Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Proofpoint 隨選記錄

支援的服務：

Google SecOps SIEM

本文說明如何使用內建 API 整合功能，將 Proofpoint 隨選記錄擷取至 Google Security Operations。剖析器會從 JSON 記錄中擷取欄位，並轉換為 Chronicle UDM 格式。這個剖析器會處理兩種主要記錄格式：一種包含電子郵件中繼資料，另一種包含 SMTP 交易明細。剖析器會使用條件邏輯，適當剖析欄位，並根據可用資料填入統合資料模型 (UDM) 欄位。剖析器也會執行資料清理，例如移除多餘字元和轉換時間戳記。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Proofpoint On-Demand Remote Syslog 隨選授權
Proofpoint 特殊存取權

設定 Proofpoint On-Demand API 存取權

登入 Proofpoint 管理員入口網站。
複製叢集 ID (顯示在管理介面的右上角，版本號碼旁邊)。
依序前往「Settings」>「API Key Management」。
按一下「Create New」(新建)，開啟「Create New API Key」(新建 API 金鑰) 對話方塊。
輸入不重複的名稱 (例如 Google SecOps Key)。
產生 API 金鑰。
在新的 API 金鑰上，選取「三點圖示」選單中的「查看詳細資料」。
複製 API 金鑰。

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

依序前往「SIEM 設定」>「動態饋給」。
按一下「Add New Feed」。
按一下「Proofpoint」動態饋給套件。
選取「Proofpoint 隨選」記錄類型。
點選「下一步」。
指定下列輸入參數的值：
- 來源類型：第三方 API
- 驗證 HTTP 標頭：以 Authorization: Bearer {API_KEY} 格式輸入 Proofpoint API 金鑰，並新增一行，加入下列 WebSocket-Key 資料：Sec-WebSocket-Key: SGVsbG8sIHdvcmxkIQ==。
- 叢集 ID：輸入先前複製的 Proofpoint 叢集 ID。
進階選項

動態饋給名稱：系統預先填入的值，用於識別動態饋給。
資產命名空間：與動態饋給相關聯的命名空間。
擷取標籤：套用至這個動態饋給所有事件的標籤。

按一下「建立動態饋給」。

UDM 對應表

下表列出 Proofpoint 隨選記錄欄位與 UDM 欄位的對應關係。

事件類型對應

下表列出 Proofpoint 隨選事件類型對應。詳情請參閱 Metadata.EventType 和中繼資料。

事件類型	對應	附註
`EMAIL_TRANSACTION`	`metadata.event_type`	如果`(([has_sender_email] == "true" or [has_recipient_email] == "true") and (([has_principal] == "true" or [has_principal_user] == "true")))`。
`GENERIC_EVENT`	`metadata.event_type`	`event_type` 的預設備用廣告。
`NETWORK_CONNECTION`	`metadata.event_type`	如果`[has_principal] == "true" and [has_target] == "true"`。
`STATUS_UPDATE`	`metadata.event_type`	如果`[has_principal] == "true"`。

