Proofpoint Cloud Threat Response in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Proofpoint Cloud Threat Response in Google Security Operations einbinden.

Anwendungsfälle

Die Integration von Proofpoint Cloud Threat Response deckt die folgenden Anwendungsfälle für den Sicherheitsbetrieb ab:

• Automatisierte Vorfallaufnahme: Vorfälle und zugehörige E‑Mail-Nachrichten automatisch von Proofpoint in Google SecOps übertragen, um die manuelle Überwachung zu reduzieren und die Triage zu beschleunigen.

• Priorisierte Reaktion auf Bedrohungen: Aufgenommene Warnungen anhand bestimmter Schweregrad- und Konfidenzschwellenwerte filtern, damit sich Analysten zuerst auf Bedrohungen mit hoher Auswirkung konzentrieren können.

• Detaillierte Analyse von Ergebnissen: Workflows optimieren, indem Vorfälle nach Proofpoint-Ergebnissen (z. B. „Bedrohung“ oder „Manuelle Überprüfung“) und Dispositionen (z. B. „Malware“ oder „Phishing“) gefiltert werden.

• Benutzerdefinierte Umgebungszuordnung: Aufgenommene Warnungen mithilfe der Feldzuordnung und regulärer Ausdrucksmuster dynamisch bestimmten Umgebungen zuweisen, um eine ordnungsgemäße Datentrennung und Unterstützung für mehrere Mandanten zu gewährleisten.

Hinweis

Bevor Sie die Integration in der Google SecOps-Plattform konfigurieren, prüfen Sie, ob Sie Folgendes haben:

• Proofpoint API-Anmeldedaten: Eine gültige Client-ID und ein gültiger Clientschlüssel, die von Ihrem Proofpoint Threat Response-Konto generiert wurden. Diese Anmeldedaten sind erforderlich, damit sich die Integration authentifizieren und ein Bearer-Token generieren kann.

• API-Stamm-URL: Der spezifische Endpunkt für Ihre Proofpoint Cloud Threat Response-Instanz (Standard ist https://threatprotection-api.proofpoint.com).

• Netzwerkzugriff: Die Google SecOps-Plattform muss über Port 443 mit den Proofpoint API-Endpunkten kommunizieren können. Wenn Ihre Organisation einen Proxy verwendet, halten Sie die Adresse und die Anmeldedaten des Proxyservers bereit.

Integrationsparameter

Für die Integration von Proofpoint Cloud Threat Response sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
API Root	Erforderlich. Die API-Stamm-URL der Proofpoint Cloud Threat Response-Instanz. Der Standardwert ist https://threatprotection-api.proofpoint.com.
Client ID	Erforderlich. Die Client-ID, die für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Client Secret	Erforderlich. Der Clientschlüssel, der für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Verify SSL	Erforderlich. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Proofpoint Cloud Threat Response-Server hergestellt wird. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen in „Mein Arbeitsbereich“ reagieren und Manuelle Maßnahme ausführen.

Ping

Mit der Aktion Ping können Sie die Verbindung zu Proofpoint Cloud Threat Response testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall‑Repository	Nicht verfügbar
Link im Fall‑Repository	Nicht verfügbar
Tabelle im Fall‑Repository	Nicht verfügbar
Tabelle zur Anreicherung	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Skriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabenachricht	Beschreibung der Nachricht
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	Die Aktion wurde erfolgreich ausgeführt.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Skriptergebnis

In der folgenden Tabelle ist der Wert für die Skriptergebnisausgabe aufgeführt, wenn Sie die Aktion Ping verwenden:

Name des Skriptergebnisses	Wert
is_success	true oder false

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps, siehe Daten aufnehmen (Connectors).

Hinweis:Um Datenverlust zu vermeiden, verwenden Connectors Event Flattening. Wenn eine Rohwarnung eine Liste von Entitäten enthält (z. B. mehrere E‑Mail-Adressen, Hostnamen oder IP-Adressen), werden diese von Connectors automatisch in separate, eindeutige Ereignisse umgewandelt.

