Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Proofpoint On-Demand 日志

支持范围：

Google SecOps SIEM

本文档介绍了如何使用内置 API 集成将 Proofpoint On-Demand 日志注入 Google Security Operations。解析器会从 JSON 日志中提取字段，并将其转换为 Chronicle UDM 格式。它会处理两种主要日志格式：一种包含电子邮件元数据，另一种包含 SMTP 交易详情。它使用条件逻辑来适当解析字段，并根据可用数据填充统一数据模型 (UDM) 字段。解析器还会执行数据清理，例如移除无关字符和转换时间戳。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Proofpoint On-Demand Remote Syslog 许可
Proofpoint 的特权访问权限

配置 Proofpoint On-Demand API 访问权限

登录 Proofpoint 管理员门户。
复制您的集群 ID（显示在管理界面的右上角，版本号旁边）。
依次前往设置 > API 密钥管理。
点击新建，打开新建 API 密钥对话框。
输入唯一的名称（例如 Google SecOps Key）。
生成 API 密钥。
从新 API 密钥的省略号菜单中选择查看详情。
复制 API 密钥。

设置 Feed

如需配置 Feed，请按以下步骤操作：

前往 SIEM 设置 > Feed。
点击添加新 Feed。
点击 Proofpoint Feed 包。
选择 Proofpoint On-Demand 日志类型。
点击下一步。
为以下输入参数指定值：
- 来源类型：第三方 API
- Authentication HTTP headers（身份验证 HTTP 标头）：以 Authorization: Bearer {API_KEY} 格式输入 Proofpoint API 密钥，并添加一个包含以下 WebSocket-Key 数据的新行：Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ==。
- 集群 ID：输入您之前复制的 Proofpoint 集群 ID。
高级选项

Feed 名称：用于标识 Feed 的预填充值。
资产命名空间：与 Feed 关联的命名空间。
注入标签：应用于此 Feed 中所有事件的标签。

点击创建 Feed。

UDM 映射表

下表列出了 Proofpoint On-Demand 日志字段与 UDM 字段的映射。

事件类型映射

下表列出了 Proofpoint On-Demand 事件类型映射。如需了解详情，请参阅 Metadata.EventType 和元数据。

事件类型	映射	备注
`EMAIL_TRANSACTION`	`metadata.event_type`	如果 `(([has_sender_email] == "true" or [has_recipient_email] == "true") and (([has_principal] == "true" or [has_principal_user] == "true")))`。
`GENERIC_EVENT`	`metadata.event_type`	`event_type` 的默认后备。
`NETWORK_CONNECTION`	`metadata.event_type`	如果 `[has_principal] == "true" and [has_target] == "true"`。
`STATUS_UPDATE`	`metadata.event_type`	如果 `[has_principal] == "true"`。

常规日志字段

日志字段	UDM 映射	备注
`aliasedRcptsvalue.alias`	`additional.fields`
`aliasedRcptsvalue.primary`	`additional.fields`
`alignment.fromDomain`	`additional.fields`
`alignmentresult.identity`	`security_result.detection_fields`
`alignmentresult.identityOrg`	`security_result.detection_fields`
`alignmentresult.result`	`security_result.detection_fields`
`ALLOW`	`security_result.action`	如果为 `[tls][verify] == "OK"` 或 `[filter][disposition] in ["continue", "accept", "CLEAR", "OK", "redirect"]`。
`app_protocol_output`	`network.application_protocol`	提取自 `data` 字段。
`audit.action`	`security_result.about.resource.attribute.labels`
`audit.level`	`security_result.severity_details`	从 `data` 字段中的键值对中提取。
`audit.resourceType`	`target.resource.name`	从 `data` 字段中的键值对中提取。
`audit.tags.value`	`security_result.detection_fields`
`audit.user.email`	`principal.user.email_addresses`	如果 `[audit][user][email] =~ "^.+@.+$"`。
`audit.user.id`	`principal.user.userid`	从 `data` 字段中的键值对中提取。
`audit.user.ipAddress`	`principal.asset.ip`, `principal.ip`
`autheresults.method`	`security_result.detection_fields`
`autheresults.result`	`additional.fields`
`BLOCK`	`security_result.action`	如果为 `[tls][verify] == "FAIL"` 或 `[filter][disposition] in ["discard", "reject"]`。
`campaignID`	`security_result.detection_fields`
`cc`	`network.email.cc`	如果 `[cc] =~ "^.+@.+$"`。
`CHALLENGE`	`security_result.action`	如果 `[filter][disposition] in ["hold", "retry"]`。
`charsets`	`security_result.detection_fields`
`classification`	`security_result.detection_fields`
`cluster`	`security_result.detection_fields`
`cmd`	`principal.process.command_line`	提取自 `data` 字段。
`completelyRewritten`	`security_result.detection_fields`
`connection.country`	`principal.location.country_or_region`	从 `data` 字段中的键值对中提取。
`connection.helo`	`network.smtp.helo`	从 `data` 字段中的键值对中提取。
`connection.host`	`principal.asset.hostname`, `principal.hostname`	从 `data` 字段中的键值对中提取。
`connection.ip`	`principal.asset.ip`, `principal.ip`
`connection.resolveStatus`	`additional.fields`
`connection.sid`	`security_result.detection_fields`
`connection.tls.inbound.cipher`	`network.tls.cipher`	从 `data` 字段中的键值对中提取。如果 `[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`。
`connection.tls.inbound.cipherBits`	`additional.fields`
`connection.tls.inbound.version`	`network.tls.version`	从 `data` 字段中的键值对中提取。如果 `[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`。
`data`	`network.email.to`, `target.user.email_addresses`	如果 `[email] =~ "^.+@.+$"`。
`detectedExt`	`additional.fields`
`detectedName`	`additional.fields`
`disposition`	`additional.fields`
`duration`	`security_result.detection_fields`
`emailaddr`	`target.user.email_addresses`
`emailaddrnorm`	`target.user.email_addresses`
`emailaddrparsed`	`target.user.email_addresses`
`envelope.from`	`network.email.from`
`ERROR`	`security_result.severity`	如果 `[audit][level] =~ "(?i)(error)"`。
`eventTime`	`metadata.event_timestamp`
`event_type`	`security_result.summary`
`extracted_bytes`	`network.sent_bytes`	提取自 `data` 字段。
`extracted_internal_id`	`additional.fields`
`extracted_msgid`	`additional.fields`
`extracted_queue_status`	`additional.fields`
`extracted_target_host`	`target.asset.hostname`, `target.hostname`	提取自 `data` 字段。
`extracted_throughput`	`additional.fields`
`extracted_transfer_time`	`additional.fields`
`FAIL`	`security_result.action`	如果 `[filter][disposition] in ["FAIL", "TEMP"]`。
`field_`	`additional.fields`	如果 `NOT = "agent"`。
`FILTER`	`metadata.product_event_type`	如果 `[is_filter] == "true"`。
`filter.actions.action`	`additional.fields`
`filter.actions.isFinal`	`security_result.detection_fields`
`filter.actions.module`	`additional.fields`, `security_result.detection_fields`
`filter.actions.rule`	`additional.fields`, `security_result.detection_fields`
`filter.disposition`	`security_result.action_details`	从 `data` 字段中的键值对中提取。如果 `[filter_disposition] not in ["", "null", "None", "none", "NONE"]`。
`filter.durationSecs`	`additional.fields`
`filter.isMsgEncrypted`	`additional.fields`
`filter.isMsgInDigest`	`additional.fields`
`filter.isMsgOnHold`	`additional.fields`
`filter.isMsgReinjected`	`additional.fields`
`filter.isMsgSplit`	`additional.fields`
`filter.langs`	`additional.fields`
`filter.modules.av.virusNames.0`	`security_result.threat_name`	从 `data` 字段中的键值对中提取。
`filter.modules.banner.insertedBanner`	`security_result.detection_fields`
`filter.modules.dkimv.domain`	`security_result.detection_fields`
`filter.modules.dkimv.result`	`security_result.detection_fields`
`filter.modules.dkimv.selector`	`security_result.detection_fields`
`filter.modules.dmarc.filterdResult`	`security_result.detection_fields`
`filter.modules.dmarc.isVerified`	`additional.fields`
`filter.modules.dmarc.srvid`	`additional.fields`
`filter.modules.pdr.v2.response`	`security_result.detection_fields`
