Mimecast

統合バージョン: 9.0

ユースケース

  1. メッセージの取り込みを実行する
  2. トリアージ アクションを実行する（メッセージを拒否/リリース/報告）

始める前に

Mimecast 統合を構成するには、まず Mimecast 管理コンソールで必要な権限を持つ Mimecast ロールを作成する必要があります。

必要な権限は次のとおりです。

  • Account | Dashboard | Read

  • Account | Monitoring | Held | Edit

  • Archive | Search Logs | Read

  • Archive | View Logs | Read

  • Gateway | Managed Senders | Edit

  • Gateway | Policies | Edit

  • Gateway | Policies | Read

  • Gateway | Tracking | Read

Google SecOps で Mimecast 統合を構成する

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
API ルート 文字列 https:/<<api root>> はい Mimecast インスタンスの API ルート。
アプリケーション ID 文字列 なし はい Mimecast インスタンスのアプリケーション ID。
アプリケーション キー パスワード なし はい Mimecast インスタンスのアプリケーション キー。
アクセスキー パスワード なし はい Mimecast インスタンスのアクセスキー。
秘密鍵 パスワード なし はい Mimecast インスタンスのシークレット キー。
SSL を確認する チェックボックス オン はい 有効になっている場合は、Mimecast サーバーへの接続用の SSL 証明書が有効であることを確認します。
注: 必要に応じて、後の段階で変更できます。構成が完了すると、インスタンスはハンドブックで使用できます。複数のインスタンスの構成とサポートの詳細については、[複数のインスタンスのサポート](/chronicle/docs/soar/respond/integrations-setup/supporting-multiple-instances) をご覧ください。## 統合設定のニュアンス 1. Google Security Operations サーバーを Mimecast サーバーと同期する必要があります。1. 構成に必要なすべてのパラメータに関する情報は、次のリンクで確認できます。 [https://community.mimecast.com/s/article/Managing-API-Applications-505230018](https://community.mimecast.com/s/article/Managing-API-Applications-505230018) および [https://community.mimecast.com/s/article/Mimecast-Data-Centers-and-URLs-61190061](https://community.mimecast.com/s/article/Mimecast-Data-Centers-and-URLs-61190061) ## アクション ### Ping #### 説明 Google SecOps Marketplace タブの統合構成ページで指定されたパラメータを使用して、Mimecast への接続をテストします。#### パラメータ なし #### 実行対象 このアクションはエンティティに対して実行されません。#### アクションの結果 ##### スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功した場合:「指定された接続パラメータで Mimecast サーバーに正常に接続しました。」

アクションが失敗し、ハンドブックの実行が停止します。
成功しなかった場合:「Mimecast サーバーへの接続に失敗しました。エラーは {0}」.format(exception.stacktrace)

 全般

説明

Mimecast で定義されたパラメータを使用して、アーカイブされたメールを検索します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
返されるフィールド CSV

attachmentcount,status,subject,
size,receiveddate,displayfrom,
displayfromaddress,id,displayto,
displaytoaddresslist,smash

 はい 返す必要のあるフィールドのカンマ区切りのリストを指定します。
メールボックス CSV なし いいえ 検索する必要があるメールボックスのカンマ区切りのリストを指定します。
転送元 CSV なし いいえ メールの送信元メールアドレスのカンマ区切りのリストを指定します。
To CSV なし いいえ メールの送信先メールアドレスのカンマ区切りのリストを指定します。
件名 文字列 なし いいえ 検索する必要がある件名を指定します。
期間 DDL

Last Hour

有効な値:

Last Hour

過去 6 時間

過去 24 時間

先週

先月

カスタム

 はい 検索の期間を指定します。「カスタム」を選択した場合は、「開始時刻」も指定する必要があります。
開始時刻 文字列 なし いいえ 検索の開始時刻を指定します。[期間] パラメータに [カスタム] が選択されている場合、このパラメータは必須です。形式: ISO 8601
終了時刻 文字列 なし いいえ 検索の終了時刻を指定します。形式: ISO 8601。何も指定されず、「期間」パラメータで「カスタム」が選択されている場合、このパラメータは現在の時刻を使用します。
返されるメールの最大数 統合 50 いいえ 返されるメールの数を指定します。デフォルト: 50。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
データが利用可能な場合（is_success = true）:「Mimecast で指定された条件に該当するアーカイブ メールが正常に見つかりました。」

データが利用できない場合（is_success=true）:「Mimecast で指定された条件に該当するアーカイブ メールが見つかりませんでした。」



アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「単純なアーカイブ検索」の実行エラー。理由: {0}」.format(error.Stacktrace)

[期間] が [カスタム] の場合に [開始時刻] が空の場合: 「アクション「シンプル アーカイブ検索」の実行エラー。理由: 「期間」パラメータで「カスタム」が選択されている場合は、「開始時刻」を指定する必要があります。

fail/errors に値がある場合: アクション「シンプル アーカイブ検索」の実行エラー。理由: fail/errors/message"。

 全般
Case Wall テーブル

名前: 結果

列:

レスポンスのすべてのキー

 全般

説明

Mimecast でカスタム XML クエリを使用してアーカイブ メールを検索します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
XML クエリ XML なし はい アーカイブ メールを検索する際に使用する XML クエリを指定します。詳しくは、ドキュメントをご覧ください。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
データが利用可能な場合（is_success = true）:「Mimecast で指定された条件に該当するアーカイブ メールが正常に見つかりました。」

データが利用できない場合（is_success=true）: 「Mimecast で指定された条件に一致するアーカイブ メールが見つかりませんでした。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「高度なアーカイブ検索」の実行エラー。理由: {0}''.format(error.Stacktrace)

fail/errors に値がある場合: アクション「高度なアーカイブ検索」の実行エラー。理由: fail/errors/message"。

 全般
Case Wall テーブル

名前: 結果

列:

レスポンスのすべてのキー

 全般

メールを拒否

説明

Mimecast でメッセージを拒否します。注: 拒否できるのは、ステータスが「保留」のメッセージのみです。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
メッセージ ID 文字列 なし はい 拒否する必要があるメッセージの ID を指定します。
注 文字列 なし いいえ メールが拒否された理由を説明する追加のメモを指定します。
理由 DLL

1 つ選択

有効な値:

1 つ選択

不適切なコミュニケーション

機密情報

メールポリシーに違反している

制限されているコンテンツ

 いいえ 拒否の理由を指定します。
送信者に通知 チェックボックス オフ いいえ 有効にすると、アクションによって送信者に拒否が通知されます。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
レスポンスに「errors」がない場合（is_success = true）: 「Mimecast で ID「{ID}」のメッセージを正常に拒否しました。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「メッセージを拒否」の実行エラー。理由: {0}」.format(error.Stacktrace)

fail/errors に値がある場合: アクション「メッセージを拒否」の実行エラー。理由: fail/errors/message"。

 全般

リリース メッセージ

説明

Mimecast でメッセージをリリースします。注: ステータスが「保留」のメッセージのみリリースできます。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
メッセージ ID 文字列 なし はい リリースする必要があるメッセージの ID を指定します。
サンドボックスにリリース チェックボックス なし いいえ 有効にすると、アクションによってメッセージがサンドボックスにリリースされます。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
レスポンスに「エラー」がない場合（is_success = true）: 「Mimecast で ID「{ID}」のメッセージが正常にリリースされました。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「メッセージをリリース」の実行エラー。理由: {0}」.format(error.Stacktrace)

fail/errors に値がある場合: アクション「メッセージのリリース」の実行エラー。理由: fail/errors/message"。

 全般

メッセージを報告する

説明

Mimecast でメッセージを報告します。注: 報告できるのは、ステータスが「保留」、「アーカイブ済み」、「バウンス」のメッセージのみです。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
メッセージ ID 文字列 なし はい 報告する必要があるメッセージの ID を指定します。
報告する DDL

迷惑メール

有効な値:

迷惑メール

マルウェア

フィッシング

 いいえ メッセージのレポートタイプを指定します。
コメント 文字列 なし いいえ レポートのコメントを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
データが利用可能である場合（is_success = true）:「次のメッセージを ID「{ID}」で Mimecast に正常に報告しました。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「メッセージを報告する」の実行エラー。理由: {0}」.format(error.Stacktrace)

fail/errors に値がある場合: アクション「メッセージを報告」の実行エラー。理由: fail/errors/message"。

 全般

送信者をブロックする

説明

Mimecast で送信者をブロックします。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
送信者 文字列 なし はい ブロックする送信者のメールアドレスを指定します。
受信者 文字列 なし はい ブロックする受信者のメールアドレスを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
レスポンスに「errors」がない場合（is_success = true）: 「Mimecast で受信者 {recipient} の送信者 {sender} を正常にブロックしました。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「送信者をブロック」の実行エラー。理由: {0}」.format(error.Stacktrace)

fail/errors に値がある場合: アクション「送信者をブロック」の実行エラー。理由: fail/errors/message"。

 全般

送信者を許可

説明

Mimecast で送信者を許可します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
送信者 文字列 なし はい 許可する送信者のメールアドレスを指定します。
受信者 文字列 なし はい 許可する受信者のメールアドレスを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
レスポンスに「errors」がない場合（is_success = true）: 「Mimecast で受信者 {recipient} の送信者 {sender} を正常に許可しました。」

