将 Proofpoint TAP 与 Google SecOps 集成

本文档介绍了如何将 Proofpoint TAP 与 Google Security Operations (Google SecOps) 集成。

集成参数

Proofpoint TAP 集成需要以下参数：

参数	说明
API 根	必填。 Proofpoint 定向攻击防护 (TAP) 实例的 API 根。
用户名	必填。 Proofpoint TAP 实例的用户名。
密码	必填。 Proofpoint TAP 实例的 API 密钥。
验证 SSL	可选。 如果启用，该操作会验证 SSL 证书的有效性。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

DecodeURL

使用 DecodeURL 操作解码 Proofpoint 的编码网址。

此操作在以下 Google SecOps 实体上运行：

• URL

操作输入

参数	说明
编码网址	可选。 要解码的网址的逗号分隔列表。
创建网址实体	可选。 如果选择此选项，则该操作会在网址成功解码后，根据该网址创建网址实体。 默认值为 Checked。

操作输出

DecodeURL 操作提供以下输出。

实体丰富化

DecodeURL 操作支持以下实体丰富逻辑：

扩充项字段名称	逻辑 - 适用场景
编码网址	要解码的网址的逗号分隔列表。
创建网址实体	如果选择此选项，则该操作会在网址成功解码后，根据该网址创建一个成功解码的网址实体。 默认值为 Checked。

脚本结果

下表介绍了使用 DecodeURL 操作时脚本结果输出的值：

脚本结果名称	值选项	示例
decoded_urls	不适用	不适用

GetCampaign

使用 GetCampaign 操作可按广告系列 ID 获取广告系列信息。

此操作会在所有实体上运行。

操作输入

GetCampaign 操作需要以下参数：

参数	说明
广告系列 ID	必填。 要获取其相关信息的广告系列的 ID。
创建分析洞见	可选。 如果选中，该操作会创建包含广告系列信息的数据分析。 默认选中
创建威胁活动实体	可选。 如果选择此选项，该操作会根据广告系列信息创建威胁广告系列实体。 默认选中
提取取证信息	可选。 如果选择此选项，该操作会从广告系列中提取取证信息。 默认选中
取证证据类型过滤条件	可选。 提取取证信息时要返回的证据类型的逗号分隔列表。 可能的值： attachment、cookie、dns、dropper、file、ids、mutex、network、process、registry、screenshot、url、redirect_chain、behavior。
要返回的取证证据数量上限	可选。 每个广告系列要返回的证据数量。 默认值为 50。 最大值为 1000。

操作输出

GetCampaign 操作会提供以下输出。

脚本结果

下表介绍了使用 GetCampaign 操作时脚本结果输出的值：

脚本结果名称	值选项	示例
campaign_info	不适用	不适用

Ping

使用 Ping 操作测试 Proofpoint TAP 连接。

此操作会在所有实体上运行。

操作输入

Ping 操作不需要任何参数。

操作输出

Ping 操作会提供以下输出。

脚本结果

下表介绍了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值选项	示例
is_success	True/False	is_success:False

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。