一般記錄欄位

記錄欄位	UDM 對應	附註
`aliasedRcptsvalue.alias`	`additional.fields`
`aliasedRcptsvalue.primary`	`additional.fields`
`alignment.fromDomain`	`additional.fields`
`alignmentresult.identity`	`security_result.detection_fields`
`alignmentresult.identityOrg`	`security_result.detection_fields`
`alignmentresult.result`	`security_result.detection_fields`
`ALLOW`	`security_result.action`	如果 `[tls][verify] == "OK"` 或 `[filter][disposition] in ["continue", "accept", "CLEAR", "OK", "redirect"]`。
`app_protocol_output`	`network.application_protocol`	從 `data` 欄位擷取。
`audit.action`	`security_result.about.resource.attribute.labels`
`audit.level`	`security_result.severity_details`	從 `data` 欄位的鍵/值組合中擷取。
`audit.resourceType`	`target.resource.name`	從 `data` 欄位的鍵/值組合中擷取。
`audit.tags.value`	`security_result.detection_fields`
`audit.user.email`	`principal.user.email_addresses`	如果`[audit][user][email] =~ "^.+@.+$"`。
`audit.user.id`	`principal.user.userid`	從 `data` 欄位的鍵/值組合中擷取。
`audit.user.ipAddress`	`principal.asset.ip`、 `principal.ip`
`autheresults.method`	`security_result.detection_fields`
`autheresults.result`	`additional.fields`
`BLOCK`	`security_result.action`	如果 `[tls][verify] == "FAIL"` 或 `[filter][disposition] in ["discard", "reject"]`。
`campaignID`	`security_result.detection_fields`
`cc`	`network.email.cc`	如果`[cc] =~ "^.+@.+$"`。
`CHALLENGE`	`security_result.action`	如果`[filter][disposition] in ["hold", "retry"]`。
`charsets`	`security_result.detection_fields`
`classification`	`security_result.detection_fields`
`cluster`	`security_result.detection_fields`
`cmd`	`principal.process.command_line`	從 `data` 欄位擷取。
`completelyRewritten`	`security_result.detection_fields`
`connection.country`	`principal.location.country_or_region`	從 `data` 欄位的鍵/值組合中擷取。
`connection.helo`	`network.smtp.helo`	從 `data` 欄位的鍵/值組合中擷取。
`connection.host`	`principal.asset.hostname`、 `principal.hostname`	從 `data` 欄位的鍵/值組合中擷取。
`connection.ip`	`principal.asset.ip`、 `principal.ip`
`connection.resolveStatus`	`additional.fields`
`connection.sid`	`security_result.detection_fields`
`connection.tls.inbound.cipher`	`network.tls.cipher`	從 `data` 欄位的鍵/值組合中擷取。如果`[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`。
`connection.tls.inbound.cipherBits`	`additional.fields`
`connection.tls.inbound.version`	`network.tls.version`	從 `data` 欄位的鍵/值組合中擷取。如果`[tls_cipher] not in ["", "null", "None", "none", "NONE"] AND [tls_version] not in ["", "null", "None", "none", "NONE"]`。
`data`	`network.email.to`、 `target.user.email_addresses`	如果`[email] =~ "^.+@.+$"`。
`detectedExt`	`additional.fields`
`detectedName`	`additional.fields`
`disposition`	`additional.fields`
`duration`	`security_result.detection_fields`
`emailaddr`	`target.user.email_addresses`
`emailaddrnorm`	`target.user.email_addresses`
`emailaddrparsed`	`target.user.email_addresses`
`envelope.from`	`network.email.from`
`ERROR`	`security_result.severity`	如果`[audit][level] =~ "(?i)(error)"`。
`eventTime`	`metadata.event_timestamp`
`event_type`	`security_result.summary`
`extracted_bytes`	`network.sent_bytes`	從 `data` 欄位擷取。
`extracted_internal_id`	`additional.fields`
`extracted_msgid`	`additional.fields`
`extracted_queue_status`	`additional.fields`
`extracted_target_host`	`target.asset.hostname`、 `target.hostname`	從 `data` 欄位擷取。
`extracted_throughput`	`additional.fields`
`extracted_transfer_time`	`additional.fields`
`FAIL`	`security_result.action`	如果`[filter][disposition] in ["FAIL", "TEMP"]`。
`field_`	`additional.fields`	如果`NOT = "agent"`。
`FILTER`	`metadata.product_event_type`	如果`[is_filter] == "true"`。
`filter.actions.action`	`additional.fields`
`filter.actions.isFinal`	`security_result.detection_fields`
`filter.actions.module`	`additional.fields`、 `security_result.detection_fields`
`filter.actions.rule`	`additional.fields`、 `security_result.detection_fields`
