅 ID 詳細資料。
threatsInfoMap[].campaignID security_result1.rule_id 如果查詢時有威脅所屬廣告活動的 ID，系統會提供該 ID。即使在擷取這些事件後，威脅仍可連結至廣告活動。
threatsInfoMap[].classification security_result.category
security_result.category_details		 郵件中發現的威脅類別。
threatsInfoMap[].threat 如果 threatType 為 url，則為 security_result.about.url；如果 threatType 為 attachment，則為
security_result.about.file.sha256；如果 threatType 為 messageText，則為
result.about.resource.attribute.labels，值為 Email，鍵為 threatsInfoMap[].threatType
security_result.about.resource.name；否則為
security_result.about.resource.attribute.labels，鍵為 ["threatType"]
security_result.about.resource.name		 結構陣列，內含郵件中偵測到的威脅詳細資料。每封郵件可能有多個威脅。
threatsInfoMap[].threatID security_result.threat_id 包含威脅 ID 詳細資料。
threatsInfoMap[].threatStatus security_result.threat_status 威脅的目前狀態。
threatsInfoMap[].threatTime metadata.event_timestamp如果沒有 messageTime 和 clickTime，
security_result.detection_fields
threatsInfoMap[].threatType security_result.about.url (如果 threatType 為 url)
security_result.about.file.sha256 (如果 threatType 為 attachment)
security_result.about.resource.name (如果 threatType 為 messageText)
result.about.resource.attribute.labels (值為 Email，鍵為 threatsInfoMap[].threatType)
security_result.about.resource.name，
security_result.about.resource.attribute.labels (鍵為 ["threatType"])		 結構陣列，內含郵件中偵測到的威脅詳細資料。每封郵件可能有多個威脅。
threatsInfoMap[].threatUrl security_result.url_back_to_product 特定威脅的 TAP 資訊主頁項目連結。
threatStatus security_result.threat_status 威脅的目前狀態。
threatTime 如果沒有 messageTime 和 clickTime，則為 metadata.event_timestamp Proofpoint 將網址識別為威脅的時間。
threatType security_result.about.url (如果 threatType 為 url)、
security_result.about.file.sha256 (如果 threatType 為 attachment)、
security_result.about.resource.name (如果 threatType 為 messageText)、
result.about.resource.attribute.labels (值為 Email，鍵為 threatType
security_result.about.resource.name)、
security_result.about.resource.attribute.labels (鍵為 ["threatType"])
threatURL security_result.url_back_to_product 特定威脅的 TAP 資訊主頁項目連結。
threshold additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
tls network.tls.cipher 包含 tls.cipher 詳細資料。
tls-alert security_result.description 提供說明
tls_verify security_result.action 包含驗證詳細資料。
tls_version network.tls.version 包含 TLS 版本詳細資料。
to network.email.to 包含收件者的電子郵件地址。
toAddresses network.email.to To: 標頭中包含的電子郵件地址清單。
token additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
ts metadata.event_timestamp 如果沒有 messageTime、clickTime 和 threatTime syslog 中的時間戳記。
type additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
uri principal.url 包含網址詳細資料。
url_count additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
userAgent network.http.user_agent、
network.http.parsed_user_agent		 HTTP 使用者代理程式。
value network.email.from 內含寄件者的電子郵件地址。
vendor additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
verify security_result.action 包含驗證詳細資料。
version network.tls.version 包含 TLS 版本詳細資料。
virtual additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
virusthreat security_result.threat_name 包含威脅名稱詳細資料。
virusthreatid security_result.threat_id 包含威脅 ID 詳細資料。
warn additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
x additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
X-Proofpoint-Spam-Details additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
xdelay additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
xmailer security_result.detection_fields X-Mailer: 標頭的內容 (如有)，或廠商專屬的安全偵測欄位。

CEF 記錄欄位

記錄欄位 UDM 欄位 說明
cluster additional.fields 供應商專用的其他欄位。
file_hash principal.file.md5 包含檔案 MD5 詳細資料。
file_name principal.file.full_path 包含路徑。
GUID metadata.product_log_id 包含 product_log_id。
guid metadata.product_log_id 包含 product_log_id。
headerFrom additional.fields From: 標頭的完整內容。
headerReplyTo additional.fields["headerReplyTo"] Reply-To: 標頭的完整內容。
host principal.hostname、
principal.assest.hostname		 包含主體主機名稱。
id additional.fields 其他欄位，內含無法在 UDM 模型正式區段中充分呈現的供應商專屬事件資料。
id additional.fields 供應商專用的其他欄位。
impostorScore security_result.detection_fields 供應商專屬的安全偵測欄位。
malwareScore security_result.detection_fields 供應商專屬的安全偵測欄位。
message_id network.email.mail_id 包含 mail_id 詳細資料。
messageParts_contentType principal.file.mime_type 代表電子郵件訊息特定部分/元件的 MIME 類型。
messageParts_disposition additional.fields 供應商專用的其他欄位。
messageParts_oContentType additional.fields 供應商專用的其他欄位。
messageParts_sandboxStatus security_result.detection_fields 供應商專屬的安全偵測欄位。
messageParts_sha256 principal.file.sha256 包含檔案 256 詳細資料。
messageTime metadata.event_timestamp 郵件傳送給使用者或遭 PPS 隔離的時間。
modulesRun security_result.detection_fields 處理訊息的 PPS 模組清單。
modulesRun security_result.detection_fields 供應商專屬的安全偵測欄位。
orig_dest network.email.to 電子郵件抵達閘道時，初始 SMTP 封套/標頭中的電子郵件地址。
orig_recipient target.user.email_addresses 收件者的電子郵件地址。
orig_src network.email.from 來源的電子郵件地址。
policyRoutes additional.fields 供應商專用的其他欄位。
process_id principal.process.pid 包含程序 PID 詳細資料。
QID additional.fields PPS 內訊息的佇列 ID。可用於在 PPS 中識別訊息，但並非專屬 ID。
quarantineFolder security_result.priority 含有遭隔離郵件的資料夾名稱。
quarantineRule security_result.rule_name 隔離郵件的規則名稱。
return_addr principal.user.email_addresses SMTP 傳輸期間指定的郵件地址 (MAIL FROM)。
rt additional.fields 供應商專用的其他欄位。
sender principal.user.email_addresses 內含寄件者的電子郵件地址。
src principal.ip、
principal.asset.ip		 包含主體 IP 位址。
stag additional.fields 供應商專用的其他欄位。
start additional.fields 供應商專用的其他欄位。
status_code additional.fields 供應商專用的其他欄位。
subject network.email.subject 包含 email.subject。
threatsInfoMap_campaignID security_result.rule_id 如果查詢時有威脅所屬廣告活動的 ID，系統會提供該 ID。即使在擷取這些事件後，威脅仍可連結至廣告活動。
threatsInfoMap_classification security_result.category、
security_result.category_details		 惡意網址的威脅類別。
threatsInfoMap_detectionType security_result.detection_fields 供應商專屬的安全偵測欄位。
threatsInfoMap_threatID security_result.threat_id 包含威脅 ID 詳細資料。
threatsInfoMap_threatTime 如果 messageTime 為空，則為 metadata.event_timestamp Proofpoint 指派 threatStatus 的時間。
threatsInfoMap_threatTime security_result.detection_fields 供應商專屬的安全偵測欄位。
threatsInfoMap_threatType security_result.detection_fields 供應商專屬的安全偵測欄位。
threatsInfoMap_threatUrl security_result.url_back_to_product 內含重新導向的網址，可查看 Proofpoint 的威脅情報、沙箱分析和鑑識詳細資料。
threatStatistics_families_name0 security_result.detection_fields 供應商專屬的安全偵測欄位。
threatStatistics_families_score0 security_result.detection_fields 供應商專屬的安全偵測欄位。
url security_result.about.url 實際的可疑/惡意網址。
version additional.fields 供應商專用的其他欄位。
vip additional.fields 供應商專用的其他欄位。
xmailer security_result.detection_fields X-Mailer: 標頭的內容 (如有)，或廠商專屬的安全偵測欄位。