`filter.modules.pdr.v2.rscore`	`additional.fields`
`filter.modules.spam.authority.analysis`	`additional.fields`
`filter.modules.spam.authority.cartVersion`	`additional.fields`
`filter.modules.spam.authority.isComplete`	`additional.fields`
`filter.modules.spam.authority.isTruncated`	`additional.fields`
`filter.modules.spam.authority.score`	`additional.fields`
`filter.modules.spam.classifiers.profile`	`additional.fields`
`filter.modules.spam.classifiers.status.clx`	`additional.fields`
`filter.modules.spam.classifiers.status.nostradamus`	`additional.fields`
`filter.modules.spam.classifiers.status.supernova`	`additional.fields`
`filter.modules.spam.classifiers.status.uribl`	`additional.fields`
`filter.modules.spam.scores.classifiers.adult`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.bulk`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.cot`	`additional.fields`
`filter.modules.spam.scores.classifiers.impostor`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.lowpriority`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.malware`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlx`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlxlog`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.phish`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.spam`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.suspect`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.unknownsender`	`additional.fields`
`filter.modules.spam.scores.classifiers.unsafe`	`additional.fields`
`filter.modules.spam.scores.engine`	`security_result.detection_fields`
`filter.modules.spam.scores.overall`	`security_result.detection_fields`
`filter.modules.spam.triggeredClassifier`	`security_result.category_details`
`filter.modules.spam.version.definitions`	`security_result.summary`	从 `data` 字段中的键值对中提取。
`filter.modules.spam.version.engine`	`metadata.product_version`	从 `data` 字段中的键值对中提取。
`filter.modules.spf.domain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsEmail`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsExcludedDomain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsSchemeless`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsUnsupportedScheme`	`additional.fields`
`filter.modules.urldefense.counts.rewritten`	`additional.fields`
`filter.modules.urldefense.counts.total`	`security_result.detection_fields`
`filter.modules.urldefense.counts.unique`	`additional.fields`
`filter.modules.urldefense.counts.unrewritten`	`additional.fields`
`filter.modules.urldefense.version.engine`	`additional.fields`
`filter.modules.zerohour.score`	`additional.fields`
`filter.msgSizeBytes`	`network.received_bytes`	从 `data` 字段中的键值对中提取。
`filter.origGuid`	`additional.fields`
`filter.qid`	`additional.fields`
`filter.quarantine.expirationTs`	`security_result.detection_fields`
`filter.quarantine.folder`	`security_result.detection_fields`
`filter.quarantine.folderId`	`security_result.detection_fields`
`filter.quarantine.module`	`security_result.detection_fields`
`filter.quarantine.rule`	`security_result.detection_fields`
`filter.quarantine.type`	`security_result.detection_fields`
`filter.reinjectedType`	`additional.fields`
`filter.routes`	`additional.fields`
`filter.splitType`	`additional.fields`
`filter.startTime`	`metadata.event_timestamp`
`filter.suborgs.sender`	`additional.fields`
`from_hashed`	`additional.fields`
`fromadd`	`network.email.from`	从 `data` 字段中的键值对中提取。如果 `[fromadd] =~ "^.+@.+$"`。
`GUID`	`metadata.product_log_id`	提取自 `data` 字段。
`guid`	`metadata.product_log_id`	提取自 `data` 字段。
`headerfromHashedvalue`	`additional.fields`
`headertoHashedvalue`	`additional.fields`
`hostname`	`principal.asset.hostname`, `principal.hostname`	提取自 `message` 字段。
`id`	`additional.fields`
`impostorScore`	`security_result.detection_fields`
`INBOUND`	`network.direction`	如果为 `[rule] == "outbound"`、`[filter][routeDirection] == "inbound"` 或 `[quarantineRule] =~ "outbound"`。
`INFORMATIONAL`	`security_result.severity`	如果 `[audit][level] =~ "(?i)(notice)"`。
`intermediary.ip`	`intermediary.asset.ip`, `intermediary.ip`
`intermediary.ip1`	`intermediary.asset.ip`, `intermediary.ip`
`intermediary_hostname`	`intermediary.asset.hostname`, `intermediary.hostname`	提取自 `data` 字段。
`isArchive`	`additional.fields`
`isCorrupted`	`additional.fields`
`isDeleted`	`additional.fields`
`isProtected`	`additional.fields`
`isTimedOut`	`additional.fields`
`isVirtual`	`additional.fields`
`item.cluster`	`security_result.detection_fields`
`item.GUID`	`security_result.detection_fields`
`item.headerFrom`	`security_result.detection_fields`
`item.id`	`security_result.detection_fields`
`item.impostorScore`	`security_result.detection_fields`
`item.malwareScore`	`security_result.detection_fields`
`item.messageID`	`security_result.detection_fields`
`item.messageSize`	`security_result.detection_fields`
`item.modulesRun`	`additional.fields`
`item.phishScore`	`security_result.detection_fields`
`item.policyRoutes`	`additional.fields`
`item.QID`	`security_result.detection_fields`
`item.quarantineFolder`	`security_result.detection_fields`
`item.quarantineRule`	`security_result.detection_fields`
`item.sender`	`principal.user.email_addresses`	如果 `[item_sender] =~ "^.+@.+$"`。
`item.senderIP`	`principal.asset.ip`, `principal.ip`
`item.spamScore`	`security_result.detection_fields`
`item.subject`	`network.email.subject`
`item.threats.classification`	`security_result.detection_fields`
`item.threats.threat`	`security_result.detection_fields`
`item.threats.threatID`	`security_result.detection_fields`
`item.threats.threatStatus`	`security_result.detection_fields`
`item.threats.threatTime`	`security_result.detection_fields`
`item.threats.threatType`	`security_result.detection_fields`
`item.threats.threatUrl`	`security_result.detection_fields`
`key.data`	`security_result.detection_fields`
`labeledCharset`	`additional.fields`
`labeledExt`	`additional.fields`
`labeledMime`	`about.file.mime_type`
`labeledName`	`about.file.full_path`
`malwareScore`	`security_result.detection_fields`
`matches.offset`	`additional.fields`
`matches.part`	`additional.fields`
`MEDIUM`	`security_result.severity`	如果 `[audit][level] =~ "(?i)(warn)"`。
`messageID`	`network.email.mail_id`	提取自 `data` 字段。
`messageSize`	`security_result.detection_fields`
`messageTime`	`metadata.event_timestamp`
`metadata.customerId`	`principal.resource.attribute.labels`
`metadata.origin.data.agent`	`network.http.parsed_user_agent`, `network.http.user_agent`	从 `data` 字段中的键值对中提取。
`metadata.origin.data.cid`	`additional.fields`
`metadata.origin.data.mode`	`additional.fields`
`metadata.origin.data.theater`	`additional.fields`, `principal.location.country_or_region`	`principal.location.country_or_region` 是从 `data` 字段中的键值对中提取的。
`metadata.origin.data.version`	`metadata.product_version`	从 `data` 字段中的键值对中提取。
`metadata.origin.schemaVersion`	`additional.fields`
`mod`	`security_result.detection_fields`
`modulesRun`	`additional.fields`
`msg.header.cc`	`additional.fields`
`msg.header.from`	`additional.fields`, `principal.user.email_addresses`	`principal.user.email_addresses` 使用循环映射到此字段，JSON 数组元素在此处合并，或非 JSON 字符串在此处映射。
`msg.header.message-id.0`	`additional.fields`, `network.email.mail_id`
`msg.header.reply-to.0`	`additional.fields`, `network.email.reply_to`
`msg.header.to`	`additional.fields`, `target.user.email_addresses`	`target.user.email_addresses` 在此处使用循环映射为非 JSON 字符串。
`msg.header.x-mailer`	`additional.fields`
`msg.lang`	`additional.fields`
`msg.normalizedHeader.from`	`principal.user.email_addresses`	使用循环映射到此字段。JSON 数组元素会合并到此处；非 JSON 字符串会映射到此处。
`msg.normalizedHeader.subject`	`network.email.subject`	如果 `msg.normalizedHeader.subject` 不等于 `subject` 原始日志字段值。
`msg.normalizedHeader.to`	`target.user.email_addresses`	使用循环映射到此字段。非 JSON 字符串会映射到此处。
`msg.normalizedHeader.x-mailer`	`additional.fields`
`msg.parsedAddresses.from.0`	`additional.fields`, `network.email.from`
`msg.parsedAddresses.to`	`target.user.email_addresses`	使用循环映射到此字段。非 JSON 字符串会映射到此处。
`msg.sizeBytes`	`additional.fields`
`msgBlocked.filename`	`about.file.full_path`
`msgBlocked.labeledMime`	`about.file.mime_type`
`msgBlocked.msgPart.detectedSizeBytes`	`about.file.size`
`msgBlocked.msgPart.md5`	`about.file.md5`
`msgheadersubject`	`additional.fields`
`msgheaderxmailervalue`	`additional.fields`
`msgPart.dataBase64`	`additional.fields`
`msgPart.detectedCharset`	`additional.fields`
`msgPart.detectedMime`	`additional.fields`
`msgPart.detectedSizeBytes`	`about.file.size`
`msgPart.filename`	`about.file.full_path`
`msgPart.md5`	`about.file.md5`
`msgPart.metadata.appversion`	`additional.fields`
`msgPart.metadata.codepage`	`additional.fields`
`msgPart.metadata.color-scheme`	`additional.fields`
`msgPart.metadata.content-language`	`additional.fields`
`msgPart.metadata.format-detection`	`additional.fields`
`msgPart.metadata.history[1]/stevt:action`	`additional.fields`
`msgPart.metadata.history[1]/stevt:softwareagent`	`additional.fields`
`msgPart.metadata.history[1]/stevt:when`	`additional.fields`
`msgPart.oContentType`	`additional.fields`
`msgPart.sha256`	`about.file.sha256`
`msgs.metadata._PROOFPOINT_CONTENT_LENGTH_`	`additional.fields`
`msgs.metadata.application`	`additional.fields`
`msgs.metadata.appname`	`additional.fields`
`msgs.metadata.author`	`security_result.detection_fields`
`msgs.metadata.company`	`security_result.detection_fields`
`msgs.metadata.createdate`	`additional.fields`
`msgs.metadata.documentid`	`additional.fields`
`msgs.metadata.instanceid`	`additional.fields`
`msgs.metadata.modifydate`	`additional.fields`
`msgs.metadata.pagecount`	`additional.fields`
`msgs.metadata.subject`	`additional.fields`
`msgs.metadata.title`	`additional.fields`
`msgs.textExtracted`	`additional.fields`
`msgUrls.url`	`additional.fields`, `security_result.detection_fields`
`normalizedHeader.x_originating_ip`	`principal.asset.ip`, `principal.ip`
`normalizedHeaderfromHashed`	`additional.fields`
`normalizedHeaderHashedvalue`	`additional.fields`
`normalizedHeaderMessageidvalue`	`additional.fields`
`normalizedheaderreplytohashed`	`additional.fields`
`normalizedheaderreturnpath`	`additional.fields`
`oContentType`	`additional.fields`
`OUTBOUND`	`network.direction`	如果为 `[rule] == "outbound"`、`[filter][routeDirection] == "outbound"` 或 `[quarantineRule] =~ "outbound"`。
`parsed.useragent`	`network.http.parsed_user_agent`
`parsed_stat_value`	`security_result.detection_fields`
`parsedAddress`	`network.email.cc`	如果 `[parsedAddress] =~ "^.+@.+$"`。
`parsedAddressesfromHashedvalue`	`additional.fields`
`parsedaddressesreplytohashed`	`additional.fields`
`parsedAddrestoHashedvalue`	`additional.fields`
`phishScore`	`security_result.detection_fields`
`pid`	`principal.process.pid`	提取自 `message` 字段。
`PoD`	`metadata.product_name`	静态分配。
`policy_route.*`	`additional.fields`	`[list_values]` / 使用了映射函数。
`policyRoutes`	`additional.fields`
`pps.agent`	`observer.hostname`
`prod_event_name`	`metadata.product_event_type`	提取自 `message` 字段。
`Proofpoint`	`metadata.vendor_name`	静态分配。
`QID`	`security_result.detection_fields`
`QUARANTINE`	`security_result.action`	如果 `[filter][disposition] == "quarantine"`。
`quarantineFolder`	`security_result.detection_fields`
`quarantineRule`	`security_result.detection_fields`
`queryEndTime`	`metadata.collected_timestamp`
`rcd.error`	`additional.fields`
`rcd.record`	`additional.fields`
`rcpt`	`additional.fields`, `security_result.detection_fields`
`rcpt_hashed`	`additional.fields`
`reply`	`network.email.reply_to`	从 `data` 字段中的键值对中提取。如果 `[reply] =~ "^.+@.+$"`。
`replytohashed`	`additional.fields`
`res.emailIdentities.header.from`	`additional.fields`
`res.emailIdentities.smtp.mailfrom`	`additional.fields`
`res.emailIdentities.smtp.mailfromHashed`	`additional.fields`
`res.method`	`additional.fields`
`res.propspec.header.d`	`additional.fields`
`res.propspec.header.s`	`additional.fields`
`rules.name`	`additional.fields`
`rules.severity`	`additional.fields`
`s`	`network.session_id`	提取自 `data` 字段。
`safeBlockedListMatches_listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.rule`	`security_result.detection_fields`
`sandbox.status`	`additional.fields`
`sec_result_action`	`security_result.action`
`sec_result_category`	`security_result.category`
`sender`	`principal.user.email_addresses`	如果 `[sender] =~ "^.+@.+$"`。
`senderIP`	`principal.asset.ip`, `principal.ip`
`SENDMAIL`	`metadata.product_event_type`	如果 `[message] =~ "sendmail"`。
`sendmail_hostname`	`principal.asset.hostname`, `principal.hostname`	提取自 `data` 字段。
`sendmail_process_name`	`principal.process.file.full_path`	提取自 `data` 字段。
`sendmail_qid`	`additional.fields`
`sendmail_ts`	`metadata.collected_timestamp`	提取自 `data` 字段。
`sig.engine`	`security_result.detection_fields`
`sig.isPresent`	`security_result.detection_fields`
`sig.signature`	`security_result.detection_fields`
`sizeDecodedBytes`	`additional.fields`
`sm.daemon`	`additional.fields`
`sm.delay`	`additional.fields`
`sm.dsn`	`additional.fields`
`sm.from`	`network.email.from`	从 `data` 字段中的键值对中提取。如果 `[email_src] =~ "^.+@.+$"`。
`sm.guid`	`metadata.product_log_id`	从 `data` 字段中的键值对中提取。如果 `[message] =~ "sendmail"`。
`sm.mailer`	`additional.fields`
`sm.messageTs`	`additional.fields`
`sm.msgid`	`network.email.mail_id`	从 `data` 字段中的键值对中提取。
`sm.nrcpts`	`additional.fields`
`sm.pri`	`additional.fields`
`sm.qid`	`security_result.detection_fields`
`sm.stat`	`security_result.description`	从 `data` 字段中的键值对中提取。
`sm.xdelay`	`additional.fields`
`smtoemail`	`network.email.to`	如果 `[sm_to_email] =~ "^.+@.+$"`。
`spamScore`	`security_result.detection_fields`
`SpamType`	`security_result.detection_fields`
`subject`	`network.email.subject`
`suborgs`	`additional.fields`
`threat`	`security_result.detection_fields`
`threatType`	`security_result.detection_fields`
`tls.verify`	`security_result.action_details`	从 `data` 字段中的键值对中提取。如果 `[tls_verify] not in ["", "null", "None", "none", "NONE"]`。
`to`	`network.email.to`	如果 `[to] =~ "^.+@.+$"`。
`ts`	`metadata.event_timestamp`
`uinteger`	`network.received_bytes`, `network.sent_bytes`
`UNKNOWN_ACTION`	`security_result.action`	如果 `[filter][disposition] in ["hold", "retry"]`。
`UNKNOWN_SEVERITY`	`security_result.severity`
`urlsource`	`security_result.detection_fields`
`value`	`additional.fields`
`x_originating_ip`	`principal.asset.ip`, `principal.ip`

UDM 映射增量参考

2026 年 10 月 13 日，Google SecOps 发布了新版 Proofpoint On-Demand 解析器，其中包含对 Proofpoint On-Demand 日志字段到 UDM 字段的映射的重大更改，以及对事件类型分类（映射）的更新。

日志字段映射增量

下表显示了 Proofpoint On-Demand 日志字段与 UDM 字段的映射方式的变化。 旧映射列列出了 2026 年 10 月 13 日之前公开的字段，当前映射列列出了新字段。

日志字段	旧映射	当前映射
`connection.sid`	`additional.fields`	`security_result.detection_fields`
`filter.modules.pdr.v2.response`	`additional.fields`	`security_result.detection_fields`
`filter.modules.urldefense.counts.total`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.expirationTs`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folder`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folderId`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.module`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.rule`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.type`	`additional.fields`	`security_result.detection_fields`
`messageTime`	`additional.fields`	`metadata.event_timestamp`
`messagesBlocked.spamScore`	`additional.fields`	`security_result.detection_fields`
`metadata.customerId`	`additional.fields`	`principal.resource.attribute.labelsmod`
`msgParts.detectedSizeBytes`	`additional.fields`	`about.file.size`
`msg_header_from_json_array.value`	`additional.fields`	`principal.user.email_addresses`
`principal.resource.attribute.labelsmod`	`additional.fields`	`security_result.detection_fields`

更新日志

查看此解析器的更新日志