Mimecast

本文档提供了有关如何将 Mimecast 与 Google SecOps 集成的指南。

使用场景

  1. 执行消息提取
  2. 执行分类操作（拒绝/释放/举报邮件）

准备工作

在继续操作之前，请确保您的 Mimecast 环境已准备好必要的产品许可和管理角色。

所需的 Mimecast 产品和服务

为确保 Mimecast API 2.0 集成正常运行，您的 Mimecast 账号必须拥有以下产品的许可：

Mimecast 角色所需的权限

如需配置 Mimecast 集成，您必须先在 Mimecast 管理控制台中创建具有所需权限的 Mimecast 角色。

所需权限如下：

  • Account | Dashboard | Read

  • Account | Monitoring | Held | Edit

  • Archive | Search Logs | Read

  • Archive | View Logs | Read

  • Gateway | Managed Senders | Edit

  • Gateway | Policies | Edit

  • Gateway | Policies | Read

  • Gateway | Tracking | Read

在 Google SecOps 中配置 Mimecast 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https:/<<api root>> 是 Mimecast 实例的 API 根。
应用 ID 字符串 不适用 是 Mimecast 实例的应用 ID。
应用密钥 密码 不适用 是 Mimecast 实例的应用密钥。
访问密钥 密码 不适用 是 Mimecast 实例的访问密钥。
密钥 密码 不适用 是 Mimecast 实例的密钥。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 Mimecast 服务器连接的 SSL 证书是否有效。

操作

Ping

说明

使用 Google SecOps Content Hub 页面中的集成配置页面上提供的参数，测试与 Mimecast 的连接。

参数

不适用

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：“已使用提供的连接参数成功连接到 Mimecast 服务器！”

如果操作失败，应停止执行 playbook：
如果未成功：“无法连接到 Mimecast 服务器！错误为 {0}”。format(exception.stacktrace)

 常规

说明

在 Mimecast 中使用定义的参数搜索归档邮件。

参数

参数显示名称 类型 默认值 为必填项 说明
要返回的字段 CSV

attachmentcount,status,subject,
size,receiveddate,displayfrom,
displayfromaddress,id,displayto,
displaytoaddresslist,smash

 是 指定需要返回的字段的逗号分隔列表。
邮箱 CSV 不适用 否 指定需要搜索的邮箱逗号分隔列表。
发件人 CSV 不适用 否 指定以逗号分隔列表形式提供的电子邮件地址，这些地址是电子邮件的发件人。
收件人 CSV 不适用 否 指定以英文逗号分隔的电子邮件地址列表，这些地址是电子邮件的发送目标。
主题 字符串 不适用 否 指定需要搜索的主题。
时间范围 DDL

过去 1 小时

可能的值：

过去 1 小时

过去 6 小时

过去 24 小时

上周

上个月

自定义

 是 指定搜索的时间范围。如果选择“自定义”，您还需要提供“开始时间”。
开始时间 字符串 不适用 否 指定搜索的开始时间。如果为“时间范围”参数选择了“自定义”，则此参数是必需的。格式：ISO 8601
结束时间 字符串 不适用 否 指定搜索的结束时间。格式：ISO 8601。如果未提供任何内容，并且为“时间范围”参数选择了“自定义”，则此参数将使用当前时间。
返回的电子邮件数量上限 集成 50 否 指定要返回的电子邮件数量。默认值：50。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果有可用数据(is_success = true)：“已成功在 Mimecast 中找到符合所提供条件的归档电子邮件”。

如果数据不可用 (is_success=true)：“在 Mimecast 中未找到符合所提供条件的归档电子邮件”



如果发生致命错误（例如凭据错误、无法连接到服务器等），操作应失败并停止 Playbook 执行：
“执行操作‘简单归档搜索’时出错。Reason: {0}''.format(error.Stacktrace)

