将 Proofpoint Threat Protection 与 Google SecOps 集成

本文档介绍了如何将 Proofpoint Threat Protection 与 Google Security Operations 集成。

使用场景

在 Google SecOps 平台中，Proofpoint Threat Protection 集成支持以下应用场景：

• 自动钓鱼式攻击缓解：在钓鱼式攻击警报得到验证后，自动将恶意发件人的电子邮件地址和网域添加到 Proofpoint 屏蔽名单中，以防止类似威胁在整个组织中进一步传播。

• 加速突发事件响应：在主动调查期间，快速更新 IP 地址和主机名的屏蔽清单条目，以确保在电子邮件网关处立即消除新发现的失陷指标 (IOC)。

• 主动威胁防护：主动查询和检索现有允许列表和屏蔽列表条目，确保安全政策保持最新状态并与当前威胁情报保持一致，从而减少组织的受攻击面。

• 简化政策管理：使用 playbook 根据已批准的业务请求批量添加或移除许可名单中的受信任发件人，从而简化电子邮件安全政策的管理。

准备工作

在 Google SecOps 平台中配置集成之前，请验证您是否具备以下条件：

• Proofpoint Threat Protection API 凭证：确保您拥有有效的客户端 ID 和客户端密钥。这些令牌是在 Proofpoint 管理控制台中生成的

• 集群 ID：确定与您的 Proofpoint 实例关联的特定集群 ID。此 ID 是定位到正确的许可名单和屏蔽名单所必需的。

• 网络连接：验证 Google SecOps 环境是否可以与 Proofpoint Threat Protection API 根端点通信。如果您使用的是代理，请确保凭据和地址可用。

集成参数

Proofpoint Threat Protection 集成需要以下参数：

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

将条目添加到许可名单

使用向许可清单添加条目操作向 Proofpoint Threat Protection 许可清单添加条目。

此操作不会在 Google SecOps 实体上运行。

操作输入

Add Entry to Allow List 操作需要以下参数：

{
    "action": "add",
    "attribute": "",
    "operator": "",
    "value": "",
    "comment": ""
}

操作输出

向许可清单添加条目操作会提供以下输出：

输出消息

向许可名单添加条目操作可能会返回以下输出消息：

脚本结果

下表列出了使用将条目添加到许可名单操作时脚本结果输出的值：

向屏蔽名单中添加条目

使用将条目添加到屏蔽名单操作，将条目添加到 Proofpoint Threat Protection 屏蔽名单。

此操作不会在 Google SecOps 实体上运行。

操作输入

Add Entry to Block List 操作需要以下参数：

{
    "action": "add",
    "attribute": "",
    "operator": "",
    "value": "",
    "comment": ""
}

操作输出

向屏蔽名单添加条目操作提供以下输出：

输出消息

向屏蔽名单添加条目操作可能会返回以下输出消息：

脚本结果

下表列出了使用将条目添加到屏蔽名单操作时脚本结果输出的值：

将 IOC 添加到许可名单

使用将 IOC 添加到许可名单操作，将特定 IOC 添加到 Proofpoint Threat Protection 许可名单。

此操作不会在 Google SecOps 实体上运行。

操作输入

将 IOC 添加到许可清单操作需要以下参数：

操作输出

将 IOC 添加到许可名单操作会提供以下输出：

输出消息

将 IOC 添加到许可名单操作可能会返回以下输出消息：

脚本结果

下表列出了使用将 IOC 添加到许可名单操作时脚本结果输出的值：

将 IOC 添加到屏蔽名单

使用将 IOC 添加到屏蔽名单操作，将特定 IOC 添加到 Proofpoint Threat Protection 屏蔽名单。

此操作不会在 Google SecOps 实体上运行。

操作输入

将 IOC 添加到屏蔽列表操作需要以下参数：

操作输出

将 IOC 添加到屏蔽列表操作提供以下输出：

输出消息

将 IOC 添加到屏蔽名单操作可能会返回以下输出消息：

脚本结果

下表列出了使用将 IOC 添加到屏蔽名单操作时脚本结果输出的值：

获取许可名单条目

使用获取许可清单条目操作从 Proofpoint Threat Protection 许可清单中检索现有条目。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取许可名单条目操作需要以下参数：

操作输出

获取许可清单条目操作会提供以下输出：

JSON 结果

以下示例展示了使用获取许可清单条目操作时收到的 JSON 结果输出：

[
       {
           "attribute": "$from",
           "operator": "equal",
           "value": "test@example.com",
           "comment": ""
       }
]

输出消息

获取许可清单条目操作可以返回以下输出消息：

脚本结果

下表列出了使用获取许可名单条目操作时脚本结果输出的值：

获取屏蔽名单条目

使用获取屏蔽名单条目操作，从 Proofpoint Threat Protection 屏蔽名单中检索现有条目。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取屏蔽名单条目操作需要以下参数：

操作输出

获取屏蔽列表条目操作会提供以下输出：

JSON 结果

以下示例展示了使用获取屏蔽名单条目操作时收到的 JSON 结果输出：

[
       {
           "attribute": "$from",
           "operator": "equal",
           "value": "test@example.com",
           "comment": ""
       }
]

输出消息

获取屏蔽名单条目操作可能会返回以下输出消息：

脚本结果

下表列出了使用获取屏蔽名单条目操作时脚本结果输出的值：

Ping

使用 Ping 操作测试与 Proofpoint Threat Protection 的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

输出消息

Ping 操作可能会返回以下输出消息：

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

从许可名单中移除条目

使用从许可名单中移除条目操作可从 Proofpoint Threat Protection 许可名单中移除条目。

此操作不会在 Google SecOps 实体上运行。

操作输入

从许可清单中移除条目操作需要以下参数：

操作输出

从许可名单中移除条目操作会提供以下输出：

输出消息

从许可名单中移除条目操作可能会返回以下输出消息：

脚本结果

下表列出了使用从许可名单中移除条目操作时脚本结果输出的值：

从屏蔽列表中移除条目

使用从屏蔽列表中移除条目操作，从 Proofpoint Threat Protection 屏蔽列表中移除条目。

此操作不会在 Google SecOps 实体上运行。

操作输入

从屏蔽列表中移除条目操作需要以下参数：

操作输出

从屏蔽列表中移除条目操作提供以下输出：

输出消息

从屏蔽列表中移除条目操作可能会返回以下输出消息：

脚本结果

下表列出了使用从屏蔽列表中移除条目操作时脚本结果输出的值：

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。