Mimecast

集成版本：9.0

使用场景

  1. 提取消息
  2. 执行分流操作（拒绝/放行/举报邮件）

准备工作

如需配置 Mimecast 集成，您必须先在 Mimecast 管理控制台中创建具有所需权限的 Mimecast 角色。

所需权限如下：

  • Account | Dashboard | Read

  • Account | Monitoring | Held | Edit

  • Archive | Search Logs | Read

  • Archive | View Logs | Read

  • Gateway | Managed Senders | Edit

  • Gateway | Policies | Edit

  • Gateway | Policies | Read

  • Gateway | Tracking | Read

在 Google SecOps 中配置 Mimecast 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 是否为必需属性 说明
API 根 字符串 https:/<<api root>> 是 Mimecast 实例的 API 根。
应用 ID 字符串 不适用 是 Mimecast 实例的应用 ID。
应用密钥 密码 不适用 是 Mimecast 实例的应用密钥。
访问密钥 密码 不适用 是 Mimecast 实例的访问密钥。
密钥 密码 不适用 是 Mimecast 实例的密钥。
验证 SSL 复选框 勾选 是 如果启用，则验证与 Mimecast 服务器的连接的 SSL 证书是否有效。
注意：如果需要，您可以在稍后阶段进行更改。配置完成后，您可以在 playbook 中使用实例。如需详细了解如何配置和支持多个实例，请参阅 [支持多个实例](/chronicle/docs/soar/respond/integrations-setup/supporting-multiple-instances)。 ## 集成配置的细微差别 1. Google Security Operations 服务器需要与 Mimecast 服务器同步。 1. 如需了解配置所需的所有参数，请访问以下链接： [https://community.mimecast.com/s/article/Managing-API-Applications-505230018](https://community.mimecast.com/s/article/Managing-API-Applications-505230018) 和 [https://community.mimecast.com/s/article/Mimecast-Data-Centers-and-网址s-61190061](https://community.mimecast.com/s/article/Mimecast-Data-Centers-and-网址s-61190061) ## 操作 ### Ping #### 说明 使用 Google SecOps Marketplace 标签页中集成配置页面上提供的参数测试与 Mimecast 的连接。 #### 参数 不适用 #### 运行对象 此操作不会在实体上运行。 #### 操作结果 ##### 脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果成功：“Successfully connected to the Mimecast server with the provided connection parameters!”

操作应失败并停止 playbook 执行：
如果不成功：“Failed to connect to the Mimecast server!错误为 {0}".format(exception.stacktrace)

 常规

说明

使用 Mimecast 中定义的参数搜索归档的电子邮件。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
要返回的字段 CSV

attachmentcount、status、subject、
size、receiveddate、displayfrom、
displayfromaddress、id、displayto、
displaytoaddresslist、smash

 是 指定需要返回的字段的英文逗号分隔列表。
邮箱 CSV 不适用 否 指定需要搜索的邮箱的英文逗号分隔列表。
发件人 CSV 不适用 否 指定以英文逗号分隔的电子邮件地址列表，这些电子邮件地址是相应电子邮件的发送方。
收件人 CSV 不适用 否 指定以英文逗号分隔的电子邮件地址列表，这些电子邮件地址是电子邮件的收件人。
主题 字符串 不适用 否 指定需要搜索的主题。
时间范围 DDL

过去 1 小时

可能的值：

过去 1 小时

过去 6 小时

过去 24 小时

上周

上个月

自定义

 是 指定搜索的时间范围。如果选择“自定义”，您还需要提供“开始时间”。
开始时间 字符串 不适用 否 指定搜索的开始时间。如果为“时间范围”参数选择“自定义”，则此参数是必需的。格式：ISO 8601
结束时间 字符串 不适用 否 指定搜索的结束时间。格式：ISO 8601。如果未提供任何值，并且为“时间范围”参数选择了“自定义”，则此参数将使用当前时间。
要返回的电子邮件数量上限 集成 50 否 指定要返回的电子邮件数量。默认值：50。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：
如果数据可用（is_success = true）：“Successfully found archive emails for the provided criteria in Mimecast”（已成功在 Mimecast 中找到符合所提供条件的归档电子邮件）。

如果数据不可用 (is_success=true)：“未在 Mimecast 中找到符合所提供条件的归档电子邮件”



该操作应失败并停止 playbook 执行：
如果出现致命错误，例如凭据错误、无法连接到服务器等：“执行操作‘简单归档搜索’时出错。原因：{0}''.format(error.Stacktrace)

如果“开始时间”为空，且“时间范围”为“自定义”：“执行操作‘简单归档搜索’时出错。原因：如果“时间范围”参数中选择了“自定义”，则应提供“开始时间”。

如果失败/错误有值：执行操作“简单归档搜索”时出错。原因：失败/错误/消息”。

 常规
“案例墙”表格

名称：结果

列：

响应中的所有键

 常规

说明

在 Mimecast 中使用自定义 XML 查询搜索归档的电子邮件。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
XML 查询 XML 不适用 是 指定在搜索归档电子邮件时应使用的 XML 查询。如需了解详情，请参阅相关文档。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：
如果数据可用（is_success = true）：“Successfully found archive emails for the provided criteria in Mimecast”（已成功在 Mimecast 中找到符合所提供条件的归档电子邮件）。

如果数据不可用 (is_success=true)：“No archive emails were found for the provided criteria in Mimecast”（未在 Mimecast 中找到符合所提供条件的归档电子邮件）。

操作应失败并停止 playbook 执行：
如果出现致命错误（例如凭据错误、无法连接到服务器等）：“Error executing action "Advanced Archive Search"”（执行“高级归档搜索”操作时出错）。原因：{0}''.format(error.Stacktrace)

如果失败/错误有值：执行操作“高级归档搜索”时出错。原因：失败/错误/消息”。

 常规
“案例墙”表格

名称：结果

列：

响应中的所有键

 常规

拒绝邮件

说明

拒绝 Mimecast 中的邮件。 注意：只有状态为“待处理”的消息才能被拒绝。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
邮件 ID 字符串 不适用 是 指定需要拒绝的消息的 ID。
注意 字符串 不适用 否 指定一条附加备注，其中包含有关邮件被拒原因的说明。
原因 DLL

选择一项

可能的值：

选择一项

不当沟通

机密信息

违反了电子邮件政策

受限内容

 否 指定拒绝原因。
通知发件人 复选框 尚未核查 否 如果已启用，操作将通知发件人拒绝情况。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

该操作不应失败，也不应停止剧本执行：
如果响应中没有“错误”(is_success = true)：“已成功拒绝 Mimecast 中 ID 为 "{ID}" 的邮件”。

操作应失败并停止 playbook 执行：
如果出现致命错误，例如凭据错误、无法连接到服务器等：“执行操作‘拒绝消息’时出错。”原因：{0}''.format(error.Stacktrace)

如果失败/错误有值：执行操作“拒绝消息”时出错。原因：失败/错误/消息”。

 常规

发布消息

说明

在 Mimecast 中释放邮件。 注意：只有状态为“暂缓”的消息可以放行。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
邮件 ID 字符串 不适用 是 指定需要释放的消息的 ID。
发布到沙盒 复选框 不适用 否 如果已启用，操作会将消息释放到沙盒。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值/说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：
如果响应中没有“错误”(is_success = true)：“Successfully released message with ID "{ID}" in Mimecast”（已在 Mimecast 中成功发布 ID 为“{ID}”的消息）。

操作应失败并停止 playbook 执行：
如果出现严重错误，例如凭据错误、无法连接到服务器等：“Error executing action "Release Message"”（执行“Release Message”操作时出错）。原因：{0}''.format(error.Stacktrace)

如果失败/错误有值：执行操作“发布消息”时出错。原因：失败/错误/消息”。

 常规

举报消息

说明

在 Mimecast 中举报消息。 注意：只有状态为“已保留”“已归档”“已退回”的消息才能被举报。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
消息 ID 字符串 不适用 是 指定需要举报的消息的 ID。
报告为 DDL

垃圾内容

可能的值：

垃圾内容

恶意软件

网上诱骗

 否 指定消息的报告类型。
评论 字符串 不适用 否 指定报告的评论。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：
如果数据可用（is_success = true）：“Successfully reported the following messages with ID "{ID}" in Mimecast”（已成功在 Mimecast 中报告以下 ID 为“{ID}”的消息）。

操作应失败并停止 playbook 执行：
如果出现严重错误，例如凭据错误、无法连接到服务器等：“Error executing action "Report Message"”（执行“报告消息”操作时出错）。原因：{0}''.format(error.Stacktrace)

如果 fail/errors 有值：执行操作“报告消息”时出错。原因：失败/错误/消息”。

 常规

屏蔽发件人

说明

在 Mimecast 中屏蔽发件人。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
发件人 字符串 不适用 是 指定要屏蔽的发件人的电子邮件地址。
收件人 字符串 不适用 是 指定要屏蔽的收件人的电子邮件地址。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果响应中没有“错误”(is_success = true)：“Successfully blocked sender {sender} for recipient {recipient} in Mimecast”（已成功在 Mimecast 中为收件人 {recipient} 屏蔽发件人 {sender}）。

操作应失败并停止 playbook 执行：
如果出现致命错误，例如凭据错误、无法连接到服务器等：“执行操作‘屏蔽发件人’时出错。原因：{0}''.format(error.Stacktrace)

如果 fail/errors 具有值：执行操作“屏蔽发件人”时出错。原因：失败/错误/消息”。

 常规

允许发件人

说明

在 Mimecast 中允许发件人。

参数

参数显示名称 类型 默认值 是否为必需属性 说明
发件人 字符串 不适用 是 指定要允许的发件人的电子邮件地址。
收件人 字符串 不适用 是 指定要允许的收件人的电子邮件地址。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
案例墙
结果类型 值 / 说明 类型
输出消息*

该操作不应失败，也不应停止 playbook 执行：
如果响应中没有“errors”（is_success = true）：“Successfully permitted sender {sender} for recipient {recipient} in Mimecast”。

操作应失败并停止 playbook 执行：
如果出现致命错误（例如凭据错误、无法连接到服务器、其他错误）：“执行操作‘允许发件人’时出错。原因：{0}''.format(error.Stacktrace)

如果 fail/errors 具有值：执行操作“允许发件人”时出错。原因：失败/错误/消息”。

 常规

创建“屏蔽发件人”政策

在 Mimecast 中创建“屏蔽发件人”政策。

运行于

此操作不会在任何实体上运行。

参数

参数显示名称 类型 默认值 水印 是否为必需属性 说明
响应 DDL 不适用 不适用 否 提供将与所创建政策相关联的响应类型。
说明 字符串 不适用 不适用 是 政策的说明。
提取的数据 DDL 不适用 不适用 定义应从何处提取发件人和收件人的相关信息。
发件人 字符串 不适用 不适用 否 消息应由谁发送，才能被屏蔽。仅当“发件人类型”为以下值之一时才需要：电子邮件网域、电子邮件地址、标头显示名称。如果选择了其他“来源类型”值，系统会忽略此参数。
发件人类型 DDL 不适用 不适用 否 相应政策的发件人类型。
收件人 字符串 不适用 不适用 否 应将消息发送给谁，才能将其屏蔽。仅当“收件人类型”为以下任一值时才需要：电子邮件网域、电子邮件地址、标头显示名称。如果选择了其他“收件人类型”值，系统会忽略此参数。
接收者类型 DDL 不适用 不适用 否 相应政策的收件人类型。
评论 字符串 不适用 不适用 否 政策的注释。
双向 布尔值 不适用 不适用 否 如果启用，此政策将以双向方式定义。
已实施 布尔值 不适用 不适用 否 如果启用，系统会强制执行此政策。
开始时间 字符串 不适用 不适用 否 政策的开始时间。如果未提供任何内容，则开始时间将设置为永久。采用 ISO 8601 格式。示例：2025-03-07T16:03:00Z
结束时间 字符串 不适用 不适用 否 政策的结束时间。如果未提供任何内容，结束时间将设置为永久。采用 ISO 8601 格式。示例：2025-03-07T16:03:00Z