如果“开始时间”为空，且“时间范围”为“自定义”：“执行操作‘简单归档搜索’时出错。原因：在“时间范围”参数中选择“自定义”时，应提供“开始时间”。

如果 fail/errors 有值：执行“简单归档搜索”操作时出错。Reason: fail/errors/message"。

 常规
案例墙表格

名称：结果

列：

回答中的所有键

 常规

说明

在 Mimecast 中使用自定义 XML 查询搜索归档邮件。

参数

参数显示名称 类型 默认值 为必填项 说明
XML 查询 XML 不适用 是 指定在搜索归档电子邮件时应使用的 XML 查询。如需了解详情，请参阅相关文档。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果有可用数据(is_success = true)：“已成功在 Mimecast 中找到符合所提供条件的归档电子邮件”。

如果数据不可用 (is_success=true)：“No archive emails were found for the provided criteria in Mimecast”（在 Mimecast 中未找到符合所提供条件的归档电子邮件）。

操作应失败并停止执行 playbook：
如果出现严重错误，例如凭据错误、无法连接到服务器等：“Error executing action "Advanced Archive Search"（执行操作“高级归档搜索”时出错）。Reason: {0}''.format(error.Stacktrace)

如果 fail/errors 有值：执行“高级归档搜索”操作时出错。Reason: fail/errors/message"。

 常规
案例墙表格

名称：结果

列：

回答中的所有键

 常规

拒绝邮件

说明

在 Mimecast 中拒绝邮件。 注意：只有状态为“已保留”的消息才能被拒绝。

参数

参数显示名称 类型 默认值 为必填项 说明
邮件 ID 字符串 不适用 是 指定需要拒绝的消息的 ID。
注意 字符串 不适用 否 指定一条额外备注，其中包含有关邮件被拒原因的说明。
原因 DLL

选择一项

可能的值：

选择一项

不当沟通

机密信息

违反电子邮件政策

受限内容

 否 指定拒绝原因。
通知发件人 复选框 尚未核查 否 如果启用，此操作会向发件人发送拒绝通知。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果响应中没有“errors”（is_success = true）：“Successfully rejected message with ID "{ID}" in Mimecast”。

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止执行 playbook：
“执行‘拒绝消息’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果失败/错误有值：执行“拒绝邮件”操作时出错。Reason: fail/errors/message"。

 常规

发布消息

说明

在 Mimecast 中释放邮件。 注意：只有状态为“已保留”的消息才能释放。

参数

参数显示名称 类型 默认值 为必填项 说明
邮件 ID 字符串 不适用 是 指定需要释放的消息的 ID。
发布到沙盒 复选框 不适用 否 如果启用，此操作会将邮件释放到沙盒。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果响应中没有“错误”（is_success = true）：“已成功在 Mimecast 中释放 ID 为‘{ID}’的消息”。

该操作应失败并停止 playbook 执行：
如果出现严重错误，例如凭据错误、无法连接到服务器、其他：“执行‘释放消息’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果失败/错误有值：执行“释放邮件”操作时出错。Reason: fail/errors/message"。

 常规

举报消息 - 已弃用

在 Mimecast 中举报邮件。

操作输入

参数 说明
Message IDs

必填。

指定需要举报的消息的 ID。
Report as

可选。

指定消息的报告类型。

可能的值如下：

  • Spam
  • Malware
  • Phishing
Comment

可选。

指定报告的注释。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False/is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

  • 如果数据可用 (is\_success = true)：输出“已成功在 Mimecast 中报告 ID 为‘{ID}’的以下邮件”。
  • 如果 fail/errors 有值：输出“Error executing action 'Report Message'。Reason: fail/errors/message"。

操作应失败并停止 playbook 执行：

  • 如果发生严重错误，例如凭据错误、无法连接到服务器等：输出“Error executing action "Report Message". Reason: {0}''.format(error.Stacktrace).
 常规

屏蔽发件人

说明

在 Mimecast 中屏蔽发件人。

参数

参数显示名称 类型 默认值 为必填项 说明
发件人 字符串 不适用 是 指定要屏蔽的发件人的邮箱。
收件人 字符串 不适用 是 指定要屏蔽的收件人的邮箱。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果响应中没有“errors”（is_success = true）：“已成功在 Mimecast 中为收件人 {recipient} 屏蔽发件人 {sender}”。

如果发生严重错误（例如凭据错误、无法连接到服务器等），操作应失败并停止执行 playbook：
“执行‘屏蔽发件人’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果失败/错误有值：执行“屏蔽发件人”操作时出错。Reason: fail/errors/message"。

 常规

允许发件人

说明

在 Mimecast 中允许发件人。

参数

参数显示名称 类型 默认值 为必填项 说明
发件人 字符串 不适用 是 指定要允许的发件人的邮箱。
收件人 字符串 不适用 是 指定要允许的收件人的邮箱。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果响应中没有“errors”（is_success = true）：“已成功在 Mimecast 中为收件人 {recipient} 允许发件人 {sender}”。

如果发生致命错误（例如凭据错误、无法连接到服务器等），操作应失败并停止执行 playbook：
“执行‘允许发件人’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果失败/错误有值：执行“允许发件人”操作时出错。Reason: fail/errors/message"。

 常规

创建发件人屏蔽政策

在 Mimecast 中创建屏蔽发件人政策。

运行时间

此操作不会在任何实体上运行。

参数

参数显示名称 类型 默认值 水印 为必填项 说明
响应 DDL 不适用 不适用 否 提供将与所创建政策关联的响应类型。
说明 字符串 不适用 不适用 是 政策说明。
已提取的数据 DDL 不适用 不适用 定义应从何处提取发件人和收件人的相关信息。
发件人 字符串 不适用 不适用 否 要屏蔽的消息的发件人。仅当“发件人类型”为以下类型之一时才需要：电子邮件域名、电子邮件地址、标头显示名称。如果选择了其他“来源类型”值，则系统会忽略此参数。
发件人类型 DDL 不适用 不适用 否 政策的发件人类型。
收件人 字符串 不适用 不适用 否 消息发送给谁时应被屏蔽。仅当“收件人类型”为以下类型之一时才需要：电子邮件域名、电子邮件地址、标头显示名称。 如果选择了其他“收件人类型”值，则系统会忽略此参数。
接收者类型 DDL 不适用 不适用 否 政策的接收者类型。
评论 字符串 不适用 不适用 否 政策的注释。
双向 布尔值 不适用 不适用 否 如果启用，该政策将以双向方式定义。
已实施 布尔值 不适用 不适用 否 如果启用，系统会强制执行该政策。
开始时间 字符串 不适用 不适用 否 政策的开始时间。如果未提供任何内容，开始时间将设置为永久。应采用 ISO 8601 格式。示例：2025-03-07T16:03:00Z
结束时间 字符串 不适用 不适用 否 政策的结束时间。如果未提供任何内容，结束时间将设置为永久。应采用 ISO 8601 格式。示例：2025-03-07T16:03:00Z