UDM 對應差異參考資料

Google SecOps 於 2025 年 9 月 9 日發布新版 Proofpoint TAP 快訊剖析器，大幅變更 Proofpoint TAP 快訊記錄欄位與 UDM 欄位的對應關係，並更新事件類型分類 (對應)。

記錄欄位對應差異

下表顯示 Proofpoint TAP 警報記錄欄位對應至 UDM 欄位的方式異動。 「舊版對應」欄會列出 2025 年 9 月 9 日前公開的欄位，「目前對應」欄則會列出新欄位。

記錄欄位 舊對應 目前對應
clicks.impostorScore additional.fields security_result.detection_fields
clicks.malwareScore additional.fields security_result.detection_fields
clicks.phishScore additional.fields security_result.detection_fields
clicks.quarantineFolder additional.fields 如果 quarantineFolder 等於 low priority 或 high priority，則對應至 security_result.priority。否則，請對應至 security_result.detection_fields。
clicks.quarantineRule additional.fields security_result.rule_name
clicks.sender about.email Not Mapped
clicks.senderIP about.ip principal.ip
clicks.spamScore additional.fields security_result.detection_fields
impostorScore additional.fields security_result.detection_fields
malwareScore additional.fields security_result.detection_fields
msg.impostorScore additional.fields security_result.detection_fields
msg.malwareScore additional.fields security_result.detection_fields
msg.phishScore additional.fields security_result.detection_fields
msg.quarantineFolder additional.fields 如果 quarantineFolder 等於 low priority 或 high priority，則對應至 security_result.priority。否則，請對應至 security_result.detection_fields。
msg.quarantineRule additional.fields security_result.rule_name
msg.spamScore additional.fields security_result.detection_fields
msgPart.contentType additional.fields Not Mapped
partData.contentType principal.process.file.mime_type about.file.mime_type
partData.disposition security_result.detection_fields additional.fields
partData.filename principal.process.file.full_path about.file.full_path
partData.md5 principal.process.file.md5 about.file.md5
partData.sha256 about.file.sha1 about.file.sha256
phishScore additional.fields security_result.detection_fields
quarantineFolder additional.fields 如果 quarantineFolder 等於 low priority 或 high priority，則對應至 UDM 欄位 security_result.priority。否則，請對應至 security_result.detection_fields。
spamScore additional.fields security_result.detection_fields

事件類型對應差異

先前歸類為一般事件的多個事件，現在會以更有意義的事件類型正確分類。

下表列出 2025 年 9 月 9 日前後，處理 Proofpoint TAP 快訊事件類型時的差異 (分別列於「舊 event_type」和「目前 event_type」欄中)。

格式 記錄中的 eventType 舊 event_type 目前 event_type
SYSLOG+KV 如果記錄包含 fromAddress、toAddresses、hfrom、from、value、to、rcpt、rcpts 或 mailer，則會顯示 proto、mod 欄位 EMAIL_TRANSACTION
如果記錄只包含 mail_id 詳細資料 EMAIL_TRANSACTION EMAIL_UNCATEGORIZED
CEF 記錄 eventname= messagesDelivered, messagesBlocked EMAIL_TRANSACTION
記錄包含 emails、sender、headerReplyTo、orig_recipient USER_UNCATEGORIED
如果記錄檔有 src、host STATUS_UPDATE
SYSLOG+JSON eventname= messagesDelivered、messagesBlocked、clicksPermitted、clicksBlocked EMAIL_TRANSACTION
JSON record.address USER_UNCATEGORIZED
lookalikeDomain.name STATUS_UPDATE

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。