`filter.disposition`	`security_result.action_details`	從 `data` 欄位的鍵/值組合中擷取。如果`[filter_disposition] not in ["", "null", "None", "none", "NONE"]`。
`filter.durationSecs`	`additional.fields`
`filter.isMsgEncrypted`	`additional.fields`
`filter.isMsgInDigest`	`additional.fields`
`filter.isMsgOnHold`	`additional.fields`
`filter.isMsgReinjected`	`additional.fields`
`filter.isMsgSplit`	`additional.fields`
`filter.langs`	`additional.fields`
`filter.modules.av.virusNames.0`	`security_result.threat_name`	從 `data` 欄位的鍵/值組合中擷取。
`filter.modules.banner.insertedBanner`	`security_result.detection_fields`
`filter.modules.dkimv.domain`	`security_result.detection_fields`
`filter.modules.dkimv.result`	`security_result.detection_fields`
`filter.modules.dkimv.selector`	`security_result.detection_fields`
`filter.modules.dmarc.filterdResult`	`security_result.detection_fields`
`filter.modules.dmarc.isVerified`	`additional.fields`
`filter.modules.dmarc.srvid`	`additional.fields`
`filter.modules.pdr.v2.response`	`security_result.detection_fields`
`filter.modules.pdr.v2.rscore`	`additional.fields`
`filter.modules.spam.authority.analysis`	`additional.fields`
`filter.modules.spam.authority.cartVersion`	`additional.fields`
`filter.modules.spam.authority.isComplete`	`additional.fields`
`filter.modules.spam.authority.isTruncated`	`additional.fields`
`filter.modules.spam.authority.score`	`additional.fields`
`filter.modules.spam.classifiers.profile`	`additional.fields`
`filter.modules.spam.classifiers.status.clx`	`additional.fields`
`filter.modules.spam.classifiers.status.nostradamus`	`additional.fields`
`filter.modules.spam.classifiers.status.supernova`	`additional.fields`
`filter.modules.spam.classifiers.status.uribl`	`additional.fields`
`filter.modules.spam.scores.classifiers.adult`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.bulk`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.cot`	`additional.fields`
`filter.modules.spam.scores.classifiers.impostor`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.lowpriority`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.malware`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlx`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.mlxlog`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.phish`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.spam`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.suspect`	`security_result.detection_fields`
`filter.modules.spam.scores.classifiers.unknownsender`	`additional.fields`
`filter.modules.spam.scores.classifiers.unsafe`	`additional.fields`
`filter.modules.spam.scores.engine`	`security_result.detection_fields`
`filter.modules.spam.scores.overall`	`security_result.detection_fields`
`filter.modules.spam.triggeredClassifier`	`security_result.category_details`
`filter.modules.spam.version.definitions`	`security_result.summary`	從 `data` 欄位的鍵/值組合中擷取。
`filter.modules.spam.version.engine`	`metadata.product_version`	從 `data` 欄位的鍵/值組合中擷取。
`filter.modules.spf.domain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsEmail`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsExcludedDomain`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsSchemeless`	`additional.fields`
`filter.modules.urldefense.counts.noRewriteIsUnsupportedScheme`	`additional.fields`
`filter.modules.urldefense.counts.rewritten`	`additional.fields`
`filter.modules.urldefense.counts.total`	`security_result.detection_fields`
`filter.modules.urldefense.counts.unique`	`additional.fields`
`filter.modules.urldefense.counts.unrewritten`	`additional.fields`
`filter.modules.urldefense.version.engine`	`additional.fields`
`filter.modules.zerohour.score`	`additional.fields`
`filter.msgSizeBytes`	`network.received_bytes`	從 `data` 欄位的鍵/值組合中擷取。
`filter.origGuid`	`additional.fields`
`filter.qid`	`additional.fields`
`filter.quarantine.expirationTs`	`security_result.detection_fields`
`filter.quarantine.folder`	`security_result.detection_fields`
`filter.quarantine.folderId`	`security_result.detection_fields`
`filter.quarantine.module`	`security_result.detection_fields`
`filter.quarantine.rule`	`security_result.detection_fields`
`filter.quarantine.type`	`security_result.detection_fields`
`filter.reinjectedType`	`additional.fields`
`filter.routes`	`additional.fields`
`filter.splitType`	`additional.fields`
`filter.startTime`	`metadata.event_timestamp`
`filter.suborgs.sender`	`additional.fields`
`from_hashed`	`additional.fields`
`fromadd`	`network.email.from`	從 `data` 欄位的鍵/值組合中擷取。如果`[fromadd] =~ "^.+@.+$"`。
`GUID`	`metadata.product_log_id`	從 `data` 欄位擷取。
`guid`	`metadata.product_log_id`	從 `data` 欄位擷取。
`headerfromHashedvalue`	`additional.fields`
`headertoHashedvalue`	`additional.fields`
`hostname`	`principal.asset.hostname`、 `principal.hostname`	從 `message` 欄位擷取。
`id`	`additional.fields`
`impostorScore`	`security_result.detection_fields`
`INBOUND`	`network.direction`	如果值為 `[rule] == "outbound"`、`[filter][routeDirection] == "inbound"` 或 `[quarantineRule] =~ "outbound"`。
`INFORMATIONAL`	`security_result.severity`	如果`[audit][level] =~ "(?i)(notice)"`。
`intermediary.ip`	`intermediary.asset.ip`、 `intermediary.ip`
`intermediary.ip1`	`intermediary.asset.ip`、 `intermediary.ip`
`intermediary_hostname`	`intermediary.asset.hostname`、 `intermediary.hostname`	從 `data` 欄位擷取。
`isArchive`	`additional.fields`
`isCorrupted`	`additional.fields`
`isDeleted`	`additional.fields`
`isProtected`	`additional.fields`
`isTimedOut`	`additional.fields`
`isVirtual`	`additional.fields`
`item.cluster`	`security_result.detection_fields`
`item.GUID`	`security_result.detection_fields`
`item.headerFrom`	`security_result.detection_fields`
`item.id`	`security_result.detection_fields`
`item.impostorScore`	`security_result.detection_fields`
`item.malwareScore`	`security_result.detection_fields`
`item.messageID`	`security_result.detection_fields`
`item.messageSize`	`security_result.detection_fields`
`item.modulesRun`	`additional.fields`
`item.phishScore`	`security_result.detection_fields`
`item.policyRoutes`	`additional.fields`
`item.QID`	`security_result.detection_fields`
`item.quarantineFolder`	`security_result.detection_fields`
`item.quarantineRule`	`security_result.detection_fields`
`item.sender`	`principal.user.email_addresses`	如果`[item_sender] =~ "^.+@.+$"`。
`item.senderIP`	`principal.asset.ip`、 `principal.ip`
`item.spamScore`	`security_result.detection_fields`
`item.subject`	`network.email.subject`
`item.threats.classification`	`security_result.detection_fields`
`item.threats.threat`	`security_result.detection_fields`
`item.threats.threatID`	`security_result.detection_fields`
`item.threats.threatStatus`	`security_result.detection_fields`
`item.threats.threatTime`	`security_result.detection_fields`
`item.threats.threatType`	`security_result.detection_fields`
`item.threats.threatUrl`	`security_result.detection_fields`
`key.data`	`security_result.detection_fields`
`labeledCharset`	`additional.fields`
`labeledExt`	`additional.fields`
`labeledMime`	`about.file.mime_type`
`labeledName`	`about.file.full_path`
`malwareScore`	`security_result.detection_fields`
`matches.offset`	`additional.fields`
`matches.part`	`additional.fields`
`MEDIUM`	`security_result.severity`	如果`[audit][level] =~ "(?i)(warn)"`。
`messageID`	`network.email.mail_id`	從 `data` 欄位擷取。
`messageSize`	`security_result.detection_fields`
`messageTime`	`metadata.event_timestamp`
`metadata.customerId`	`principal.resource.attribute.labels`
`metadata.origin.data.agent`	`network.http.parsed_user_agent`、 `network.http.user_agent`	從 `data` 欄位的鍵/值組合中擷取。
`metadata.origin.data.cid`	`additional.fields`
`metadata.origin.data.mode`	`additional.fields`