操作执行结果

类型 可用
脚本结果 正确
JSON 结果 正确
丰富化表 False
案例墙表格 False
案例墙链接 False
案例墙附件 False
脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
JSON 结果
{
   "option": "block_sender",
   "id": "eNo1jr0OgjAYAN-lqw79QKyYOCCSiCJGqSCjlmqQn2ILNmp8d3Fwv8vdGynOOsnzDE3RSsP4ZTT0tPUMO3DL1pK-LrFZzzfJ9XJTrC78yPZgcc7CW1QdSLuUo11Mfc2rpIsfxlxQHFsDFXKPdkeq10ym7uJeDIKLA6Z66T1NUklI4c3QEDWizNnzVzYnBthDxDrViopLJjLe77iHyAEgjkmgpx9cqlzUaAp_kz4b7vc2YDzCny9vYUEo",
   "policy": {
       "description": "Description",
       "fromPart": "both",
       "from": {
           "type": "individual_email_address",
           "emailAddress": "example@exampl.com"
       },
       "to": {
           "type": "individual_email_address",
           "emailAddress": "exampleto@exampl.com"
       },
       "fromType": "individual_email_address",
       "fromValue": "example@exampl.com",
       "toType": "individual_email_address",
       "toValue": "exampleto@exampl.com",
       "fromEternal": true,
       "toEternal": true,
       "fromDate": "1900-01-01T00:00:00+0000",
       "toDate": "2100-01-01T23:59:59+0000",
       "override": false,
       "bidirectional": false,
       "conditions": {},
       "enabled": true,
       "enforced": true,
       "createTime": "2025-03-27T12:51:46+0000",
       "lastUpdated": "2025-03-27T12:51:46+0000"
   }
}
案例墙
结果类型 值/说明 类型（实体 \ 常规）
输出消息*

操作不应失败或停止 playbook 执行：


If no "errors" in the response (is_success = true): print "Successfully created a block sender policy in Mimecast".

操作应失败并停止 playbook 执行：

如果发生严重错误，例如凭据错误、无法连接到服务器等：输出“执行操作‘{action name}’时出错。Reason: {0}''.format(error.Stacktrace)

如果失败/错误有值：执行操作“{action name}”时出错。Reason: fail/errors/message"。

连接器

Mimecast - 邮件跟踪连接器

说明

从 Mimecast 的“Message Tracking”（邮件跟踪）标签页中提取邮件相关信息。 注意：许可名单适用于“queueDetailStatus/bounceType”参数。

在 Google SecOps 中配置 Mimecast - Message Tracking 连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 为必填项 说明
产品字段名称 字符串 产品名称 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 event_type 是 输入源字段名称，以检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中的值运行的正则表达式模式。

默认值为 .*，用于捕获所有值并返回未更改的值。

用于允许用户通过正则表达式逻辑操作环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https:/<<api root>> 是 Mimecast 实例的 API 根。
应用 ID 字符串 不适用 是 Mimecast 实例的应用 ID。
应用密钥 密码 不适用 是 Mimecast 实例的应用密钥。
访问密钥 密码 不适用 是 Mimecast 实例的访问密钥。
密钥 密码 不适用 是 Mimecast 实例的密钥。
网域 CSV 不适用 是 要查询邮件的网域的逗号分隔列表。
提取风险最低 字符串 不适用 否

用于提取消息的最低风险。可能的值：

可忽略、低、中、高。

如果未提供任何内容，连接器将注入所有消息。
状态过滤条件 CSV 保全

消息的状态过滤条件列表，以英文逗号分隔。可能的值：delivery、held、accepted、bounced、deferred、rejected、archived。

如果未提供任何内容，连接器将注入所有消息。
路由过滤条件 CSV 不适用

消息的路由过滤条件（以逗号分隔）。可能的值：internal、outbound、inbound。

如果未提供任何内容，连接器将注入所有消息。
队列原因过滤条件 CSV 不适用

以英文逗号分隔的队列原因列表，用于过滤消息。如果未提供任何内容，系统会忽略此过滤条件。
安全无忧地注入消息 复选框 如果启用，即使没有风险信息，连接器也会注入消息。根据这些消息生成的 Google SecOps 提醒的优先级将设置为“信息”。
回溯的小时数上限 整数 1 否 提取消息的小时数。默认值：1 小时。最长：30 天。
返回的消息数上限 整数 100 否 每次连接器迭代要处理的消息数量。默认值：100。
将白名单用作黑名单 复选框 勾选 是 如果启用，白名单将用作黑名单。
验证 SSL 复选框 勾选 是 如果已启用，请验证与 Mimecast 服务器连接的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

此连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。