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、サーバーに接続できない、その他など、致命的なエラーが発生した場合:「アクション「送信者を許可」の実行エラー。理由: {0}」.format(error.Stacktrace)

fail/errors に値がある場合: アクション「送信者を許可」の実行エラー。理由: fail/errors/message"。

 全般

ブロック送信者ポリシーを作成する

Mimecast で [Block Sender] ポリシーを作成します。

実行

このアクションはどのエンティティに対しても実行されません。

パラメータ

パラメータの表示名 種類 デフォルト値 ウォーターマーク 必須 説明
レスポンス DDL なし 該当なし いいえ 作成したポリシーに関連付けるレスポンスのタイプを指定します。
説明 文字列 なし 該当なし はい ポリシーの説明。
抽出されたデータ DDL なし なし 送信者と受信者に関する情報をどこから抽出するかを定義します。
送信者 文字列 なし 該当なし いいえ メッセージがブロックされる送信元。「Sender Type」が Email Domain、Email Address、Header Display Name のいずれかの場合にのみ必要です。別の [From Type] 値が選択されている場合、このパラメータは無視されます。
送信者のタイプ DDL なし 該当なし いいえ ポリシーの送信者のタイプ。
受信者 文字列 なし 該当なし いいえ メッセージをブロックするために送信する必要がある相手。「受信者のタイプ」が「メール ドメイン」、「メールアドレス」、「ヘッダーの表示名」のいずれかの場合にのみ必要です。別の「Recipient Type」値が選択されている場合、このパラメータは無視されます。
受信者のタイプ DDL なし 該当なし いいえ ポリシーの受信者のタイプ。
コメント 文字列 なし 該当なし いいえ ポリシーのコメント。
双方向 Bool なし 該当なし いいえ 有効にすると、ポリシーは双方向で定義されます。
適用済み Bool なし 該当なし いいえ 有効にすると、ポリシーが適用されます。
開始時刻 文字列 なし 該当なし いいえ ポリシーの開始時刻。何も指定しない場合、開始時刻は永遠に設定されます。ISO 8601 形式が想定されます。例: 2025-03-07T16:03:00Z
終了時刻 文字列 なし 該当なし いいえ ポリシーの終了時刻。何も指定しない場合、終了時刻は永遠に設定されます。ISO 8601 形式が想定されます。例: 2025-03-07T16:03:00Z

アクションの結果

タイプ 利用可能
スクリプトの結果 正しい
JSON の結果 正しい
拡充テーブル 誤り
Case Wall テーブル 誤り
ケースウォールのリンク 誤り
Case Wall のアタッチメント 誤り
スクリプトの結果
スクリプトの結果名 値のオプション
is_success is_success=False
is_success is_success=True
JSON の結果
{
   "option": "block_sender",
   "id": "eNo1jr0OgjAYAN-lqw79QKyYOCCSiCJGqSCjlmqQn2ILNmp8d3Fwv8vdGynOOsnzDE3RSsP4ZTT0tPUMO3DL1pK-LrFZzzfJ9XJTrC78yPZgcc7CW1QdSLuUo11Mfc2rpIsfxlxQHFsDFXKPdkeq10ym7uJeDIKLA6Z66T1NUklI4c3QEDWizNnzVzYnBthDxDrViopLJjLe77iHyAEgjkmgpx9cqlzUaAp_kz4b7vc2YDzCny9vYUEo",
   "policy": {
       "description": "Description",
       "fromPart": "both",
       "from": {
           "type": "individual_email_address",
           "emailAddress": "example@exampl.com"
       },
       "to": {
           "type": "individual_email_address",
           "emailAddress": "exampleto@exampl.com"
       },
       "fromType": "individual_email_address",
       "fromValue": "example@exampl.com",
       "toType": "individual_email_address",
       "toValue": "exampleto@exampl.com",
       "fromEternal": true,
       "toEternal": true,
       "fromDate": "1900-01-01T00:00:00+0000",
       "toDate": "2100-01-01T23:59:59+0000",
       "override": false,
       "bidirectional": false,
       "conditions": {},
       "enabled": true,
       "enforced": true,
       "createTime": "2025-03-27T12:51:46+0000",
       "lastUpdated": "2025-03-27T12:51:46+0000"
   }
}
ケースウォール
結果のタイプ 値 / 説明 タイプ（エンティティ \ 全般）
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。


レスポンスに「errors」がない場合（is_success = true）: 「Mimecast でブロック送信者ポリシーが正常に作成されました」と出力します。

アクションが失敗し、Playbook の実行を停止します

認証情報が誤っている、サーバーへの接続がないなどの致命的なエラーの場合、その他: 次のように出力されます。「アクション「{action name}」の実行エラー。理由: {0}」.format(error.Stacktrace)

fail/errors に値がある場合: アクション「{action name}」の実行中にエラーが発生しました。理由: fail/errors/message"。

コネクタ

Mimecast - Message Tracking Connector

説明

Mimecast の [Message Tracking] タブからメッセージに関する情報を取得します。注: 許可リストは「queueDetailStatus/bounceType」パラメータで機能します。

Google SecOps で Mimecast - Message Tracking Connector を構成する

Google SecOps でコネクタを構成する方法の詳細については、コネクタの構成をご覧ください。

コネクタ パラメータ

次のパラメータを使用してコネクタを構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
プロダクト フィールド名 文字列 プロダクト名 ○ ソース フィールド名を入力してプロダクト フィールド名を取得します。
イベント フィールド名 文字列 event_type ○ ソース フィールド名を入力してイベント フィールド名を取得します。
環境フィールド名 文字列 "" いいえ

環境名が保存されるフィールドの名前を記述します。

環境フィールドがない場合、その環境がデフォルトの環境です。
環境の正規表現パターン 文字列 .* いいえ

[環境フィールド名] フィールドで見つかった値に対して実行する正規表現パターン。

デフォルトは、すべてキャッチして値を変更せずに返す .* です。

ユーザーが正規表現ロジックで環境フィールドを操作できるようにするために使用されます。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
スクリプトのタイムアウト（秒） Int 180 はい 現在のスクリプトを実行している Python プロセスのタイムアウト上限。
API ルート 文字列 https:/<<api root>> はい Mimecast インスタンスの API ルート。
アプリケーション ID 文字列 なし はい Mimecast インスタンスのアプリケーション ID。
アプリケーション キー パスワード なし はい Mimecast インスタンスのアプリケーション キー。
アクセスキー パスワード なし はい Mimecast インスタンスのアクセスキー。
秘密鍵 パスワード なし はい Mimecast インスタンスのシークレット キー。
ドメイン CSV なし はい メッセージをクエリするドメインのカンマ区切りのリスト。
取得する最も低いリスク 文字列 なし いいえ

メッセージの取得に使用される最も低いリスク。値は次のいずれかです。

最小、低、中、高。

何も指定しない場合、コネクタはすべてのメッセージを取り込みます。
ステータス フィルタ CSV 開催

メッセージのステータス フィルタのカンマ区切りリスト。有効な値: delivery、held、accepted、bounced、deferred、rejected、archived。

何も指定しない場合、コネクタはすべてのメッセージを取り込みます。
ルートフィルタ CSV なし

メッセージのルートフィルタのカンマ区切りリスト。有効な値: internal、outbound、inbound。

何も指定しない場合、コネクタはすべてのメッセージを取り込みます。
キューの理由フィルタ CSV なし

メッセージをフィルタリングするキューの理由のカンマ区切りのリスト。何も指定されていない場合、このフィルタは無視されます。
リスクのないメッセージの取り込み チェックボックス 有効にすると、リスクに関する情報がない場合でも、コネクタはメッセージを取り込みます。これらのメッセージから生成された Google SecOps アラートの優先度は [Informational] に設定されます。
最大遡及時間 整数 1 いいえ メッセージを取得する時間。デフォルト: 1 時間。最大: 30 日。
返されるメッセージの最大数 Integer 100 いいえ 1 回のコネクタの反復処理で処理するメッセージの数。デフォルト: 100。
許可リストを拒否リストとして使用 チェックボックス オン はい 有効にすると、許可リストが拒否リストとして使用されます。
SSL を確認 チェックボックス オン はい 有効になっている場合は、Mimecast サーバーへの接続用の SSL 証明書が有効であることを確認します。
プロキシ サーバーのアドレス 文字列 なし いいえ 使用するプロキシ サーバーのアドレス。
プロキシのユーザー名 文字列 なし いいえ 認証に使用するプロキシのユーザー名。
プロキシ パスワード パスワード なし いいえ 認証に使用するプロキシ パスワード。

コネクタ ルール

プロキシのサポート

コネクタでプロキシがサポートされます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。