Beispiel: Eine einzelne Rohwarnung mit drei verschiedenen E‑Mail-Adressen wird als drei separate Ereignisse aufgenommen, die jeweils eine eindeutige E‑Mail-Adresse enthalten.

So wird sichergestellt, dass jede Entität korrekt als eindeutiges Asset indexiert wird und in Playbooks vollständig durchsuchbar und nutzbar ist.

Proofpoint Cloud Threat Response – Vorfälle-Connector

Mit dem Proofpoint Cloud Threat Response – Vorfälle-Connector können Sie Vorfälle und zugehörige Nachrichtendaten aus Proofpoint Cloud Threat Response abrufen und als Warnungen in Google SecOps aufnehmen.

Hinweis: Dieser Connector unterstützt Proxyserver und Umgebungsaliase.

Für jeden Proofpoint-Vorfall erstellt der Connector eine Google SecOps-Warnung. Die primären Vorfalldaten werden als Ereignistyp „Vorfall“ aufgenommen, während zugehörige Nachrichtendaten als Ereignistyp „Nachricht“ aufgenommen werden.

Connectoreingaben

Für den Proofpoint Cloud Threat Response – Vorfälle-Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Erforderlich. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallbackwert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Erforderlich. Der Name des Felds, das den Ereignisnamen oder den Untertyp bestimmt. Der Standardwert ist product.
Environment Field Name	Optional. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein regulärer Ausdruck, mit dem der Umgebung wert aus Environment Field Name extrahiert oder manipuliert wird. Der Standardwert ist .*.
Script Timeout (Seconds)	Erforderlich. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Skript ausführt. Der Standardwert ist 180.
API Root	Erforderlich. Die API-Stamm-URL der Proofpoint Cloud Threat Response-Instanz. Der Standardwert ist https://threatprotection-api.proofpoint.com.
Client ID	Erforderlich. Die Client-ID, die für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Client Secret	Erforderlich. Der Clientschlüssel, der für die Authentifizierung bei der Proofpoint Cloud Threat Response-Instanz verwendet wird.
Lowest Severity To Fetch	Optional. Der niedrigste Schweregrad von Vorfällen, die abgerufen werden sollen. Wenn Sie beispielsweise `Medium` auswählen, Mediumwerden sowohl Vorfälle mit mittlerem als auch mit hohem Schweregrad abgerufen. Folgende Werte sind möglich: Low Medium High
Status Filter	Optional. Eine durch Kommas getrennte Liste von Vorfallstatus, die in die Aufnahme einbezogen werden sollen. Die möglichen Werte sind Open und Closed. Der Standardwert ist Open.
Lowest Confidence To Fetch	Optional. Der niedrigste Konfidenzgrad von Vorfällen, die abgerufen werden sollen. Wenn Sie beispielsweise `Medium` auswählenMedium, werden sowohl Vorfälle mit mittlerem als auch mit hohem Konfidenzgrad abgerufen. Folgende Werte sind möglich: Low Medium High
Disposition Filter	Optional. Eine durch Kommas getrennte Liste der Dispositionen, die einbezogen werden sollen (z. B. malware, phish, suspicious).
Verdict Filter	Optional. Eine durch Kommas getrennte Liste der Ergebnisse, die in die Aufnahme einbezogen werden sollen. Die möglichen Werte sind Failed, Low Risk, Manual Review, und Threat.
Max Hours Backwards	Erforderlich. Die Anzahl der Stunden vor der aktuellen Zeit, nach denen bei der ersten Iteration oder wenn der Zeitstempel abläuft, nach Vorfällen gesucht werden soll. Der Standardwert ist 1.
Max Incidents To Fetch	Erforderlich. Die maximale Anzahl von Vorfällen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 9. Der Standardwert ist 9.
Use dynamic list as a blocklist	Erforderlich. Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste (basierend auf Quellwerten) als Blocklist, um bestimmte Vorfälle auszuschließen. Standardmäßig deaktiviert.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps Überlaufmechanismus. Standardmäßig deaktiviert.
Verify SSL	Erforderlich. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Proofpoint Cloud Threat Response-Server hergestellt wird. Standardmäßig deaktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten.