將 Proofpoint Threat Protection 與 Google SecOps 整合

本文說明如何將 Proofpoint Threat Protection 與 Google Security Operations 整合。

用途

在 Google SecOps 平台中，Proofpoint Threat Protection 整合功能支援下列用途：

• 自動緩解網路釣魚：驗證網路釣魚警示後，自動將惡意寄件者的電子郵件地址和網域加入 Proofpoint 封鎖清單，防止類似威脅進一步傳送至整個組織。

• 加速事件應變：在調查期間，快速更新 IP 位址和主機名稱的封鎖清單項目，確保在電子郵件閘道立即消除新發現的入侵指標 (IOC)。

• 主動威脅防護：主動查詢及擷取現有的許可和封鎖清單項目，確保安全性政策保持最新狀態，並與目前的威脅情報一致，減少組織的攻擊面。

• 簡化政策管理：使用 Playbook 根據核准的業務要求，大量新增或移除許可清單中的信任寄件者，簡化電子郵件安全政策的管理作業。

事前準備

在 Google SecOps 平台中設定整合功能前，請確認您具備下列項目：

• Proofpoint Threat Protection API 憑證：請確認您有有效的用戶端 ID 和用戶端密鑰。這些值是在 Proofpoint 管理控制台中產生

• 叢集 ID：找出與 Proofpoint 執行個體相關聯的特定叢集 ID。您需要這個 ID，才能指定正確的許可和封鎖清單。

• 網路連線：確認 Google SecOps 環境可與 Proofpoint Threat Protection API 根端點通訊。如果您使用 Proxy，請確認憑證和位址可用。

整合參數

Proofpoint Threat Protection 整合需要下列參數：

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

將項目新增至許可清單

使用「Add Entry to Allow List」動作，將項目新增至 Proofpoint Threat Protection 許可清單。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Entry to Allow List」動作需要下列參數：

{
    "action": "add",
    "attribute": "",
    "operator": "",
    "value": "",
    "comment": ""
}

動作輸出內容

「Add Entry to Allow List」動作會提供下列輸出內容：

輸出訊息

「Add Entry to Allow List」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Add Entry to Allow List」動作時，指令碼結果輸出的值：

將項目新增至封鎖清單

使用「Add Entry to Block List」動作，將項目新增至 Proofpoint Threat Protection 封鎖清單。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Entry to Block List」動作需要下列參數：

{
    "action": "add",
    "attribute": "",
    "operator": "",
    "value": "",
    "comment": ""
}

動作輸出內容

「Add Entry to Block List」動作會提供下列輸出內容：

輸出訊息

「Add Entry to Block List」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Add Entry to Block List」動作時，指令碼結果輸出的值：

將 IOC 新增至許可清單

使用「Add IOC to Allow List」動作，將特定 IOC 新增至 Proofpoint Threat Protection 許可清單。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add IOC to Allow List」動作需要下列參數：

動作輸出內容

「Add IOC to Allow List」動作會提供下列輸出內容：

輸出訊息

「Add IOC to Allow List」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Add IOC to Allow List」動作時，指令碼結果輸出的值：

將 IOC 新增至封鎖清單

使用「Add IOC to Block List」動作，將特定 IOC 新增至 Proofpoint Threat Protection 封鎖清單。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add IOC to Block List」動作需要下列參數：

動作輸出內容

「Add IOC to Block List」動作會提供下列輸出內容：

輸出訊息

「Add IOC to Block List」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Add IOC to Block List」動作時，指令碼結果輸出的值：

取得許可清單項目

使用「Get Allow List Entries」動作，從 Proofpoint Threat Protection 許可清單擷取現有項目。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Allow List Entries」動作需要下列參數：

動作輸出內容

「Get Allow List Entries」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Get Allow List Entries」動作時，收到的 JSON 結果輸出內容：

[
       {
           "attribute": "$from",
           "operator": "equal",
           "value": "test@example.com",
           "comment": ""
       }
]

輸出訊息

「Get Allow List Entries」動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Get Allow List Entries」動作時，指令碼結果輸出的值：

取得封鎖清單項目

使用「Get Block List Entries」動作，從 Proofpoint Threat Protection 封鎖清單中擷取現有項目。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Block List Entries」動作需要下列參數：

動作輸出內容

「Get Block List Entries」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Get Block List Entries」動作時，收到的 JSON 結果輸出內容：

[
       {
           "attribute": "$from",
           "operator": "equal",
           "value": "test@example.com",
           "comment": ""
       }
]

輸出訊息

「Get Block List Entries」動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Get Block List Entries」動作時，指令碼結果輸出的值：

乒乓

使用 Ping 動作，測試與 Proofpoint Threat Protection 的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

輸出訊息

Ping 動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

從許可清單中移除項目

使用「Remove Entry from Allow List」動作，從 Proofpoint Threat Protection 許可清單中移除項目。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Remove Entry from Allow List」動作需要下列參數：

動作輸出內容

「Remove Entry from Allow List」動作會提供下列輸出內容：

輸出訊息

Remove Entry from Allow List 動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Remove Entry from Allow List」動作時，指令碼結果輸出的值：

從封鎖清單中移除項目

使用「Remove Entry from Block List」動作，從 Proofpoint Threat Protection 封鎖清單中移除項目。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Remove Entry from Block List」動作需要下列參數：

動作輸出內容

「Remove Entry from Block List」動作會提供下列輸出內容：

輸出訊息

「Remove Entry from Block List」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Remove Entry from Block List」動作時，指令碼結果輸出的值：

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。