`metadata.origin.data.theater`	`additional.fields`、 `principal.location.country_or_region`	`principal.location.country_or_region` 是從 `data` 欄位的鍵/值組合中擷取而來。
`metadata.origin.data.version`	`metadata.product_version`	從 `data` 欄位的鍵/值組合中擷取。
`metadata.origin.schemaVersion`	`additional.fields`
`mod`	`security_result.detection_fields`
`modulesRun`	`additional.fields`
`msg.header.cc`	`additional.fields`
`msg.header.from`	`additional.fields`、 `principal.user.email_addresses`	`principal.user.email_addresses` 會使用迴圈對應至這個欄位，JSON 陣列元素會在這裡合併，非 JSON 字串則會對應至這裡。
`msg.header.message-id.0`	`additional.fields`、 `network.email.mail_id`
`msg.header.reply-to.0`	`additional.fields`、 `network.email.reply_to`
`msg.header.to`	`additional.fields`、 `target.user.email_addresses`	`target.user.email_addresses` 在這裡使用迴圈對應為非 JSON 字串。
`msg.header.x-mailer`	`additional.fields`
`msg.lang`	`additional.fields`
`msg.normalizedHeader.from`	`principal.user.email_addresses`	使用迴圈對應至這個欄位。JSON 陣列元素會合併到這裡，非 JSON 字串則會對應到這裡。
`msg.normalizedHeader.subject`	`network.email.subject`	如果 `msg.normalizedHeader.subject` 不等於 `subject` 原始記錄欄位值。
`msg.normalizedHeader.to`	`target.user.email_addresses`	使用迴圈對應至這個欄位。非 JSON 字串會對應至此。
`msg.normalizedHeader.x-mailer`	`additional.fields`
`msg.parsedAddresses.from.0`	`additional.fields`、 `network.email.from`
`msg.parsedAddresses.to`	`target.user.email_addresses`	使用迴圈對應至這個欄位。非 JSON 字串會對應至此。
`msg.sizeBytes`	`additional.fields`
`msgBlocked.filename`	`about.file.full_path`
`msgBlocked.labeledMime`	`about.file.mime_type`
`msgBlocked.msgPart.detectedSizeBytes`	`about.file.size`
`msgBlocked.msgPart.md5`	`about.file.md5`
`msgheadersubject`	`additional.fields`
`msgheaderxmailervalue`	`additional.fields`
`msgPart.dataBase64`	`additional.fields`
`msgPart.detectedCharset`	`additional.fields`
`msgPart.detectedMime`	`additional.fields`
`msgPart.detectedSizeBytes`	`about.file.size`
`msgPart.filename`	`about.file.full_path`
`msgPart.md5`	`about.file.md5`
`msgPart.metadata.appversion`	`additional.fields`
`msgPart.metadata.codepage`	`additional.fields`
`msgPart.metadata.color-scheme`	`additional.fields`
`msgPart.metadata.content-language`	`additional.fields`
`msgPart.metadata.format-detection`	`additional.fields`
`msgPart.metadata.history[1]/stevt:action`	`additional.fields`
`msgPart.metadata.history[1]/stevt:softwareagent`	`additional.fields`
`msgPart.metadata.history[1]/stevt:when`	`additional.fields`
`msgPart.oContentType`	`additional.fields`
`msgPart.sha256`	`about.file.sha256`
`msgs.metadata._PROOFPOINT_CONTENT_LENGTH_`	`additional.fields`
`msgs.metadata.application`	`additional.fields`
`msgs.metadata.appname`	`additional.fields`
`msgs.metadata.author`	`security_result.detection_fields`
`msgs.metadata.company`	`security_result.detection_fields`
`msgs.metadata.createdate`	`additional.fields`
`msgs.metadata.documentid`	`additional.fields`
`msgs.metadata.instanceid`	`additional.fields`
`msgs.metadata.modifydate`	`additional.fields`
`msgs.metadata.pagecount`	`additional.fields`
`msgs.metadata.subject`	`additional.fields`
`msgs.metadata.title`	`additional.fields`
`msgs.textExtracted`	`additional.fields`
`msgUrls.url`	`additional.fields`、 `security_result.detection_fields`
`normalizedHeader.x_originating_ip`	`principal.asset.ip`、 `principal.ip`
`normalizedHeaderfromHashed`	`additional.fields`
`normalizedHeaderHashedvalue`	`additional.fields`
`normalizedHeaderMessageidvalue`	`additional.fields`
`normalizedheaderreplytohashed`	`additional.fields`
`normalizedheaderreturnpath`	`additional.fields`
`oContentType`	`additional.fields`
`OUTBOUND`	`network.direction`	如果值為 `[rule] == "outbound"`、`[filter][routeDirection] == "outbound"` 或 `[quarantineRule] =~ "outbound"`。
`parsed.useragent`	`network.http.parsed_user_agent`
`parsed_stat_value`	`security_result.detection_fields`
`parsedAddress`	`network.email.cc`	如果`[parsedAddress] =~ "^.+@.+$"`。
`parsedAddressesfromHashedvalue`	`additional.fields`
