Proofpoint Cloud Threat Response in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Proofpoint Cloud Threat Response in Google Security Operations einbinden.

Anwendungsfälle

Die Integration von Proofpoint Cloud Threat Response deckt die folgenden SecOps-Anwendungsfälle ab:

• Automatisierte Aufnahme von Vorfällen: Vorfälle und zugehörige E‑Mail-Nachrichten werden automatisch aus Proofpoint in Google SecOps übertragen, um die manuelle Überwachung zu reduzieren und die Triage zu beschleunigen.

• Priorisierte Bedrohungsreaktion: Filtern Sie aufgenommene Warnungen nach bestimmten Schweregraden und Konfidenzschwellenwerten, damit sich Analysten zuerst auf Bedrohungen mit hoher Auswirkung konzentrieren können.

• Detaillierte Analyse von Ergebnissen: Optimieren Sie Workflows, indem Sie Vorfälle nach Proofpoint-Ergebnissen (z. B. Bedrohung oder manuelle Überprüfung) und Dispositionen (z. B. Malware oder Phishing) filtern.

• Benutzerdefinierte Umgebungszuordnung: Sie können aufgenommene Benachrichtigungen mithilfe von Feldzuordnungen und Mustern für reguläre Ausdrücke dynamisch bestimmten Umgebungen zuweisen. So wird eine ordnungsgemäße Datentrennung und Unterstützung für mehrere Mandanten gewährleistet.

Hinweis

Bevor Sie die Integration in der Google SecOps-Plattform konfigurieren, prüfen Sie, ob Folgendes vorhanden ist:

• Proofpoint API-Anmeldedaten: Eine gültige Client-ID und ein gültiger Clientschlüssel, die über Ihr Proofpoint Threat Response-Konto generiert wurden. Diese Anmeldedaten sind erforderlich, damit sich die Integration authentifizieren und ein Inhabertoken generieren kann.

• API-Stamm-URL: Der spezifische Endpunkt für Ihre Proofpoint Cloud Threat Response-Instanz (Standard ist https://threatprotection-api.proofpoint.com).

• Netzwerkzugriff: Sorgen Sie dafür, dass die Google SecOps-Plattform über Port 443 mit den Proofpoint API-Endpunkten kommunizieren kann. Wenn Ihre Organisation einen Proxy verwendet, halten Sie die Adresse und die Anmeldedaten des Proxyservers bereit.

Integrationsparameter

Für die Integration von Proofpoint Cloud Threat Response sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
API Root	Pflichtangabe. Die API-Stamm-URL der Proofpoint Cloud Threat Response-Instanz. Der Standardwert ist https://threatprotection-api.proofpoint.com.
Client ID	Pflichtangabe. Die Client-ID, die für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Client Secret	Pflichtangabe. Der Clientschlüssel, der für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Proofpoint Cloud Threat Response-Server hergestellt wird. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Proofpoint Cloud Threat Response zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	Die Aktion war erfolgreich.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses	Wert
is_success	true oder false

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Hinweis: Um Datenverlust zu vermeiden, verwenden Connectors Ereignis-Flattening. Wenn eine Rohbenachrichtigung eine Liste von Entitäten enthält (z. B. mehrere E-Mail-Adressen, Hostnamen oder IP-Adressen), werden diese von Connectors automatisch in separate, eindeutige Ereignisse aufgeteilt.

Beispiel: Eine einzelne Rohbenachrichtigung mit drei verschiedenen E-Mail-Adressen wird als drei separate Ereignisse aufgenommen, die jeweils eine eindeutige E-Mail-Adresse enthalten.

So wird sichergestellt, dass jede Entität korrekt als eindeutiges Asset indexiert wird, sodass sie in Playbooks vollständig durchsuchbar und nutzbar ist.

Proofpoint Cloud Threat Response – Incidents-Connector

Mit dem Proofpoint Cloud Threat Response – Incidents Connector können Sie Vorfälle und zugehörige Nachrichtendaten aus Proofpoint Cloud Threat Response abrufen und als Benachrichtigungen in Google SecOps aufnehmen.

Hinweis: Dieser Connector unterstützt Proxyserver und Umgebungs-Aliasse.

Für jeden Proofpoint-Vorfall erstellt der Connector eine Google SecOps-Benachrichtigung. Die primären Vorfalldaten werden als Ereignistyp „Incident“ aufgenommen, während die zugehörigen Nachrichtendaten als Ereignistyp „Message“ aufgenommen werden.

Connector-Eingaben

Für den Proofpoint Cloud Threat Response – Incidents Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Felds, das den Ereignisnamen oder ‑untertyp bestimmt. Der Standardwert ist product.
Environment Field Name	Optional. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein regulärer Ausdruck, um den Umgebungswert aus Environment Field Name zu extrahieren oder zu bearbeiten. Der Standardwert ist .*.
Script Timeout (Seconds)	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Die API-Stamm-URL der Proofpoint Cloud Threat Response-Instanz. Der Standardwert ist https://threatprotection-api.proofpoint.com.
Client ID	Pflichtangabe. Die Client-ID, die für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Client Secret	Pflichtangabe. Der Clientschlüssel, der für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Vorfälle. Wenn Sie beispielsweise Medium auswählen, werden sowohl Vorfälle mit mittlerem als auch mit hohem Schweregrad abgerufen. Folgende Werte sind möglich: Low Medium High
Status Filter	Optional. Eine durch Kommas getrennte Liste von Vorfallstatus, die in die Aufnahme einbezogen werden sollen. Die möglichen Werte sind Open und Closed. Der Standardwert ist Open.
Lowest Confidence To Fetch	Optional. Das niedrigste Konfidenzniveau der abzurufenden Vorfälle. Wenn Sie beispielsweise Medium auswählen, werden sowohl Vorfälle mit mittlerer als auch mit hoher Konfidenz abgerufen. Folgende Werte sind möglich: Low Medium High
Disposition Filter	Optional. Eine durch Kommas getrennte Liste der einzuschließenden Dispositionen (z. B. malware, phish, suspicious).
Verdict Filter	Optional. Eine durch Kommas getrennte Liste von Ergebnissen, die in die Aufnahme einbezogen werden sollen. Die möglichen Werte sind Failed, Low Risk, Manual Review und Threat.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor der aktuellen Zeit, in denen während der ersten Iteration oder nach Ablauf des Zeitstempels nach Vorfällen gesucht werden soll. Der Standardwert ist 1.
Max Incidents To Fetch	Pflichtangabe. Die maximale Anzahl von Vorfällen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 9. Der Standardwert ist 9.
Use dynamic list as a blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste (basierend auf Quellwerten) als Sperrliste, um bestimmte Vorfälle auszuschließen. Standardmäßig deaktiviert.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig deaktiviert.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung mit dem Proofpoint Cloud Threat Response-Server validiert. Standardmäßig deaktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten