Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

将 Proofpoint Cloud Threat Response 与 Google SecOps 集成

本文档介绍了如何将 Proofpoint Cloud Threat Response 与 Google Security Operations 集成。

使用场景

Proofpoint Cloud Threat Response 集成可应对以下安全运维用例：

自动提取突发事件：自动将突发事件和关联的电子邮件从 Proofpoint 提取到 Google SecOps，以减少手动监控并加快分类速度。
优先处理威胁响应：根据特定的严重级别和置信度阈值过滤提取的提醒，确保分析师首先关注影响重大的威胁。
精细的判定分析：根据 Proofpoint 判定（例如威胁或人工审核）和处置（例如恶意软件或钓鱼式攻击）过滤突发事件，从而简化工作流。
自定义环境映射：使用字段映射和正则表达式模式将提取的提醒动态分配给特定环境，确保正确的数据隔离和多租户支持。

准备工作

在 Google SecOps 平台中配置集成之前，请验证您是否具备以下条件：

Proofpoint API 凭证：从您的 Proofpoint Threat Response 账号生成的有效客户端 ID 和客户端密钥。集成需要这些凭据才能进行身份验证并生成不记名令牌。
API 根网址：Proofpoint Cloud Threat Response 实例的特定端点（默认值为 https://threatprotection-api.proofpoint.com）。
网络访问：确保 Google SecOps 平台可以通过端口 443 与 Proofpoint API 端点通信。如果贵组织使用代理，请准备好代理服务器地址和凭据。

集成参数

Proofpoint Cloud Threat Response 集成需要以下参数：

参数	说明
`API Root`	必填。 Proofpoint Cloud Threat Response 实例的 API 根网址。默认值为 `https://threatprotection-api.proofpoint.com`。
`Client ID`	必填。用于向 Proofpoint Cloud Threat Response 实例进行身份验证的客户端 ID。
`Client Secret`	必填。用于向 Proofpoint Cloud Threat Response 实例进行身份验证的客户端密钥。
`Verify SSL`	必填。如果选中此选项，则集成会在连接到 Proofpoint Cloud Threat Response 服务器时验证 SSL 证书。默认处于启用状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅在工作桌上响应待处理的操作和在案例中运行手动操作。

Ping

使用 Ping 操作测试与 Proofpoint Cloud Threat Response 的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

Ping 操作可能会返回以下输出消息：

输出消息消息说明

Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters! 操作成功。

输出消息	消息说明
`Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!`	操作成功。
`Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Failed to connect to the Proofpoint Cloud Threat Response
      server! Error is ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

Proofpoint Cloud Threat Response - Incidents 连接器

使用 Proofpoint Cloud Threat Response - Incidents 连接器从 Proofpoint Cloud Threat Response 检索突发事件和相关消息数据，并将其作为提醒注入到 Google SecOps 中。

连接器输入

Proofpoint Cloud Threat Response - Incidents 连接器需要以下参数：

参数	说明
`Product Field Name`	必填。存储商品名称的字段的名称。商品名称主要影响映射。为了简化和改进连接器的映射过程，默认值会解析为代码中引用的后备值。默认情况下，此参数的任何无效输入都会解析为回退值。默认值为 `Product Name`。
`Event Field Name`	必填。用于确定事件名称或子类型的字段的名称。默认值为 `product`。
`Environment Field Name`	可选。决定事件名称（子类型）的字段名称。默认值为 `""`。
`Environment Regex Pattern`	可选。用于从 `Environment Field Name` 中提取或操纵环境值的正则表达式模式。默认值为 `.*`。
`Script Timeout (Seconds)`	必填。运行当前脚本的 Python 进程的超时限制（以秒为单位）。默认值为 `180`。
`API Root`	必填。 Proofpoint Cloud Threat Response 实例的 API 根网址。默认值为 `https://threatprotection-api.proofpoint.com`。
`Client ID`	必填。用于向 Proofpoint Cloud Threat Response 实例进行身份验证的客户端 ID。
`Client Secret`	必填。用于向 Proofpoint Cloud Threat Response 实例进行身份验证的客户端密钥。
`Lowest Severity To Fetch`	可选。要检索的突发事件的最低严重级别。例如，选择 `Medium` 会检索严重程度为“中”和“高”的突发事件。可能的值如下： `Low` `Medium` `High`
`Status Filter`	可选。要纳入提取范围的突发事件状态的逗号分隔列表。可能的值包括 `Open` 和 `Closed`。默认值为 `Open`。
`Lowest Confidence To Fetch`	可选。要检索的突发事件的最低置信度。例如，选择 `Medium` 会同时检索置信度为“中”和“高”的事件。可能的值如下： `Low` `Medium` `High`
`Disposition Filter`	可选。要包含的处置方式的逗号分隔列表（例如 `malware, phish, suspicious`）。
`Verdict Filter`	可选。要纳入提取范围的判定结果列表，以英文逗号分隔。可能的值包括 `Failed`、`Low Risk`、`Manual Review` 和 `Threat`。
`Max Hours Backwards`	必填。在第一次迭代期间或时间戳过期时，搜索突发事件的当前时间之前的小时数。默认值为 `1`。
`Max Incidents To Fetch`	必填。每次连接器迭代中要处理的突发事件数量上限。最大值为 `9`。默认值为 `9`。
`Use dynamic list as a blocklist`	必填。如果选中，连接器会将动态列表（基于来源值）用作屏蔽名单，以排除特定突发事件。默认情况下，该环境处于停用状态。
`Disable Overflow`	可选。如果选中，连接器会忽略 Google SecOps 溢出机制。默认情况下，该环境处于停用状态。
`Verify SSL`	必填。如果选中，则集成会在连接到 Proofpoint Cloud Threat Response 服务器时验证 SSL 证书。默认情况下，该环境处于停用状态。
`Proxy Server Address`	可选。要使用的代理服务器的地址。
`Proxy Username`	可选。用于进行身份验证的代理用户名。
`Proxy Password`	可选。用于进行身份验证的代理密码。