« Microsoft SQL Server 集成 Modsecurity 集成 »
Elastic 文档 ›Elastic 集成

Mimecast 集成

编辑

Mimecast 集成

编辑

版本

2.4.1 (查看全部)

兼容的 Kibana 版本

8.15.0 或更高版本

支持的无服务器项目类型
这是什么？

安全
可观测性

订阅级别
这是什么？

基础

支持级别
这是什么？

合作伙伴

Mimecast 集成从 Mimecast API 收集事件。

配置

编辑

v1 API 端点

编辑

Mimecast API 的授权参数（应用程序密钥、应用程序 ID、访问密钥 和 秘密密钥）应由 Mimecast 代表为此集成提供。在 高级选项 下，您可以设置两个 API 请求之间的时间间隔以及 API URL。如果需要更改默认值，Mimecast 代表也应该能够为您提供此信息。

速率限制配额可能需要您为不同的可用日志类型设置不同的凭据。

v2 API 端点

编辑

Mimecast API 的授权参数（客户端 ID 和 客户端密钥）应由 Mimecast 代表为此集成提供。在 高级选项 下，您可以设置两个 API 请求之间的时间间隔以及 API URL。如果需要更改默认值，Mimecast 代表也应该能够为您提供此信息。

速率限制配额可能需要您为不同的可用日志类型设置不同的凭据。

日志

编辑

存档搜索日志

编辑

这是 mimecast.archive_search_logs 数据集。这些日志包含 Mimecast 存档搜索日志，其中包含以下详细信息：搜索源、描述和有关执行的搜索的详细信息。有关这些日志的更多信息，请访问 此处。

示例

archive_search 的示例事件如下所示

{
    "@timestamp": "2024-11-12T16:21:27.000Z",
    "agent": {
        "ephemeral_id": "d3b97519-7fb6-43c4-8b77-64243fb1a1a3",
        "id": "c25a1c6b-6203-415b-8548-b4a1b5c845e0",
        "name": "elastic-agent-14690",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.archive_search_logs",
        "namespace": "34146",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "c25a1c6b-6203-415b-8548-b4a1b5c845e0",
        "snapshot": false,
        "version": "8.14.0"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "api"
        ],
        "created": "2024-11-12T16:21:27.000Z",
        "dataset": "mimecast.archive_search_logs",
        "ingested": "2024-12-05T00:48:50Z",
        "kind": "event",
        "original": "{\"createTime\":\"2024-11-12T16:21:27+0000\",\"description\":\"Message Tracking Search\",\"emailAddr\":\"\\u003c\\u003e\",\"searchReason\":\"\",\"searchText\":\"[User : [email protected]]\",\"source\":\"archive\"}",
        "type": [
            "admin"
        ]
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "search_details": {
            "description": "Message Tracking Search",
            "source": "archive",
            "text": "[User : [email protected]]"
        }
    },
    "related": {
        "user": [
            "<>"
        ]
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-archive-search-logs"
    ],
    "user": {
        "email": "<>"
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.email.address

执行搜索的用户的电子邮件地址。

关键字

mimecast.search_details.description

搜索的描述（如果有）。

关键字

mimecast.search_details.path

搜索路径（如果有）。

关键字

mimecast.search_details.reason

执行搜索时输入的搜索原因（如果有）。

关键字

mimecast.search_details.source

搜索源上下文

关键字

mimecast.search_details.text

搜索中使用的文本。

关键字

审计事件

编辑

这是 mimecast.audit_events 数据集。这些日志包含 Mimecast 审计事件，其中包含以下详细信息：审计类型、事件类别和有关事件的详细信息。有关这些日志的更多信息。

示例

audit_events 的示例事件如下所示

{
    "@timestamp": "2024-10-17T02:06:50.000Z",
    "agent": {
        "ephemeral_id": "d3d233d7-62b7-40f6-8de7-d3c2937d6dae",
        "id": "b6346117-4ee0-428a-9d74-6580e405feeb",
        "name": "elastic-agent-20780",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "client": {
        "ip": "203.59.201.168"
    },
    "data_stream": {
        "dataset": "mimecast.audit_events",
        "namespace": "54489",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "b6346117-4ee0-428a-9d74-6580e405feeb",
        "snapshot": false,
        "version": "8.14.0"
    },
    "event": {
        "action": "api-application-updated",
        "agent_id_status": "verified",
        "category": [
            "email"
        ],
        "created": "2024-10-17T02:06:50.000Z",
        "dataset": "mimecast.audit_events",
        "id": "eNoVzk0PgiAAgOH_wrUO4SizrYOasxUzs6jWLYURfqEg6Wr99-z-bs_7AZplRjFBwQp4E3y5t3G7w1SVz9KxwxtJj7mVNripeP7WV3N2-3AohNUFGw0DmMY2aqOeq7MZfCKqyME1jeUMv_qAdVub6MJdnprZIYz2PS3u-bNuB54kfA2m4GGo6ErJ_zZCi4UD51OQGd3JiqlMUjYu-eTkIdey0di_mNJC1mAFvz-isz1f",
        "ingested": "2024-12-05T00:52:32Z",
        "original": "{\"auditType\":\"API Application Updated\",\"category\":\"account_logs\",\"eventInfo\":\"API Gateway Application testing Updated. Application Program Interface Addendum (22 September 2022) acknowledged, Date: 2024-10-17, Time: 02:06:50+0000, IP: 203.59.201.168, Application: Administration Console\",\"eventTime\":\"2024-10-17T02:06:50+0000\",\"id\":\"eNoVzk0PgiAAgOH_wrUO4SizrYOasxUzs6jWLYURfqEg6Wr99-z-bs_7AZplRjFBwQp4E3y5t3G7w1SVz9KxwxtJj7mVNripeP7WV3N2-3AohNUFGw0DmMY2aqOeq7MZfCKqyME1jeUMv_qAdVub6MJdnprZIYz2PS3u-bNuB54kfA2m4GGo6ErJ_zZCi4UD51OQGd3JiqlMUjYu-eTkIdey0di_mNJC1mAFvz-isz1f\",\"user\":\"[email protected]\"}"
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "application": "Administration Console",
        "category": "account_logs",
        "eventInfo": "API Gateway Application testing Updated. Application Program Interface Addendum (22 September 2022) acknowledged, Date: 2024-10-17, Time: 02:06:50+0000, IP: 203.59.201.168, Application: Administration Console"
    },
    "related": {
        "ip": [
            "203.59.201.168"
        ],
        "user": [
            "user.name",
            "[email protected]"
        ]
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-audit-events"
    ],
    "user": {
        "domain": "company.mime-api.com",
        "email": "[email protected]",
        "name": "user.name"
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.2FA

有关双因素身份验证的信息。

关键字

mimecast.application

事件的 Mimecast 唯一 ID。

关键字

mimecast.category

事件的类别。

关键字

mimecast.email.address

来自事件信息的电子邮件地址。

关键字

mimecast.email.metadata

来自审计信息的电子邮件元数据。

关键字

mimecast.eventInfo

详细的事件信息。

关键字

mimecast.method

触发审计事件的方法。

关键字

mimecast.remote

有关尝试访问 API 的远程 IP 的信息。

关键字

mimecast.remote_ip

远程 IP。

ip

mimecast.timezone

事件消息中报告的时区。

关键字

云集成日志

编辑

这是 mimecast.cloud_integrated_logs 数据集。这些日志包含 Mimecast 威胁和安全事件，其中包含以下详细信息：实体、邮件流和受保护的 URL 事件。有关这些日志的更多信息。

示例

cloud_integrated 的示例事件如下所示

{
    "@timestamp": "2024-11-21T18:03:26.960Z",
    "agent": {
        "ephemeral_id": "d0571978-95ee-4d4e-9fc1-2c0b57f47a64",
        "id": "27a1a18b-9cc1-424a-8573-425423e11318",
        "name": "elastic-agent-77334",
        "type": "filebeat",
        "version": "8.15.0"
    },
    "data_stream": {
        "dataset": "mimecast.cloud_integrated_logs",
        "namespace": "67059",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "27a1a18b-9cc1-424a-8573-425423e11318",
        "snapshot": false,
        "version": "8.15.0"
    },
    "email": {
        "message_id": "<[email protected]>"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "email"
        ],
        "created": "2024-11-21T18:03:26.960Z",
        "dataset": "mimecast.cloud_integrated_logs",
        "ingested": "2024-12-09T23:17:44Z",
        "original": "{\"_offset\":1803841,\"_partition\":53,\"accountId\":\"AUS2474\",\"aggregateId\":\"4XvR1B4m7BzFB8L-qk59b4szrgayciaagczc977rzb_1732212206\",\"authResults\":[{\"aligned\":true,\"result\":\"pass\",\"type\":\"SPF\"},{\"aligned\":false,\"result\":\"none\",\"type\":\"DKIM\"},{\"aligned\":null,\"result\":\"pass\",\"type\":\"DMARC\"}],\"messageId\":\"\\[email protected]\\u003e\",\"processingId\":\"c40337e6860db0301575d8d09362bff214c0b010d6c4d41da9d770759ff54d10_1732212206\",\"subtype\":null,\"timestamp\":1732212206960,\"type\":\"mailflow\"}"
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "accountId": "AUS2474",
        "aggregateId": "4XvR1B4m7BzFB8L-qk59b4szrgayciaagczc977rzb_1732212206",
        "authResults": [
            {
                "aligned": true,
                "result": "pass",
                "type": "SPF"
            },
            {
                "aligned": false,
                "result": "none",
                "type": "DKIM"
            },
            {
                "result": "pass",
                "type": "DMARC"
            }
        ],
        "log_type": "mailflow",
        "processingId": "c40337e6860db0301575d8d09362bff214c0b010d6c4d41da9d770759ff54d10_1732212206"
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-cloud-integrated-logs"
    ]
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.accountId