操作执行结果

类型 可用
脚本结果 正确
JSON 结果 正确
丰富化表 错误
“案例墙”表格 错误
案例墙链接 错误
案例墙附件 错误
脚本结果
脚本结果名称 值选项
is_success is_success=False
is_success is_success=True
JSON 结果
{
   "option": "block_sender",
   "id": "eNo1jr0OgjAYAN-lqw79QKyYOCCSiCJGqSCjlmqQn2ILNmp8d3Fwv8vdGynOOsnzDE3RSsP4ZTT0tPUMO3DL1pK-LrFZzzfJ9XJTrC78yPZgcc7CW1QdSLuUo11Mfc2rpIsfxlxQHFsDFXKPdkeq10ym7uJeDIKLA6Z66T1NUklI4c3QEDWizNnzVzYnBthDxDrViopLJjLe77iHyAEgjkmgpx9cqlzUaAp_kz4b7vc2YDzCny9vYUEo",
   "policy": {
       "description": "Description",
       "fromPart": "both",
       "from": {
           "type": "individual_email_address",
           "emailAddress": "example@exampl.com"
       },
       "to": {
           "type": "individual_email_address",
           "emailAddress": "exampleto@exampl.com"
       },
       "fromType": "individual_email_address",
       "fromValue": "example@exampl.com",
       "toType": "individual_email_address",
       "toValue": "exampleto@exampl.com",
       "fromEternal": true,
       "toEternal": true,
       "fromDate": "1900-01-01T00:00:00+0000",
       "toDate": "2100-01-01T23:59:59+0000",
       "override": false,
       "bidirectional": false,
       "conditions": {},
       "enabled": true,
       "enforced": true,
       "createTime": "2025-03-27T12:51:46+0000",
       "lastUpdated": "2025-03-27T12:51:46+0000"
   }
}
案例墙
结果类型 值/说明 类型（实体\常规）
输出消息*

操作不应失败或停止 playbook 执行：


如果响应中没有“错误”(is_success = true)： 打印“Successfully created a block sender policy in Mimecast”。

操作应失败并停止 playbook 执行：

如果出现致命错误（例如凭据错误、无法连接到服务器、其他错误）：打印“Error executing action "{action name}". 原因：{0}''.format(error.Stacktrace)

如果失败/错误有值：执行操作“{action name}”时出错。原因：失败/错误/消息”。

连接器

Mimecast - 邮件跟踪连接器

说明

从 Mimecast 的“Message Tracking”（邮件跟踪）标签页中提取有关邮件的信息。 注意：白名单适用于“queueDetailStatus/bounceType”参数。

在 Google SecOps 中配置 Mimecast - Message Tracking Connector

有关如何在 Google SecOps 中配置连接器的详细说明，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称 类型 默认值 是否为必需属性 说明
商品字段名称 字符串 产品名称 是 输入源字段名称，以便检索产品字段名称。
事件字段名称 字符串 event_type 是 输入源字段名称，以便检索事件字段名称。
环境字段名称 字符串 "" 否

描述存储环境名称的字段的名称。

如果找不到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否

要对“环境字段名称”字段中找到的值运行的正则表达式模式。

默认值为 .*，用于捕获所有内容并返回未更改的值。

用于允许用户通过正则表达式逻辑来操纵环境字段。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 180 是 运行当前脚本的 Python 进程的超时时间限制。
API 根 字符串 https:/<<api root>> 是 Mimecast 实例的 API 根。
应用 ID 字符串 不适用 是 Mimecast 实例的应用 ID。
应用密钥 密码 不适用 是 Mimecast 实例的应用密钥。
访问密钥 密码 不适用 是 Mimecast 实例的访问密钥。
密钥 密码 不适用 是 Mimecast 实例的密钥。
网域 CSV 不适用 是 要查询消息的网域的英文逗号分隔列表。
最低提取风险 字符串 不适用 否

用于提取消息的最低风险。可能的值：

可忽略、低、中、高。

如果未提供任何内容，连接器将注入所有消息。
“状态”过滤条件 CSV held

以英文逗号分隔的消息状态过滤条件列表。可能的值：delivery、held、accepted、bounced、deferred、rejected、archived。

如果未提供任何内容，连接器将注入所有消息。
路线过滤条件 CSV 不适用

以英文逗号分隔的邮件路由过滤器。可能的值：internal、outbound、inbound。

如果未提供任何内容，连接器将注入所有消息。
队列原因过滤条件 CSV 不适用

应过滤的消息的队列原因的英文逗号分隔列表。如果未提供任何内容，系统会忽略此过滤条件。
无风险地提取消息 复选框 如果启用，即使没有风险信息，连接器也会注入消息。根据这些消息生成的 Google SecOps 提醒的优先级将设置为“信息”。
回溯的小时数上限 整数 1 否 提取消息的小时数。默认值：1 小时。最长：30 天。
要返回的消息数量上限 整数 100 否 每次连接器迭代要处理的消息数量。默认值：100。
将白名单用作黑名单 复选框 勾选 是 如果启用，白名单将用作黑名单。
验证 SSL 复选框 勾选 是 如果启用，则验证与 Mimecast 服务器的连接的 SSL 证书是否有效。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

代理支持

连接器支持代理。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。