將 Proofpoint Cloud Threat Response 與 Google SecOps 整合

本文說明如何將 Proofpoint Cloud Threat Response 與 Google Security Operations 整合。

用途

Proofpoint Cloud Threat Response 整合功能可處理下列資安營運用途：

  • 自動擷取事件：自動將 Proofpoint 的事件和相關電子郵件訊息提取至 Google SecOps，減少手動監控作業並加快分類速度。

  • 優先處理威脅：根據特定嚴重程度和信賴度門檻，篩選擷取的警示，確保分析師優先處理影響重大的威脅。

  • 精細的判定分析：根據 Proofpoint 判定 (例如威脅或手動審查) 和處置 (例如惡意軟體或網路釣魚) 篩選事件，簡化工作流程。

  • 自訂環境對應：使用欄位對應和規則運算式模式，將擷取的快訊動態指派給特定環境，確保資料妥善區隔，並支援多租戶。

事前準備

在 Google SecOps 平台中設定整合功能前，請確認您具備下列項目：

  • Proofpoint API 憑證：從 Proofpoint Threat Response 帳戶產生的有效用戶端 ID 和用戶端密鑰。整合功能需要這些憑證，才能驗證並產生不記名權杖。

  • API 根網址：Proofpoint Cloud Threat Response 執行個體的特定端點 (預設為 https://threatprotection-api.proofpoint.com)。

  • 網路存取權：確保 Google SecOps 平台可透過通訊埠 443 與 Proofpoint API 端點通訊。如果貴組織使用 Proxy，請備妥 Proxy 伺服器位址和憑證。

整合參數

Proofpoint Cloud Threat Response 整合功能需要下列參數：

參數 說明
API Root

這是必填欄位。

Proofpoint Cloud Threat Response 執行個體的 API 根網址。

預設值為 https://threatprotection-api.proofpoint.com。
Client ID

這是必填欄位。

用於向 Proofpoint Cloud Threat Response 執行個體驗證的用戶端 ID。
Client Secret

這是必填欄位。

用於向 Proofpoint Cloud Threat Response 執行個體驗證的用戶端密鑰。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Proofpoint Cloud Threat Response 伺服器時驗證 SSL 憑證。

(預設為啟用)。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

乒乓

使用 Ping 動作，測試與 Proofpoint Cloud Threat Response 的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Ping 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters! 動作成功。
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Proofpoint Cloud Threat Response - 事件連接器

使用 Proofpoint Cloud Threat Response - Incidents 連接器，從 Proofpoint Cloud Threat Response 擷取事件和相關訊息資料，並將這些資料做為快訊，擷取至 Google SecOps。

連接器輸入

Proofpoint Cloud Threat Response - Incidents 連接器需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。

預設值為 Product Name。
Event Field Name

這是必填欄位。

決定事件名稱或子類型的欄位名稱。

預設值為 product。
Environment Field Name

選填。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 ""。
Environment Regex Pattern

選填。

規則運算式模式，用於從 Environment Field Name 擷取或操控環境值。

預設值為 .*。
Script Timeout (Seconds)

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root

這是必填欄位。

Proofpoint Cloud Threat Response 執行個體的 API 根網址。

預設值為 https://threatprotection-api.proofpoint.com。
Client ID

這是必填欄位。

用於向 Proofpoint Cloud Threat Response 執行個體驗證的用戶端 ID。
Client Secret

這是必填欄位。

用於向 Proofpoint Cloud Threat Response 執行個體驗證的用戶端密鑰。
Lowest Severity To Fetch

選填。

要擷取的事件最低嚴重性等級。舉例來說，選取 Medium 會擷取中度和高度嚴重性事件。

可能的值如下：

  • Low
  • Medium
  • High
Status Filter

選填。

以半形逗號分隔的事件狀態清單，用於指定要擷取的事件。

可能的值為 Open 和 Closed。

預設值為 Open。
Lowest Confidence To Fetch

選填。

要擷取的事件最低可信度。舉例來說，選取「Medium」會擷取可信度為「中」和「高」的事件。

可能的值如下：

  • Low
  • Medium
  • High
Disposition Filter

選填。

以半形逗號分隔的處置清單 (例如 malware, phish, suspicious)。
Verdict Filter

選填。

以半形逗號分隔的判定結果清單，用於指定要擷取的判定結果。

可能的值為 Failed、Low Risk、Manual Review 和 Threat。
Max Hours Backwards

這是必填欄位。

在第一次疊代期間或時間戳記過期時，搜尋事件的目前時間之前的小時數。

預設值為 1。
Max Incidents To Fetch

這是必填欄位。

每次連接器疊代處理的事件數量上限。

最大值為 9。

預設值為 9。
Use dynamic list as a blocklist

這是必填欄位。

如果選取，連接器會使用動態清單 (根據來源值) 做為封鎖清單，排除特定事件。

預設為停用。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。

預設為停用。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Proofpoint Cloud Threat Response 伺服器時，驗證 SSL 憑證。

預設為停用。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。