`parsedaddressesreplytohashed`	`additional.fields`
`parsedAddrestoHashedvalue`	`additional.fields`
`phishScore`	`security_result.detection_fields`
`pid`	`principal.process.pid`	從 `message` 欄位擷取。
`PoD`	`metadata.product_name`	靜態指派。
`policy_route.*`	`additional.fields`	`[list_values]`/使用對應函式。
`policyRoutes`	`additional.fields`
`pps.agent`	`observer.hostname`
`prod_event_name`	`metadata.product_event_type`	從 `message` 欄位擷取。
`Proofpoint`	`metadata.vendor_name`	靜態指派。
`QID`	`security_result.detection_fields`
`QUARANTINE`	`security_result.action`	如果`[filter][disposition] == "quarantine"`。
`quarantineFolder`	`security_result.detection_fields`
`quarantineRule`	`security_result.detection_fields`
`queryEndTime`	`metadata.collected_timestamp`
`rcd.error`	`additional.fields`
`rcd.record`	`additional.fields`
`rcpt`	`additional.fields`、 `security_result.detection_fields`
`rcpt_hashed`	`additional.fields`
`reply`	`network.email.reply_to`	從 `data` 欄位的鍵/值組合中擷取。如果`[reply] =~ "^.+@.+$"`。
`replytohashed`	`additional.fields`
`res.emailIdentities.header.from`	`additional.fields`
`res.emailIdentities.smtp.mailfrom`	`additional.fields`
`res.emailIdentities.smtp.mailfromHashed`	`additional.fields`
`res.method`	`additional.fields`
`res.propspec.header.d`	`additional.fields`
`res.propspec.header.s`	`additional.fields`
`rules.name`	`additional.fields`
`rules.severity`	`additional.fields`
`s`	`network.session_id`	從 `data` 欄位擷取。
`safeBlockedListMatches_listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.listType`	`security_result.detection_fields`
`safeBlockedListMatchesvalue.rule`	`security_result.detection_fields`
`sandbox.status`	`additional.fields`
`sec_result_action`	`security_result.action`
`sec_result_category`	`security_result.category`
`sender`	`principal.user.email_addresses`	如果`[sender] =~ "^.+@.+$"`。
`senderIP`	`principal.asset.ip`、 `principal.ip`
`SENDMAIL`	`metadata.product_event_type`	如果`[message] =~ "sendmail"`。
`sendmail_hostname`	`principal.asset.hostname`、 `principal.hostname`	從 `data` 欄位擷取。
`sendmail_process_name`	`principal.process.file.full_path`	從 `data` 欄位擷取。
`sendmail_qid`	`additional.fields`
`sendmail_ts`	`metadata.collected_timestamp`	從 `data` 欄位擷取。
`sig.engine`	`security_result.detection_fields`
`sig.isPresent`	`security_result.detection_fields`
`sig.signature`	`security_result.detection_fields`
`sizeDecodedBytes`	`additional.fields`
`sm.daemon`	`additional.fields`
`sm.delay`	`additional.fields`
`sm.dsn`	`additional.fields`
`sm.from`	`network.email.from`	從 `data` 欄位的鍵/值組合中擷取。如果`[email_src] =~ "^.+@.+$"`。
`sm.guid`	`metadata.product_log_id`	從 `data` 欄位的鍵/值組合中擷取。如果`[message] =~ "sendmail"`。
`sm.mailer`	`additional.fields`
`sm.messageTs`	`additional.fields`
`sm.msgid`	`network.email.mail_id`	從 `data` 欄位的鍵/值組合中擷取。
`sm.nrcpts`	`additional.fields`
`sm.pri`	`additional.fields`
`sm.qid`	`security_result.detection_fields`
`sm.stat`	`security_result.description`	從 `data` 欄位的鍵/值組合中擷取。
`sm.xdelay`	`additional.fields`
`smtoemail`	`network.email.to`	如果`[sm_to_email] =~ "^.+@.+$"`。
`spamScore`	`security_result.detection_fields`
`SpamType`	`security_result.detection_fields`
`subject`	`network.email.subject`
`suborgs`	`additional.fields`
`threat`	`security_result.detection_fields`
`threatType`	`security_result.detection_fields`
`tls.verify`	`security_result.action_details`	從 `data` 欄位的鍵/值組合中擷取。如果`[tls_verify] not in ["", "null", "None", "none", "NONE"]`。
`to`	`network.email.to`	如果`[to] =~ "^.+@.+$"`。
`ts`	`metadata.event_timestamp`
`uinteger`	`network.received_bytes`、 `network.sent_bytes`
`UNKNOWN_ACTION`	`security_result.action`	如果`[filter][disposition] in ["hold", "retry"]`。
`UNKNOWN_SEVERITY`	`security_result.severity`
`urlsource`	`security_result.detection_fields`
`value`	`additional.fields`
`x_originating_ip`	`principal.asset.ip`、 `principal.ip`

UDM 對應差異參考資料

Google SecOps 於 2026 年 10 月 13 日發布新版 Proofpoint 隨選剖析器，大幅變更 Proofpoint 隨選記錄欄位與 UDM 欄位的對應關係，並更新事件類型分類 (對應關係)。

記錄欄位對應差異

下表顯示 Proofpoint 隨選記錄欄位對應至 UDM 欄位的方式異動。「舊對應」欄列出 2026 年 10 月 13 日前公開的欄位，「目前對應」欄則列出新欄位。

記錄欄位	舊對應	目前的對應
`connection.sid`	`additional.fields`	`security_result.detection_fields`
`filter.modules.pdr.v2.response`	`additional.fields`	`security_result.detection_fields`
`filter.modules.urldefense.counts.total`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.expirationTs`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folder`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.folderId`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.module`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.rule`	`additional.fields`	`security_result.detection_fields`
`filter.quarantine.type`	`additional.fields`	`security_result.detection_fields`
`messageTime`	`additional.fields`	`metadata.event_timestamp`
`messagesBlocked.spamScore`	`additional.fields`	`security_result.detection_fields`
`metadata.customerId`	`additional.fields`	`principal.resource.attribute.labelsmod`
`msgParts.detectedSizeBytes`	`additional.fields`	`about.file.size`
`msg_header_from_json_array.value`	`additional.fields`	`principal.user.email_addresses`
`principal.resource.attribute.labelsmod`	`additional.fields`	`security_result.detection_fields`

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。