Intégrer Proofpoint Cloud Threat Response à Google SecOps

Ce document explique comment intégrer Proofpoint Cloud Threat Response à Google Security Operations.

Cas d'utilisation

L'intégration Proofpoint Cloud Threat Response répond aux cas d'utilisation suivants pour les opérations de sécurité :

• Ingestion automatisée des incidents : récupérez automatiquement les incidents et les messages électroniques associés de Proofpoint dans Google SecOps pour réduire la surveillance manuelle et accélérer le tri.

• Réponse priorisée aux menaces : filtrez les alertes ingérées en fonction de seuils de gravité et de confiance spécifiques pour vous assurer que les analystes se concentrent d'abord sur les menaces à fort impact.

• Analyse détaillée des verdicts : rationalisez les workflows en filtrant les incidents en fonction des verdicts Proofpoint (par exemple, "Menace" ou "Examen manuel") et des dispositions (par exemple, "Logiciel malveillant" ou "Phishing").

• Mappage personnalisé de l'environnement : attribuez dynamiquement les alertes ingérées à des environnements spécifiques à l'aide du mappage de champs et de modèles d'expressions régulières, ce qui garantit une ségrégation appropriée des données et la prise en charge de la mutualisation.

Avant de commencer

Avant de configurer l'intégration dans la plate-forme Google SecOps, vérifiez que vous disposez des éléments suivants :

• Identifiants de l'API Proofpoint : un ID client et un code secret client valides générés à partir de votre compte Proofpoint Threat Response. Ces identifiants sont nécessaires pour que l'intégration s'authentifie et génère un jeton porteur.

• URL racine de l'API : point de terminaison spécifique de votre instance Proofpoint Cloud Threat Response (la valeur par défaut est https://threatprotection-api.proofpoint.com).

• Accès au réseau : assurez-vous que la plate-forme Google SecOps peut communiquer avec les points de terminaison de l'API Proofpoint sur le port 443. Si votre organisation utilise un proxy, assurez-vous d'avoir l'adresse et les identifiants du serveur proxy à portée de main.

Paramètres d'intégration

L'intégration Proofpoint Cloud Threat Response nécessite les paramètres suivants :

Paramètre	Description
API Root	Obligatoire. URL racine de l'API de l'instance Proofpoint Cloud Threat Response. La valeur par défaut est https://threatprotection-api.proofpoint.com.
Client ID	Obligatoire. ID client utilisé pour l'authentification auprès de l'instance Proofpoint Cloud Threat Response.
Client Secret	Obligatoire. Code secret client utilisé pour l'authentification auprès de l'instance Proofpoint Cloud Threat Response.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Proofpoint Cloud Threat Response. Cette option est activée par défaut.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement, si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre espace de travail et Effectuer une action manuelle.

Ping

Utilisez l'action Ping pour tester la connectivité à Proofpoint Cloud Threat Response.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien du mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Tableau d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	L'action a réussi.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
is_success	true ou false

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (telles que plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements distincts et uniques.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'actif unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

Connecteur Proofpoint Cloud Threat Response – Incidents

Utilisez le connecteur Proofpoint Cloud Threat Response – Incidents pour récupérer les incidents et les données de message associées de Proofpoint Cloud Threat Response, puis les ingérer en tant qu'alertes dans Google SecOps.

Remarque : Ce connecteur est compatible avec les serveurs proxy et les alias d'environnement.

Pour chaque incident Proofpoint, le connecteur crée une alerte Google SecOps. Les données d'incident principales sont ingérées en tant que type d'événement "Incident", tandis que les données de message associées sont ingérées en tant que types d'événements "Message".

Entrées du connecteur

Le connecteur Proofpoint Cloud Threat Response – Incidents nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour rationaliser et améliorer le processus de mappage de le connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue en une valeur de remplacement par défaut. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom ou le sous-type de l'événement. La valeur par défaut est product.
Environment Field Name	Facultatif. Nom du champ qui détermine le nom (sous-type) de l'événement. La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière permettant d'extraire ou de manipuler la valeur de l'environnement à partir de Environment Field Name. La valeur par défaut est .*.
Script Timeout (Seconds)	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. URL racine de l'API de l'instance Proofpoint Cloud Threat Response. La valeur par défaut est https://threatprotection-api.proofpoint.com.
Client ID	Obligatoire. ID client utilisé pour l'authentification auprès de l'instance Proofpoint Cloud Threat Response.
Client Secret	Obligatoire. Code secret client utilisé pour l'authentification auprès de l'instance Proofpoint Cloud Threat Response.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des incidents à récupérer. Par exemple, si vous sélectionnez Medium vous récupérez les incidents de gravité moyenne et élevée. Les valeurs possibles sont les suivantes : Low Medium High
Status Filter	Facultatif. Liste d'états d'incident séparés par une virgule à inclure dans l'ingestion. Les valeurs possibles sont Open et Closed. La valeur par défaut est Open.
Lowest Confidence To Fetch	Facultatif. Niveau de confiance le plus faible des incidents à récupérer. Par exemple, si vous sélectionnez Medium vous récupérez les incidents de niveau de confiance moyen et élevé. Les valeurs possibles sont les suivantes : Low Medium High
Disposition Filter	Facultatif. Liste de dispositions séparées par une virgule à inclure (par exemple, malware, phish, suspicious).
Verdict Filter	Facultatif. Liste de verdicts séparés par une virgule à inclure dans l'ingestion. Les valeurs possibles sont Failed, Low Risk, Manual Review, et Threat.
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'heure actuelle pour rechercher des incidents lors de la première itération ou si l'horodatage expire. La valeur par défaut est 1.
Max Incidents To Fetch	Obligatoire. Nombre maximal d'incidents à traiter dans chaque itération du connecteur. La valeur maximale est 9. La valeur par défaut est 9.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique (basée sur les valeurs sources) comme liste de blocage pour exclure des incidents spécifiques. Cette option est désactivée par défaut.
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de capacité de Google SecOps. Cette option est désactivée par défaut.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Proofpoint Cloud Threat Response. Cette option est désactivée par défaut.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.