您的帐户的 Mimecast 帐户代码。

关键字

mimecast.action

为此消息采取的操作。

关键字

mimecast.aggregateId

允许您关联/分组相关事件的唯一标识符。

关键字

mimecast.attachments

电子邮件上所有附件的文件名。

关键字

mimecast.authResults.aligned

布尔值

mimecast.authResults.result

关键字

mimecast.authResults.type

关键字

mimecast.direction

基于发送和接收域的电子邮件方向。

关键字

mimecast.historicalMail

标识扫描是否来自历史电子邮件（在 Mimecast 之前）。

布尔值

mimecast.log_type

关键字

mimecast.messageId

电子邮件的 Internet 消息 ID。

关键字

mimecast.originalUrl

单击的原始 URL。

关键字

mimecast.policiesApplied.action

关键字

mimecast.policiesApplied.mode

关键字

mimecast.policiesApplied.name

关键字

mimecast.processingId

允许您关联/分组相关事件的唯一标识符。

关键字

mimecast.recipients

电子邮件的收件人。

关键字

mimecast.redirectUrl

在单击原始 URL 后重定向的 URL。

关键字

mimecast.senderEnvelope

电子邮件的发送者。

关键字

mimecast.senderHeader

在电子邮件的“发件人”标头中找到的发送者地址。

关键字

mimecast.senderIp

发送邮件服务器的源 IP。

关键字

mimecast.source

关键字

mimecast.sourceIp

原始消息的源 IP。

关键字

mimecast.subject

电子邮件的主题，限制为 150 个字符。

关键字

mimecast.subtype

关键字

mimecast.tags

确定电子邮件是否不可信。

关键字

mimecast.threatState

采取的操作。

关键字

mimecast.threatType

在适用的情况下，识别出的威胁类型。不允许无检测=。

关键字

mimecast.timestamp

事件的日期和时间。

关键字

DLP 日志

编辑

这是 mimecast.dlp_logs 数据集。这些日志包含有关触发 DLP 或内容检查策略的消息的信息。有关这些日志的更多信息。

示例

dlp 的示例事件如下所示

{
    "@timestamp": "2024-11-17T19:47:39.000Z",
    "agent": {
        "ephemeral_id": "6a8bd8fb-21cf-4c1e-a294-35bddf3ebeba",
        "id": "890bb494-8ddc-489b-8bfe-48aea81e2d36",
        "name": "elastic-agent-24674",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.dlp_logs",
        "namespace": "14088",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "890bb494-8ddc-489b-8bfe-48aea81e2d36",
        "snapshot": false,
        "version": "8.14.0"
    },
    "email": {
        "direction": "inbound",
        "from": {
            "address": [
                "[email protected]"
            ]
        },
        "message_id": "<[email protected]>",
        "subject": "New CERA.com Coming Soon! - CERA Alert",
        "to": {
            "address": [
                "[email protected]"
            ]
        }
    },
    "event": {
        "action": "hold",
        "agent_id_status": "verified",
        "category": [
            "email"
        ],
        "created": "2024-11-17T19:47:39+0000",
        "dataset": "mimecast.dlp_logs",
        "ingested": "2024-12-05T00:57:34Z",
        "original": "{\"action\":\"hold\",\"eventTime\":\"2024-11-17T19:47:39+0000\",\"messageId\":\"\\[email protected]\\u003e\",\"policy\":\"Confidential\",\"recipientAddress\":\"[email protected]\",\"route\":\"inbound\",\"senderAddress\":\"[email protected]\",\"subject\":\"New CERA.com Coming Soon! - CERA Alert\"}"
    },
    "input": {
        "type": "cel"
    },
    "rule": {
        "name": "Confidential"
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-dlp-logs"
    ]
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

消息释放日志

编辑

这是 mimecast.message_release_logs 数据集。这些日志包含有关已释放给收件人的消息的信息，以及有关处理释放的用户的详细信息。有关这些日志的更多信息。

示例

message_release 的示例事件如下所示

{
    "@timestamp": "2024-10-28T14:16:51.000Z",
    "agent": {
        "ephemeral_id": "7afd67cc-d1eb-44e6-9ae3-d6cdd6a2930a",
        "id": "019f79cd-9e55-4eaf-863d-78181137d95d",
        "name": "elastic-agent-60936",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.message_release_logs",
        "namespace": "39938",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "019f79cd-9e55-4eaf-863d-78181137d95d",
        "snapshot": false,
        "version": "8.14.0"
    },
    "email": {
        "direction": "inbound",
        "from": {
            "address": [
                "[email protected]"
            ]
        },
        "local_id": "eNoNjt0KgjAYQN9ltwlNMVZBF...",
        "subject": "Yahoo! Newsletter, November 2001",
        "to": {
            "address": [
                "[email protected]"
            ]
        }
    },
    "event": {
        "action": "rejected",
        "agent_id_status": "verified",
        "dataset": "mimecast.message_release_logs",
        "id": "eNoNjt0KgjAYQN9ltwlNMVZBF...",
        "ingested": "2024-11-21T02:12:00Z",
        "kind": "event",
        "original": "{\"attachments\":true,\"detectionLevel\":\"relaxed\",\"fromEnv\":{\"emailAddress\":\"[email protected]\"},\"fromHdr\":{\"emailAddress\":\"[email protected]\"},\"heldReason\":\"Default Spam Scanning Definition\",\"id\":\"eNoNjt0KgjAYQN9ltwlNMVZBF...\",\"messageInfo\":\"Graymail\",\"operator\":{\"emailAddress\":\"[email protected]\"},\"policy\":\"Default Spam Scanning Definition\",\"rejectReason\":\"Message goes against email policies\",\"released\":\"2024-10-28T14:16:51+0000\",\"route\":\"inbound\",\"size\":3670056,\"spamProcessingDetail\":{\"dkim\":{\"allow\":true,\"info\":\"unknown\"},\"dmarc\":{\"allow\":true,\"info\":\"allow\"},\"greyEmail\":false,\"managedSender\":{\"allow\":true,\"info\":\"unknown\"},\"permittedSender\":{\"allow\":true,\"info\":\"none\"},\"rbl\":{\"allow\":true,\"info\":\"\"},\"spf\":{\"allow\":true,\"info\":\"allow\"},\"verdict\":{\"categories\":[{\"name\":\"spam\",\"risk\":\"high\",\"subcategories\":[{\"augmentations\":[],\"name\":\"technology_feed\",\"risk\":\"high\"},{\"augmentations\":[{\"name\":\"body\",\"risk\":\"negligible\"}],\"name\":\"content\",\"risk\":\"negligible\"}]},{\"name\":\"graymail\",\"risk\":\"negligible\",\"subcategories\":[]}],\"decision\":\"spam\",\"description\":\"\",\"risk\":\"high\"}},\"spamScore\":20,\"status\":\"rejected\",\"subject\":\"Yahoo! Newsletter, November 2001\",\"to\":[{\"emailAddress\":\"[email protected]\"}]}",
        "reason": "Message goes against email policies",
        "risk_score": 20,
        "type": [
            "info"
        ]
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "message_release_logs": {
            "attachments": true,
            "detectionLevel": "relaxed",
            "fromEnv": {
                "emailAddress": "[email protected]"
            },
            "fromHdr": {
                "emailAddress": "[email protected]"
            },
            "heldReason": "Default Spam Scanning Definition",
            "id": "eNoNjt0KgjAYQN9ltwlNMVZBF...",
            "messageInfo": "Graymail",
            "operator": "[email protected]",
            "policy": "Default Spam Scanning Definition",
            "rejectReason": "Message goes against email policies",
            "released": "2024-10-28T14:16:51+0000",
            "route": "inbound",
            "size": 3670056,
            "spamProcessingDetail": {
                "dkim": {
                    "allow": true,
                    "info": "unknown"
                },
                "dmarc": {
                    "allow": true,
                    "info": "allow"
                },
                "greyEmail": false,
                "managedSender": {
                    "allow": true,
                    "info": "unknown"
                },
                "permittedSender": {
                    "allow": true,
                    "info": "none"
                },
                "rbl": {
                    "allow": true
                },
                "spamVerdict": {
                    "categories": [
                        {
                            "name": "spam",
                            "risk": "high",
                            "subcategories": [
                                {
                                    "name": "technology_feed",
                                    "risk": "high"
                                },
                                {
                                    "augmentations": [
                                        {
                                            "name": "body",
                                            "risk": "negligible"
                                        }
                                    ],
                                    "name": "content",
                                    "risk": "negligible"
                                }
                            ]
                        },
                        {
                            "name": "graymail",
                            "risk": "negligible"
                        }
                    ],
                    "decision": "spam",
                    "risk": "high"
                },
                "spf": {
                    "allow": true,
                    "info": "allow"
                }
            },
            "spamScore": 20,
            "status": "rejected",
            "subject": "Yahoo! Newsletter, November 2001",
            "to": [
                {
                    "emailAddress": "[email protected]"
                }
            ]
        }
    },
    "related": {
        "hosts": [
            "demo-int.elastic.mime-api.com",
            "evaluation-fuzz.b41.one"
        ],
        "user": [
            "monika.causholli",
            "[email protected]",
            "yahoo-delivers",
            "[email protected]"
        ]
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-message-release-logs"
    ],
    "user": {
        "email": [
            "[email protected]"
        ]
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.message_release_logs.attachments

指示消息是否包含附件。

布尔值

mimecast.message_release_logs.detectionLevel

垃圾邮件检测级别，如果由垃圾邮件策略持有。可能的值为：relaxed、moderate、aggressive、cluster 或 whitelisted_cluster。

关键字

mimecast.message_release_logs.fromEnv.displayableName

来自“发件人”信封的用户地址的显示名称。如果不存在，则此字段将为空。

关键字

mimecast.message_release_logs.fromEnv.emailAddress

来自“发件人”信封的用户的可路由电子邮件地址。

关键字

mimecast.message_release_logs.fromHdr.displayableName

来自“发件人”标头的用户地址的显示名称。如果不存在，则此字段将为空。

关键字

mimecast.message_release_logs.fromHdr.emailAddress

来自“发件人”标头的用户的可路由电子邮件地址。

关键字

mimecast.message_release_logs.heldGroup

被拦截消息的收件人组，如果消息发送给组。

关键字

mimecast.message_release_logs.heldReason

有关消息最初被拦截的原因的详细信息。如果由特定策略定义拦截，这将是触发消息被拦截的策略定义的名称。

关键字

mimecast.message_release_logs.id

特定消息释放日志的 Mimecast 安全 ID。

关键字

mimecast.message_release_logs.messageInfo

有关释放原因的其他信息。

文本

mimecast.message_release_logs.operator

释放消息的用户的电子邮件地址。

关键字

mimecast.message_release_logs.policy

触发消息被拦截的策略定义的名称。

关键字

mimecast.message_release_logs.rejectReason

如果消息被拒绝，则提供有关消息被拒绝原因的详细信息。

关键字

mimecast.message_release_logs.released

消息释放操作的时间戳，采用 ISO 8601 格式。

关键字

mimecast.message_release_logs.route

消息方向。可能的值为：inbound 或 outbound。

关键字

mimecast.message_release_logs.size

消息的总大小，以字节为单位。

长整型

mimecast.message_release_logs.spamProcessingDetail.dkim.allow

指示是否执行检查以查看消息是否通过 DKIM 检查。

布尔值

mimecast.message_release_logs.spamProcessingDetail.dkim.info

有关检查结果的详细信息。

关键字

mimecast.message_release_logs.spamProcessingDetail.dmarc.allow

指示是否执行检查以查看消息是否通过 DMARC 检查。

布尔值

mimecast.message_release_logs.spamProcessingDetail.dmarc.info

有关检查结果的详细信息。

关键字

mimecast.message_release_logs.spamProcessingDetail.grayEmail

指示垃圾邮件是否被归类为灰邮件或批量邮件。请注意，此 API 交替使用 graymail 和 greymail。

布尔值

mimecast.message_release_logs.spamProcessingDetail.greyEmail

指示垃圾邮件是否被归类为灰邮件或批量邮件。请注意，此 API 交替使用 graymail 和 greymail。

布尔值

mimecast.message_release_logs.spamProcessingDetail.managedSender.allow

指示是否执行检查以查看是否已通过“受管理发件人”条目允许发送者。

布尔值

mimecast.message_release_logs.spamProcessingDetail.managedSender.info

有关检查结果的详细信息。

关键字

mimecast.message_release_logs.spamProcessingDetail.permittedSender.allow

指示是否执行了策略允许发件人的检查。

布尔值

mimecast.message_release_logs.spamProcessingDetail.permittedSender.info

有关检查结果的详细信息。

关键字

mimecast.message_release_logs.spamProcessingDetail.rbl.allow

指示是否执行了消息通过 RBL 检查的检查。

布尔值

mimecast.message_release_logs.spamProcessingDetail.rbl.info

有关检查结果的详细信息。

关键字

mimecast.message_release_logs.spamProcessingDetail.spamVerdict.categories

垃圾邮件检测类型类别。

扁平化的

mimecast.message_release_logs.spamProcessingDetail.spamVerdict.decision

指示消息的最终裁决结果。

关键字

mimecast.message_release_logs.spamProcessingDetail.spamVerdict.description

垃圾邮件裁决决定的描述。

关键字

mimecast.message_release_logs.spamProcessingDetail.spamVerdict.risk

垃圾邮件检测中确定的风险级别。可能的值为：negligible（可忽略的）、low（低）、high（高）。

关键字

mimecast.message_release_logs.spamProcessingDetail.spf.allow

指示是否执行了消息通过 SPF 检查的检查。

布尔值

mimecast.message_release_logs.spamProcessingDetail.spf.info

有关检查结果的详细信息。

关键字

mimecast.message_release_logs.spamScore

基于应用的垃圾邮件扫描策略定义的消息垃圾邮件得分。

双精度

mimecast.message_release_logs.status

消息的状态。可能的值为 released（已释放）或 rejected（已拒绝）。

关键字

mimecast.message_release_logs.subject

已释放消息的主题行。

关键字

mimecast.message_release_logs.to.displayableName

“to” 标头中用户地址的显示名称。如果不存在，则此字段将为空。

关键字

mimecast.message_release_logs.to.emailAddress

“to” 标头中用户的可路由电子邮件地址。

关键字

SIEM 日志

编辑

这是 mimecast.siem_logs 数据集。这些日志包含关于包含 MTA（消息传输代理）日志的消息的信息 - 所有入站、出站和内部消息。有关这些日志的更多信息。

示例

一个 siem 的示例事件如下所示

{
    "@timestamp": "2024-11-12T18:52:07.130Z",
    "agent": {
        "ephemeral_id": "3d21ae78-86cd-4666-84a7-c6309a29e2e5",
        "id": "260b2d28-beb4-4e1e-83aa-9fd450347db8",
        "name": "elastic-agent-64770",
        "type": "filebeat",
        "version": "8.15.0"
    },
    "data_stream": {
        "dataset": "mimecast.siem_logs",
        "namespace": "18433",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "260b2d28-beb4-4e1e-83aa-9fd450347db8",
        "snapshot": false,
        "version": "8.15.0"
    },
    "email": {
        "direction": "outbound",
        "from": {
            "address": [
                "[email protected]"
            ]
        },
        "message_id": "<[email protected]>",
        "subject": "Out of office",
        "to": {
            "address": [
                "[email protected]"
            ]
        }
    },
    "event": {
        "action": "Acc",
        "agent_id_status": "verified",
        "category": [
            "email"
        ],
        "created": "2024-11-12T18:52:07.130Z",
        "dataset": "mimecast.siem_logs",
        "ingested": "2024-12-08T21:06:17Z",
        "original": "{\"_offset\":70595,\"_partition\":60,\"accountId\":\"CUSB4A274\",\"action\":\"Acc\",\"aggregateId\":\"q1h3LjgrN46b12GlX0By9Q_1731437523\",\"direction\":\"Outbound\",\"messageId\":\"\\[email protected]\\u003e\",\"numberAttachments\":\"0\",\"processingId\":\"X7OQopo8177ryv7KXWXxytbksk3qv0Ct8NSYWcQkhJM_1731437523\",\"receiptErrors\":null,\"recipients\":\"[email protected]\",\"rejectionCode\":null,\"rejectionInfo\":null,\"rejectionType\":null,\"senderEnvelope\":\"[email protected]\",\"senderHeader\":\"[email protected]\",\"senderIp\":\"54.236.186.184\",\"spamDetectionLevel\":\"28\",\"spamInfo\":\"[]\",\"spamProcessingDetail\":null,\"spamScore\":\"0\",\"subject\":\"Out of office\",\"subtype\":\"Acc\",\"timestamp\":1731437527130,\"tlsCipher\":\"TLS_AES_256_GCM_SHA384\",\"tlsVersion\":\"TLSv1.3\",\"type\":\"receipt\",\"virusFound\":null}",
        "outcome": "unknown"
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "accountId": "CUSB4A274",
        "aggregateId": "q1h3LjgrN46b12GlX0By9Q_1731437523",
        "log_type": "receipt",
        "numberAttachments": "0",
        "processingId": "X7OQopo8177ryv7KXWXxytbksk3qv0Ct8NSYWcQkhJM_1731437523",
        "senderHeader": "[email protected]",
        "spamDetectionLevel": "28",
        "spamInfo": "[]",
        "spamScore": "0",
        "subtype": "Acc",
        "tlsVersion": "TLSv1.3"
    },
    "related": {
        "user": [
            "[email protected]",
            "[email protected]"
        ]
    },
    "source": {
        "ip": "54.236.186.184"
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-siem-logs"
    ],
    "tls": {
        "cipher": "TLS_AES_256_GCM_SHA384"
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.AttCnt

电子邮件中的附件数量。

长整型

mimecast.AttNames

电子邮件上所有附件的文件名。

关键字

mimecast.Attempt

Mimecast MTA 尝试传递电子邮件的次数。

长整型

mimecast.CustomName

该消息已匹配自定义名称。

关键字

mimecast.CustomThreatDictionary

检测到电子邮件的内容包含自定义威胁字典中的单词。

关键字

mimecast.CustomerIP

源 IP 是授权帐户 IP 之一，或属于 Umbrella 帐户的授权 IP 之一（如果该帐户使用 Umbrella 帐户）。

关键字

mimecast.Hits

为消息标记的项目数。

关键字

mimecast.Hostname

关键字

mimecast.IPInternalName

对于受定向威胁保护 - 冒充保护约束的电子邮件，如果检测到电子邮件来自内部用户名。

关键字

mimecast.IPNewDomain

对于受定向威胁保护 - 冒充保护约束的电子邮件，如果检测到电子邮件来自新域。

关键字

mimecast.IPReplyMismatch

对于受定向威胁保护 - 冒充保护约束的电子邮件，如果检测到电子邮件的回复地址不匹配。

关键字

mimecast.IPSimilarDomain

对于受定向威胁保护 - 冒充保护约束的电子邮件，如果检测到电子邮件来自与您注册为内部域的任何域相似的域。

关键字

mimecast.IPThreadDict

对于受定向威胁保护 - 冒充保护约束的电子邮件，如果检测到电子邮件的内容包含 Mimecast 威胁字典中的单词。

关键字

mimecast.InternalName

检测到电子邮件来自内部用户名。

关键字

mimecast.Latency

传递尝试所用的时间（以毫秒为单位）。

长整型

mimecast.MimecastIP

源 IP 是 Mimecast 的 IP 之一，例如 Mimecast 个人门户。

关键字

mimecast.MsgId

电子邮件的 Internet 消息 ID。

关键字

mimecast.MsgSize

电子邮件的总大小。

长整型

mimecast.RcptActType

接收后的操作。

关键字

mimecast.RcptHdrType

接收标头的类型。

关键字

mimecast.ReceiptAck

Mimecast 从接收邮件服务器接收到的接收确认消息。

关键字

mimecast.Recipient

原始邮件的收件人。

关键字

mimecast.ReplyMismatch

回复地址与发件人地址不符。

关键字

mimecast.Route

电子邮件路由。

关键字

mimecast.ScanResultInfo

阻止点击的原因。

关键字

mimecast.SenderDomainInternal

发件人域是注册的内部域。

关键字

mimecast.SimilarCustomExternalDomain

发件人域类似于自定义外部域列表。

关键字

mimecast.SimilarInternalDomain

发件人域类似于注册的内部域。

关键字

mimecast.SimilarMimecastExternalDomain

发件人域类似于 Mimecast 管理的域列表。

关键字

mimecast.Snt

已传递的数据量（以字节为单位）。

长整型

mimecast.SpamInfo

来自 Mimecast 垃圾邮件扫描仪的针对被发现为垃圾邮件的消息的信息。

关键字

mimecast.SpamLimit

为给定发件人和收件人定义的垃圾邮件限制。

长整型

mimecast.SpamProcessingDetail

DKIM、SPF、DMARC 的垃圾邮件处理详细信息。

扁平化的

mimecast.SpamScore

电子邮件获得的垃圾邮件得分。

长整型

mimecast.Subject

电子邮件的主题，限制为 150 个字符。

关键字

mimecast.TaggedExternal

该消息已被标记为来自外部源。

关键字

mimecast.TaggedMalicious

该消息已被标记为恶意。

关键字

mimecast.ThreatDictionary

检测到电子邮件的内容包含 Mimecast 威胁字典中的单词。

关键字

mimecast.UrlCategory

单击的 URL 的类别。

关键字

mimecast.Virus

电子邮件上发现的病毒名称（如果适用）。

关键字

mimecast.acc

您的帐户的 Mimecast 帐户代码。

关键字

mimecast.accountId

您的帐户的 Mimecast 帐户代码

关键字

mimecast.action

接收阶段采取的操作。接收日志：（Rej；Acc；Ign；Bnc），处理日志：（Acc；Hld；Bnc；Sdbx；Rty），冒充保护日志：（None；Hold），URL 保护日志：（Block）。

关键字

mimecast.aggregateId

允许您关联/分组相关事件的唯一标识符。

关键字

mimecast.analysis

发件人域类似于自定义外部域列表。

关键字

mimecast.attachments

电子邮件上所有附件的文件名

关键字

mimecast.blockReason

阻止点击的原因。（未知；检测到文件；干净；恶意；可疑）

关键字

mimecast.credentialTheft

有关凭证盗用的信息。

关键字

mimecast.customNameMatch

该消息已匹配自定义名称。真；假

关键字

mimecast.customThreatDictionary

检测到电子邮件的内容包含客户端自定义威胁字典中的单词。（真；假）

关键字

mimecast.customerIp

源 IP 是授权帐户 IP 之一，或属于 Umbrella 帐户的授权 IP 之一（如果该帐户使用 Umbrella 帐户）。

关键字

mimecast.delivered

* 电子邮件是否已成功传递。假；真

关键字

mimecast.delivery

尝试 Mimecast MTA 尝试传递电子邮件的次数。

关键字

mimecast.deliveryAttempts

关键字

mimecast.deliveryErrors

有关传递尝试中发生的任何错误的信息。

关键字

mimecast.deliveryTime

传递尝试所用的时间（以毫秒为单位）。

关键字

mimecast.destinationIp

传递尝试的目标 IP 地址。

关键字

mimecast.direction

基于发送和接收域的电子邮件方向。（入站；出站；内部；外部）

关键字

mimecast.emailSize

已传递的数据量（以字节为单位）。

关键字

mimecast.fileExtension

文件扩展名。

关键字

mimecast.fileName

文件名。

关键字

mimecast.holdReason

如果适用，电子邮件被保留以供审查（隔离）的原因。（Spm；Att；RcptLimit；Exp；Imp；Sbx；Oth；Url；Ctnt；Dpp；RBL；（缺席））

关键字

mimecast.internalUserName

检测到电子邮件来自内部用户名。（命中；未命中）

关键字

mimecast.ipNewDomain

对于受定向威胁保护：冒充保护约束的电子邮件，如果检测到电子邮件来自新域。

关键字

mimecast.ipReplyMismatch

对于受定向威胁保护：冒充保护约束的电子邮件，如果检测到电子邮件的回复地址不匹配。

关键字

mimecast.ipSimilarDomain

对于受定向威胁保护：冒充保护约束的电子邮件，如果检测到电子邮件来自与您注册为内部域的任何域相似的域。

关键字

mimecast.ipThreatDictionary

对于受定向威胁保护：冒充保护约束的电子邮件，如果检测到电子邮件的内容包含 Mimecast 威胁字典中的单词。

关键字

mimecast.ipUserName

对于受定向威胁保护：冒充保护约束的电子邮件，如果检测到电子邮件来自内部用户名。

关键字

mimecast.itemsDetected

为消息标记的项目数。

关键字

mimecast.log_type

用于获取 SIEM 日志类型的字符串。

关键字

mimecast.md5

MD5 哈希。

关键字

mimecast.messageId

电子邮件的 Internet 消息 ID。

关键字

mimecast.mimecastThreatDictionary

检测到电子邮件的内容包含 Mimecast 威胁字典中的单词。（真；假）

关键字

mimecast.monitoredDomainSource

基于 Mimecast 的启发式扫描技术，URL 匹配的来源

关键字

mimecast.msgid

电子邮件的 Internet 消息 ID。

关键字

mimecast.newDomain

检测到电子邮件来自新域（真；假）

关键字

mimecast.numberAttachments

电子邮件中的附件数量。

关键字

mimecast.policyDefinition

触发的策略定义。

关键字

mimecast.processingId

允许您关联/分组相关事件的唯一标识符。

关键字

mimecast.receiptErrors

有关接收过程中发生的任何错误的信息。

关键字

mimecast.recipients

电子邮件的收件人。

关键字

mimecast.rejectionCode

被接收邮件服务器拒绝的消息的拒绝代码。

关键字

mimecast.rejectionInfo

如果在接收阶段拒绝了电子邮件，则拒绝信息。

关键字

mimecast.rejectionType

被接收邮件服务器拒绝的消息的拒绝类型。

关键字

mimecast.replyMismatch

回复地址与发件人地址不符。（真；假）

关键字

mimecast.route

消息的路由。（入站；出站；内部；外部）

关键字

mimecast.scanResults

阻止点击的原因。

关键字

mimecast.senderDomain

发件人域。

关键字

mimecast.senderDomainInternal

发件人域是注册的内部域。

关键字

mimecast.senderEnvelope

电子邮件的发送者。

关键字

mimecast.senderHeader

在电子邮件的 from 标头中找到的发件人地址。

关键字

mimecast.senderIp

原始消息或发送邮件服务器的源 IP。

关键字

mimecast.sha1

SHA1 哈希。

关键字

mimecast.sha256

SHA256 哈希。

关键字

mimecast.similarCustomExternalDomain

发件人域类似于自定义外部域列表。（真；假）

关键字

mimecast.similarDomain

该域类似于注册的域。

关键字

mimecast.similarInternalDomain

发件人域类似于注册的内部域。（真；假）

关键字

mimecast.similarMimecastExternalDomain

发件人域类似于 Mimecast 管理的域列表。（真；假）

关键字

mimecast.similarMimecastExternalDomainResults

来自扫描仪的高级网络钓鱼检测结果

关键字

mimecast.sizeAttachment

恶意文件的大小（以字节为单位）。

关键字

mimecast.sourceIp

原始消息的源 IP。

关键字

mimecast.spamDetectionLevel

为给定发件人和收件人定义的检测级别。

关键字

mimecast.spamInfo

来自 Mimecast 垃圾邮件扫描仪的针对被发现为垃圾邮件的消息的信息。

关键字

mimecast.spamProcessingDetail

DKIM、SPF、DMARC 的垃圾邮件处理详细信息

关键字

mimecast.spamScore

衡量事件被视为垃圾邮件的可能性指标。

关键字

mimecast.subject

电子邮件的主题。

关键字

mimecast.subtype

关键字

mimecast.taggedExternal

该消息已被标记为来自外部源。（真；假）

关键字

mimecast.taggedMalicious

该消息已被标记为恶意。（真；假）

关键字

mimecast.timestamp

事件的日期和时间。

关键字

mimecast.tlsCipher

如果电子邮件是使用 TLS 传递或接收的，则使用的 TLS 密码。

关键字

mimecast.tlsUsed

消息是否使用 TLS 传递。（是；否）

关键字

mimecast.tlsVersion

如果电子邮件是使用 TLS 传递或接收的，则使用的 TLS 版本。

关键字

mimecast.totalSizeAttachments

电子邮件上所有附件的总大小。

关键字

mimecast.url

点击的 URL

关键字

mimecast.urlCategory

单击的 URL 的类别。

关键字

mimecast.virusFound

电子邮件上发现的病毒的名称或签名（如果适用）。

关键字

威胁情报源恶意软件：客户

编辑

这是 mimecast.threat_intel_malware_customer 数据集。这些日志包含关于在客户级别返回已识别恶意软件威胁的消息的信息。了解有关这些日志的更多信息。

示例

一个 threat_intel_malware_customer 的示例事件如下所示

{
    "@timestamp": "2024-11-18T16:08:27.231Z",
    "agent": {
        "ephemeral_id": "d1f430e4-51c4-4477-b0c8-c09935910589",
        "id": "2f4dbe4d-f9d3-4bb4-b16e-cc670095357a",
        "name": "elastic-agent-69346",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.threat_intel_malware_customer",
        "namespace": "60530",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "2f4dbe4d-f9d3-4bb4-b16e-cc670095357a",
        "snapshot": false,
        "version": "8.14.0"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "threat",
            "email",
            "malware"
        ],
        "dataset": "mimecast.threat_intel_malware_customer",
        "ingested": "2024-12-05T01:02:33Z",
        "kind": "enrichment",
        "original": "{\"created\":\"2024-11-18T16:08:27.231Z\",\"id\":\"indicator--dd9dd839-2362-4e60-9685-7d0b3b8e9497\",\"labels\":[\"malicious-activity\"],\"modified\":\"2024-11-18T16:08:27.231Z\",\"pattern\":\"[file:hashes.'SHA-256' = '275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f']\",\"type\":\"indicator\",\"valid_from\":\"2024-11-18T16:08:27.231Z\"}",
        "type": [
            "indicator"
        ]
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "id": "indicator--dd9dd839-2362-4e60-9685-7d0b3b8e9497",
        "labels": [
            "malicious-activity"
        ],
        "pattern": "[file:hashes.'SHA-256' = '275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f']",
        "type": "indicator"
    },
    "related": {
        "hash": [
            "275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f"
        ]
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-threat-intel-feed-malware-customer",
        "malicious-activity"
    ],
    "threat": {
        "indicator": {
            "file": {
                "hash": {
                    "sha256": "275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f"
                }
            },
            "first_seen": "2024-11-18T16:08:27.231Z",
            "modified_at": "2024-11-18T16:08:27.231Z",
            "type": "file"
        }
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.created

上次创建指示器的时间。

日期

mimecast.hashtype

哈希类型。

关键字

mimecast.id

指示器的 ID。

关键字

mimecast.labels

与指示器相关的标签。

关键字

mimecast.log_type

用于获取威胁情报源类型的字符串。

关键字

mimecast.modified

指示器上次修改的时间。

日期

mimecast.name

文件名。

关键字

mimecast.pattern

模式。

关键字

mimecast.relationship_type

关系类型。

关键字

mimecast.source_ref

参考来源。

关键字

mimecast.target_ref

参考目标。

关键字

mimecast.type

指示器类型，例如可以是 “domain, email, FileHash-SHA256”。

关键字

mimecast.valid_from

有效起始日期。

日期

mimecast.value

指示器的值。

关键字

威胁情报源恶意软件：网格

编辑

这是 mimecast.threat_intel_malware_grid 数据集。这些日志包含在区域网格级别返回已识别恶意软件威胁的消息信息。有关这些日志的更多信息。

示例

threat_intel_malware_grid 的示例事件如下所示

{
    "@timestamp": "2024-11-18T23:45:40.537Z",
    "agent": {
        "ephemeral_id": "5324b627-0cb0-4c9c-ade5-b381ee81af8f",
        "id": "e14a2fc5-d58b-4d98-a9ee-46df63eab758",
        "name": "elastic-agent-94233",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.threat_intel_malware_grid",
        "namespace": "50567",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "e14a2fc5-d58b-4d98-a9ee-46df63eab758",
        "snapshot": false,
        "version": "8.14.0"
    },
    "event": {
        "agent_id_status": "verified",
        "category": [
            "threat",
            "email",
            "malware"
        ],
        "dataset": "mimecast.threat_intel_malware_grid",
        "ingested": "2024-12-05T01:20:52Z",
        "kind": "enrichment",
        "original": "{\"created\":\"2024-11-18T23:45:40.537Z\",\"id\":\"indicator--9633476b-0235-41cb-b9fb-6cc48b15391f\",\"labels\":[\"malicious-activity\"],\"modified\":\"2024-11-18T23:45:40.537Z\",\"pattern\":\"[file:hashes.'SHA-256' = '838c3483b20a3f81a199c49e7dc30b39d8d23a9810608f2bb7bb5ca059d42a72']\",\"type\":\"indicator\",\"valid_from\":\"2024-11-18T23:45:40.537Z\"}",
        "type": [
            "indicator"
        ]
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "id": "indicator--9633476b-0235-41cb-b9fb-6cc48b15391f",
        "labels": [
            "malicious-activity"
        ],
        "pattern": "[file:hashes.'SHA-256' = '838c3483b20a3f81a199c49e7dc30b39d8d23a9810608f2bb7bb5ca059d42a72']",
        "type": "indicator"
    },
    "related": {
        "hash": [
            "838c3483b20a3f81a199c49e7dc30b39d8d23a9810608f2bb7bb5ca059d42a72"
        ]
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-threat-intel-feed-malware-grid",
        "malicious-activity"
    ],
    "threat": {
        "indicator": {
            "file": {
                "hash": {
                    "sha256": "838c3483b20a3f81a199c49e7dc30b39d8d23a9810608f2bb7bb5ca059d42a72"
                }
            },
            "first_seen": "2024-11-18T23:45:40.537Z",
            "modified_at": "2024-11-18T23:45:40.537Z",
            "type": "file"
        }
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.created

上次创建指示器的时间。

日期

mimecast.hashtype

哈希类型。

关键字

mimecast.id

指示器的 ID。

关键字

mimecast.labels

与指示器相关的标签。

关键字

mimecast.log_type

用于获取威胁情报源类型的字符串。

关键字

mimecast.modified

指示器上次修改的时间。

日期

mimecast.name

文件名。

关键字

mimecast.pattern

模式。

关键字

mimecast.relationship_type

关系类型。

关键字

mimecast.source_ref

参考来源。

关键字

mimecast.target_ref

参考目标。

关键字

mimecast.type

指示器类型，例如可以是 “domain, email, FileHash-SHA256”。

关键字

mimecast.valid_from

有效起始日期。

日期

mimecast.value

指示器的值。

关键字

TTP 附件日志

编辑

这是 mimecast.ttp_ap_logs 数据集。这些日志包含 Mimecast TTP 附件保护日志，其中包含以下详细信息：附件分析结果（是否为恶意等）、文件发布日期、发送者和接收者地址、文件名和类型、附件触发的操作、包含附件的原始电子邮件的路由以及详细信息。了解更多关于这些日志的信息。

示例

ttp_ap 的示例事件如下所示

{
    "@timestamp": "2024-11-17T00:52:30.000Z",
    "agent": {
        "ephemeral_id": "10879bb9-44da-4174-a9f3-9c7a620c6a1b",
        "id": "e12e39dc-5a8b-4aef-864e-fe617a5507e2",
        "name": "elastic-agent-80555",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.ttp_ap_logs",
        "namespace": "21632",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "e12e39dc-5a8b-4aef-864e-fe617a5507e2",
        "snapshot": false,
        "version": "8.14.0"
    },
    "email": {
        "attachments": {
            "file": {
                "extension": "xlsx",
                "hash": {
                    "sha256": "168dde02cf41aed3bf31ad831b75d8ee0b738304baa6957c40e29b2487f15116"
                },
                "mime_type": "application/vnd.openxmlformats-officedocument.spreadsheetml.sheet",
                "name": "Sandbox Test.xlsx"
            }
        },
        "direction": "internal",
        "from": {
            "address": [
                "[email protected]"
            ]
        },
        "message_id": "<[email protected]>",
        "subject": "RE",
        "to": {
            "address": [
                "[email protected]"
            ]
        }
    },
    "event": {
        "action": "none",
        "agent_id_status": "verified",
        "category": [
            "email"
        ],
        "created": "2024-11-17T00:52:30+0000",
        "dataset": "mimecast.ttp_ap_logs",
        "ingested": "2024-12-05T01:08:12Z",
        "original": "{\"actionTriggered\":\"none\",\"date\":\"2024-11-17T00:52:30+0000\",\"definition\":\"Default Internal Attachment Protect Definition\",\"details\":\"Malicious                                         \\r\\nTime taken: 0 hrs, 0 min, 1 sec\",\"fileHash\":\"168dde02cf41aed3bf31ad831b75d8ee0b738304baa6957c40e29b2487f15116\",\"fileName\":\"Sandbox Test.xlsx\",\"fileType\":\"application/vnd.openxmlformats-officedocument.spreadsheetml.sheet\",\"messageId\":\"\\[email protected]\\u003e\",\"recipientAddress\":\"[email protected]\",\"result\":\"malicious\",\"route\":\"internal\",\"senderAddress\":\"[email protected]\",\"subject\":\"RE\"}"
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "details": "Malicious                                         \r\nTime taken: 0 hrs, 0 min, 1 sec",
        "result": "malicious"
    },
    "related": {
        "hash": [
            "168dde02cf41aed3bf31ad831b75d8ee0b738304baa6957c40e29b2487f15116"
        ]
    },
    "rule": {
        "name": "Default Internal Attachment Protect Definition"
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-ttp-ap"
    ]
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.actionTriggered

为附件触发的操作。

关键字

mimecast.definition

定义。

关键字

mimecast.details

附件沙箱处理的详细输出。

关键字

mimecast.fileHash

附件的哈希值。

关键字

mimecast.fileName

原始附件的文件名。

关键字

mimecast.fileType

附件的文件类型。

关键字

mimecast.messageId

电子邮件的 Internet 消息 ID。

关键字

mimecast.recipientAddress

接收附件的用户的地址。

关键字

mimecast.result

附件分析的结果 - 清理、恶意、未知或超时。

关键字

mimecast.route

包含附件的原始电子邮件的路由，可以是 inbound、outbound、internal 或 external。

关键字

mimecast.senderAddress

附件的发送者。

关键字

mimecast.subject

电子邮件的主题。

关键字

TTP 冒充日志

编辑

这是 mimecast.ttp_ip_logs 数据集。这些日志包含有关包含由冒充保护配置标记的信息的消息。了解更多关于 [这些日志] (https://integrations.mimecast.com/documentation/endpoint-reference/logs-and-statistics/get-ttp-impersonation-protect-logs/)。

示例

ttp_ip 的示例事件如下所示

{
    "@timestamp": "2021-11-12T15:27:14.000Z",
    "agent": {
        "ephemeral_id": "7b14936f-f3a2-4c0d-84ca-343382ff527a",
        "id": "628d55fb-6e16-49d4-a0ba-b6db1b4d2281",
        "name": "elastic-agent-89042",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.ttp_ip_logs",
        "namespace": "61588",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "628d55fb-6e16-49d4-a0ba-b6db1b4d2281",
        "snapshot": false,
        "version": "8.14.0"
    },
    "email": {
        "from": {
            "address": [
                "[email protected]"
            ]
        },
        "message_id": "<2-MN2PR16MB2719879CA4DB60C265F7FD8FB0959@MN2PR16MB2719.namprd16.example.outlook.com>",
        "subject": "Don't read, just fill out!",
        "to": {
            "address": [
                "[email protected]"
            ]
        }
    },
    "event": {
        "action": "none",
        "agent_id_status": "verified",
        "category": [
            "email"
        ],
        "created": "2021-11-12T15:27:14+0000",
        "dataset": "mimecast.ttp_ip_logs",
        "id": "MTOKEN:eNqrVkouLS7Jz00tSs5PSVWyUnI2MXM0N1XSUcpMUbIyMjM3MzCw0FEqSy0qzszPU7Iy1FEqyQMrNDAwV6oFAGP7Ehc",
        "ingested": "2024-12-05T01:13:21Z",
        "original": "{\"action\":\"none\",\"definition\":\"IP - 1 hit (Tag email)\",\"eventTime\":\"2021-11-12T15:27:14+0000\",\"hits\":1,\"id\":\"MTOKEN:eNqrVkouLS7Jz00tSs5PSVWyUnI2MXM0N1XSUcpMUbIyMjM3MzCw0FEqSy0qzszPU7Iy1FEqyQMrNDAwV6oFAGP7Ehc\",\"identifiers\":[\"internal_user_name\"],\"impersonationResults\":[{\"checkerResult\":\"hit\",\"impersonationDomainSource\":\"internal_user_name\",\"similarDomain\":\"John Doe \\[email protected]\\u003e\",\"stringSimilarToDomain\":\"John Doe\"}],\"messageId\":\"\\u003c2-MN2PR16MB2719879CA4DB60C265F7FD8FB0959@MN2PR16MB2719.namprd16.example.outlook.com\\u003e\",\"recipientAddress\":\"[email protected]\",\"senderAddress\":\"[email protected]\",\"senderIpAddress\":\"8.8.8.8\",\"subject\":\"Don't read, just fill out!\",\"taggedExternal\":false,\"taggedMalicious\":true}"
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "hits": 1,
        "identifiers": [
            "internal_user_name"
        ],
        "impersonationResults": [
            {
                "checkerResult": "hit",
                "impersonationDomainSource": "internal_user_name",
                "similarDomain": "John Doe <[email protected]>",
                "stringSimilarToDomain": "John Doe"
            }
        ],
        "taggedExternal": false,
        "taggedMalicious": true
    },
    "related": {
        "ip": [
            "8.8.8.8"
        ]
    },
    "rule": {
        "name": "IP - 1 hit (Tag email)"
    },
    "source": {
        "ip": "8.8.8.8"
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-ttp-ip"
    ]
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.action

电子邮件触发的操作。

关键字

mimecast.definition

触发日志的策略定义的名称。

关键字

mimecast.hits

消息触发的标识符数量。

长整型

mimecast.id

可用于再次检索此日志的令牌。

关键字

mimecast.identifiers

触发操作的消息的属性 - similar_internal_domain、newly_observed_domain、internal_user_name、reply_address_mismatch 和/或 targeted_threat_dictionary。

关键字

mimecast.impersonationResults.checkerResult

结果检查器。

关键字

mimecast.impersonationResults.impersonationDomainSource

冒充域源。

关键字

mimecast.impersonationResults.similarDomain

相似域。

关键字

mimecast.impersonationResults.stringSimilarToDomain

与 Mimecast 配置中的已知值可疑地相似的字符串。多个触发器将以逗号分隔。

关键字

mimecast.messageId

已识别消息的消息 ID。

关键字

mimecast.recipientAddress

电子邮件接收者的电子邮件地址。

关键字

mimecast.senderAddress

消息发送者的电子邮件地址。

关键字

mimecast.senderIpAddress

消息的源 IP 地址。

关键字

mimecast.subject

电子邮件的主题。

关键字

mimecast.taggedExternal

消息是否被标记为来自外部地址。

布尔值

mimecast.taggedMalicious

消息是否被标记为恶意。

布尔值

TTP URL 日志

编辑

这是 mimecast.ttp_url_logs 数据集。这些日志包含 Mimecast TTP 附件保护日志，其中包含以下详细信息：点击的 URL 类别、点击链接的用户的电子邮件地址、点击的 URL、如果应用了用户意识则用户采取的操作、包含链接的电子邮件的路由、管理员为 URL 定义的操作、点击 URL 的日期、URL 扫描结果、点击所采取的操作、触发 Mimecast 重写 URL 的定义的描述、用户请求的操作、在其中发现 URL 的消息组件数组。有关这些日志的更多信息。

示例

ttp_url 的示例事件如下所示

{
    "@timestamp": "2024-11-13T13:03:11.000Z",
    "agent": {
        "ephemeral_id": "675bf199-2969-46bf-a9c1-8f880acc18f4",
        "id": "d0b37a9a-11c1-4a25-898d-0ddb211b9fd2",
        "name": "elastic-agent-71893",
        "type": "filebeat",
        "version": "8.14.0"
    },
    "data_stream": {
        "dataset": "mimecast.ttp_url_logs",
        "namespace": "65054",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "d0b37a9a-11c1-4a25-898d-0ddb211b9fd2",
        "snapshot": false,
        "version": "8.14.0"
    },
    "email": {
        "direction": "inbound",
        "from": {
            "address": [
                "[email protected]"
            ]
        },
        "message_id": "<[email protected]>",
        "subject": "Re",
        "to": {
            "address": [
                "[email protected]"
            ]
        }
    },
    "event": {
        "action": "N/A",
        "agent_id_status": "verified",
        "category": [
            "email"
        ],
        "created": "2024-11-13T13:03:11+0000",
        "dataset": "mimecast.ttp_url_logs",
        "ingested": "2024-12-05T01:17:02Z",
        "original": "{\"action\":\"warn\",\"actions\":\"Block\",\"adminOverride\":\"N/A\",\"category\":\"Dangerous file extension\",\"creationMethod\":\"Entry Scan\",\"date\":\"2024-11-13T13:03:11+0000\",\"emailPartsDescription\":[\"Attachment\"],\"fromUserEmailAddress\":\"[email protected]\",\"messageId\":\"\\[email protected]\\u003e\",\"route\":\"inbound\",\"scanResult\":\"malicious\",\"sendingIp\":\"54.243.138.179\",\"subject\":\"Re\",\"tagMap\":{\"DangerousFileExt\":{\"ContentCheck:ContentScannersBlocked\":[\".exe\"],\"ContentCheck:DangerousExtsUrlFileDownload\":[\"dll\"],\"ContentCheck:DangerousMimetypesUrlFileDownload\":[\"application/x-msdownload\"],\"Inspect:FileExts\":[\"[exe]\"],\"Inspect:MimeTypes\":[\"[]\"],\"Status\":[\"CustomerSpecific\",\"VerdictBlock\"]}},\"ttpDefinition\":\"Default Inbound URL Protect Definition\",\"url\":\"https://oneclient.sfx.ms/Win/Preview/OneDriveSetup.exe\",\"userAwarenessAction\":\"N/A\",\"userEmailAddress\":\"[email protected]\",\"userOverride\":\"None\"}"
    },
    "input": {
        "type": "cel"
    },
    "mimecast": {
        "action": "warn",
        "actions": "Block",
        "adminOverride": "N/A",
        "category": "Dangerous file extension",
        "creationMethod": "Entry Scan",
        "emailPartsDescription": [
            "Attachment"
        ],
        "scanResult": "malicious",
        "tagMap": {
            "DangerousFileExt": {
                "ContentCheck_ContentScannersBlocked": [
                    ".exe"
                ],
                "ContentCheck_DangerousExtsUrlFileDownload": [
                    "dll"
                ],
                "ContentCheck_DangerousMimetypesUrlFileDownload": [
                    "application/x-msdownload"
                ],
                "Inspect_FileExts": [
                    "[exe]"
                ],
                "Inspect_MimeTypes": [
                    "[]"
                ],
                "Status": [
                    "CustomerSpecific",
                    "VerdictBlock"
                ]
            }
        },
        "userOverride": "None"
    },
    "related": {
        "ip": [
            "54.243.138.179"
        ],
        "user": [
            "[email protected]",
            "[email protected]"
        ]
    },
    "rule": {
        "name": "Default Inbound URL Protect Definition"
    },
    "source": {
        "ip": "54.243.138.179"
    },
    "tags": [
        "preserve_original_event",
        "forwarded",
        "mimecast-ttp-url"
    ],
    "url": {
        "domain": "oneclient.sfx.ms",
        "extension": "exe",
        "original": "https://oneclient.sfx.ms/Win/Preview/OneDriveSetup.exe",
        "path": "/Win/Preview/OneDriveSetup.exe",
        "scheme": "https"
    },
    "user": {
        "email": [
            "[email protected]"
        ]
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

cloud.image.id

云实例的镜像 ID。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

host.containerized

如果主机是容器。

布尔值

host.os.build

操作系统版本信息。

关键字

host.os.codename

操作系统代号（如果有）。

关键字

input.type

输入类型

关键字

log.offset

日志偏移量

长整型

mimecast.action

点击所采取的操作。

关键字

mimecast.actions

已采取的操作。

关键字

mimecast.adminOverride

管理员为 URL 定义的操作。

关键字

mimecast.category

点击的 URL 类别。

关键字

mimecast.creationMethod

事件发生方式的描述。

关键字

mimecast.emailPartsDescription

在其中发现 URL 的消息组件数组。

关键字

mimecast.fromUserEmailAddress

触发事件的用户的电子邮件。

关键字

mimecast.messageId

消息的消息 ID 值。

关键字

mimecast.route

包含链接的电子邮件的路由。

关键字

mimecast.scanResult

URL 扫描的结果。

关键字

mimecast.sendingIp

触发事件的用户的 IP。

关键字

mimecast.subject

电子邮件的主题。

关键字

mimecast.tagMap.DangerousFileExt.ContentCheck_ContentScannersBlocked

关键字

mimecast.tagMap.DangerousFileExt.ContentCheck_DangerousExtsUrlFileDownload

关键字

mimecast.tagMap.DangerousFileExt.ContentCheck_DangerousMimetypesUrlFileDownload

关键字

mimecast.tagMap.DangerousFileExt.Inspect_FileExts

关键字

mimecast.tagMap.DangerousFileExt.Inspect_MimeTypes

关键字

mimecast.tagMap.DangerousFileExt.Status

关键字

mimecast.tagMap.UrlReputationScan.Status

关键字

mimecast.tagMap.UrlReputationScan.Type

关键字

mimecast.tagMap.UrlReputationScan.Url

关键字

mimecast.tagMap.UrlReputationScan.UrlBlock

关键字

mimecast.ttpDefinition

触发 Mimecast 重写 URL 的定义的描述。

关键字

mimecast.url

点击的 URL。

关键字

mimecast.userAwarenessAction

如果应用了用户意识，则用户采取的操作。

关键字

mimecast.userEmailAddress

点击链接的用户的电子邮件地址。

关键字

mimecast.userOverride

用户请求的操作。

关键字

更新日志

编辑
更新日志
版本 详细信息 Kibana 版本

2.4.1

错误修复 (查看拉取请求)
删除无效的删除处理器。

8.15.0 或更高版本

2.4.0

增强 (查看拉取请求)
不要在主摄取管道中删除 event.original。

8.15.0 或更高版本

2.3.0

增强 (查看拉取请求)
添加 cloud_integrated_logs 数据流。

8.15.0 或更高版本

2.2.0

增强 (查看拉取请求)
向 event.kind 设置为 “pipeline_error” 的文档添加 “preserve_original_event” 标签。

8.15.0 或更高版本

2.1.0

增强 (查看拉取请求)
为 siem_logs 添加 v2 API 客户端。

8.15.0 或更高版本

2.0.0

重大更改 (查看拉取请求)
将消息发布日志数据流迁移到 Mimecast v2 API。

增强 (查看拉取请求)
为 archive_search_logs、audit_events、dlp_logs、threat_intel_malware_customer、threat_intel_malware_grid、ttp_ap_logs、ttp_ip_logs 和 ttp_url_logs 添加 v2 API 客户端。

8.14.0 或更高版本

1.27.4

错误修复 (查看拉取请求)
修复具有短时区 ID 的时间值的处理。

8.14.0 或更高版本

1.27.3

错误修复 (查看拉取请求)
修复 “logon-authentication-failed” 事件的解析。

8.14.0 或更高版本

1.27.2

错误修复 (查看拉取请求)
在引用摄取管道中的变量时使用三括号 Mustache 模板。

8.14.0 或更高版本

1.27.1

错误修复 (查看拉取请求)
在引用摄取管道中的变量时使用三括号 Mustache 模板。

8.14.0 或更高版本

1.27.0

增强 (查看拉取请求)
添加对消息发布日志的支持。

8.14.0 或更高版本

1.26.1

错误修复 (查看拉取请求)
修复处理带引号名称中带有逗号的电子邮件地址的问题。

8.13.0 或更高版本

1.26.0

增强 (查看拉取请求)
将 kibana 约束更新为 ^8.13.0。修改了字段定义，以删除由 ecs@mappings 组件模板引起的冗余 ECS 字段。

8.13.0 或更高版本

1.25.0

增强 (查看拉取请求)
改进对空响应的处理。

8.12.0 或更高版本

1.24.0

增强 (查看拉取请求)
记录处理阶段并改进文档指纹识别。

8.12.0 或更高版本

1.23.0

增强 (查看拉取请求)
将敏感值设置为机密。

8.12.0 或更高版本

1.22.1

增强 (查看拉取请求)
更改了所有者

8.7.1 或更高版本

1.22.0

增强 (查看拉取请求)
将请求跟踪器日志计数限制为 5 个。

8.7.1 或更高版本

1.21.0

增强 (查看拉取请求)
ECS 版本更新为 8.11.0。

8.7.1 或更高版本

1.20.0

增强 (查看拉取请求)
改进 event.original 检查，以避免在设置时发生错误。

8.7.1 或更高版本

1.19.0

增强 (查看拉取请求)
设置 partner 所有者类型。

8.7.1 或更高版本

1.18.0

增强 (查看拉取请求)
ECS 版本更新为 8.10.0。

8.7.1 或更高版本

1.17.0

增强 (查看拉取请求)
软件包清单中的 format_version 从 2.11.0 更改为 3.0.0。从软件包清单中删除了带点的 YAML 键。向软件包清单添加了 owner.type: elastic。

8.7.1 或更高版本

1.16.0

增强 (查看拉取请求)
添加 tags.yml 文件，以便将集成的仪表板和已保存的搜索标记为“安全解决方案”，并在安全解决方案 UI 中显示。

8.7.1 或更高版本

1.15.0

增强 (查看拉取请求)
添加对存档搜索日志的支持

8.7.1 或更高版本

1.14.0

增强 (查看拉取请求)
将软件包更新到 ECS 8.9.0。

8.7.1 或更高版本

1.13.0

增强 (查看拉取请求)
将 package-spec 更新到 2.9.0。

8.7.1 或更高版本

1.12.0

增强 (查看拉取请求)
记录有效的持续时间单位。

8.7.1 或更高版本

1.11.0

增强 (查看拉取请求)
确保为管道错误正确设置 event.kind。

8.7.1 或更高版本

1.10.0

增强 (查看拉取请求)
将软件包更新到 ECS 8.8.0。

8.7.1 或更高版本

1.9.1

错误修复 (查看拉取请求)
修复 Logon Authentication Failed 审计事件的解析。

8.7.1 或更高版本

1.9.0

增强 (查看拉取请求)
更改请求跟踪文件名

8.7.1 或更高版本

1.8.1

错误修复 (查看拉取请求)
检查 ttp URL 源 IP 值的类型一致性。

8.5.0 或更高版本

1.8.0

增强 (查看拉取请求)
添加切换以启用请求跟踪。

8.5.0 或更高版本

1.7.0

增强 (查看拉取请求)
将软件包更新到 ECS 8.7.0。

8.3.0 或更高版本

1.6.5

增强 (查看拉取请求)
添加了类别和/或子类别。

8.3.0 或更高版本

1.6.4

错误修复 (查看拉取请求)
将 mimecast.SpamProcessingDetail 定义为扁平化的。

8.3.0 或更高版本

1.6.3

错误修复 (查看拉取请求)
为事件添加指纹，以防止重复文档摄取。

8.3.0 或更高版本

1.6.2

错误修复 (查看拉取请求)
修复 mimecast 模板配置

8.3.0 或更高版本

1.6.1

错误修复 (查看拉取请求)
删除数据流中的空事件集。

8.3.0 或更高版本

1.6.0

增强 (查看拉取请求)
根据其 ID 为审计事件添加指纹。

8.3.0 或更高版本

1.5.0

增强 (查看拉取请求)
将软件包更新到 ECS 8.6.0。

8.3.0 或更高版本

1.4.3

错误修复 (查看拉取请求)
修复多个数据流中 httpjson 输入中的时区格式

8.3.0 或更高版本

1.4.2

增强 (查看拉取请求)
将仪表板中的可视化迁移到按值，以最大限度地减少已保存对象的混乱并缩短加载时间

8.3.0 或更高版本

1.4.1

错误修复 (查看拉取请求)
删除重复字段。

8.3.0 或更高版本

1.4.0

增强 (查看拉取请求)
将软件包更新到 ECS 8.5.0。

8.3.0 或更高版本

1.3.0

增强 (查看拉取请求)
将软件包更新到 ECS 8.4.0

8.3.0 或更高版本

1.2.1

错误修复 (查看拉取请求)
修复 SIEM 日志的压缩。

8.3.0 或更高版本

1.2.0

增强 (查看拉取请求)
更新类别以包括 threat_intel。

8.3.0 或更高版本

1.1.2

增强 (查看拉取请求)
整理自述文件中的 Markdown 语法。

8.3.0 或更高版本

1.1.1

增强 (查看拉取请求)
更新软件包名称和描述以与标准措辞保持一致

8.3.0 或更高版本

1.1.0

增强 (查看拉取请求)
将软件包更新到 ECS 8.3.0。

8.3.0 或更高版本

1.0.0

增强 (查看拉取请求)
为 SIEM 事件提供 ga 和 zip 支持。

增强 (查看拉取请求)
将身份验证变量移动到公共清单。

8.3.0 或更高版本

0.0.12

增强 (查看拉取请求)
为解析审计事件添加更多用例。

—

0.0.11

增强 (查看拉取请求)
更新集成描述，使其与其他集成保持一致。

错误修复 (查看拉取请求)
添加缺失的 ECS event.* 字段映射。

—

0.0.10

增强 (查看拉取请求)
向 audit_events 管道添加更多用例

增强 (查看拉取请求)
为 siem 日志实现 geo.ip

增强 (查看拉取请求)
删除 ttp-url 日志的用户部分，并为收件人添加 email.to.address

—

0.0.9

增强 (查看拉取请求)
将 ecs 更新到 8.2.0 版本，并为电子邮件 ECS 字段实施更好的实践。

—

0.0.8

增强 (查看拉取请求)
添加多字段的文档

—

0.0.7

错误修复 (查看拉取请求)
将 content-disposition 添加到测试模拟中，以便从 SIEM 日志正确创建示例事件。

—

0.0.6

增强 (查看拉取请求)
为审计事件添加用例，并更新示例事件和文档

—

0.0.5

错误修复 (查看拉取请求)
修复拼写错误

错误修复 (查看拉取请求)
添加 8.0.0 兼容性，修复清单中的团队名称，并从管道中删除冗余的 event.ingested。

—

0.0.4

错误修复 (查看拉取请求)
使用新的 GeoIP 数据库重新生成测试文件

—

0.0.3

错误修复 (查看拉取请求)
将测试公共 IP 更改为受支持的子集

—

0.0.2

增强 (查看拉取请求)
调整仪表板

—

0.0.1

增强 (查看拉取请求)
软件包的初始草案

—
« Microsoft SQL Server 集成 Modsecurity 集成 »