Intégrer Proofpoint Cloud Threat Response à Google SecOps

Ce document explique comment intégrer Proofpoint Cloud Threat Response à Google Security Operations.

Cas d'utilisation

L'intégration de Proofpoint Cloud Threat Response répond aux cas d'utilisation suivants des opérations de sécurité :

• Ingestion automatisée des incidents : extrayez automatiquement les incidents et les e-mails associés de Proofpoint vers Google SecOps pour réduire la surveillance manuelle et accélérer le tri.

• Réponse prioritaire aux menaces : filtrez les alertes ingérées en fonction de seuils de gravité et de confiance spécifiques pour vous assurer que les analystes se concentrent d'abord sur les menaces à fort impact.

• Analyse granulaire des verdicts : simplifiez les workflows en filtrant les incidents en fonction des verdicts de Proofpoint (par exemple, "Menace" ou "Examen manuel") et des dispositions (par exemple, "Logiciel malveillant" ou "Hameçonnage").

• Mappage d'environnement personnalisé : attribuez de manière dynamique les alertes ingérées à des environnements spécifiques à l'aide du mappage de champs et de modèles d'expressions régulières, ce qui garantit une séparation appropriée des données et la compatibilité avec l'architecture mutualisée.

Avant de commencer

Avant de configurer l'intégration dans la plate-forme Google SecOps, vérifiez que vous disposez des éléments suivants :

• Identifiants de l'API Proofpoint : un ID client et un code secret du client valides générés à partir de votre compte Proofpoint Threat Response. Ces identifiants sont requis pour que l'intégration s'authentifie et génère un jeton de support.

• URL racine de l'API : point de terminaison spécifique de votre instance Proofpoint Cloud Threat Response (la valeur par défaut est https://threatprotection-api.proofpoint.com).

• Accès au réseau : assurez-vous que la plate-forme Google SecOps peut communiquer avec les points de terminaison de l'API Proofpoint via le port 443. Si votre organisation utilise un proxy, assurez-vous de disposer de l'adresse et des identifiants du serveur proxy.

Paramètres d'intégration

L'intégration Proofpoint Cloud Threat Response nécessite les paramètres suivants :

Paramètre	Description
API Root	Obligatoire. URL racine de l'API de l'instance Proofpoint Cloud Threat Response. La valeur par défaut est https://threatprotection-api.proofpoint.com.
Client ID	Obligatoire. ID client utilisé pour s'authentifier auprès de l'instance Proofpoint Cloud Threat Response.
Client Secret	Obligatoire. Code secret du client utilisé pour s'authentifier auprès de l'instance Proofpoint Cloud Threat Response.
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Proofpoint Cloud Threat Response. Cette option est activée par défaut.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ping

Utilisez l'action Ping pour tester la connectivité à Proofpoint Cloud Threat Response.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	L'action a réussi.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
is_success	true ou false

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (par exemple, plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements distincts et uniques.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'élément unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

Connecteur Proofpoint Cloud Threat Response - Incidents

Utilisez le connecteur d'incidents Proofpoint Cloud Threat Response pour récupérer les incidents et les données de message associées à partir de Proofpoint Cloud Threat Response et les ingérer en tant qu'alertes dans Google SecOps.

Remarque : Ce connecteur est compatible avec les serveurs proxy et les alias d'environnement.

Pour chaque incident Proofpoint, le connecteur crée une alerte Google SecOps. Les données d'incident principales sont ingérées en tant que type d'événement "Incident", tandis que les données de message associées sont ingérées en tant que types d'événement "Message".

Entrées du connecteur

Le connecteur Proofpoint Cloud Threat Response – Incidents nécessite les paramètres suivants :

Paramètre	Description
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom de l'événement ou le sous-type. La valeur par défaut est product.
Environment Field Name	Facultatif. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est "".
Environment Regex Pattern	Facultatif. Modèle d'expression régulière permettant d'extraire ou de manipuler la valeur d'environnement à partir de Environment Field Name. La valeur par défaut est .*.
Script Timeout (Seconds)	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 180.
API Root	Obligatoire. URL racine de l'API de l'instance Proofpoint Cloud Threat Response. La valeur par défaut est https://threatprotection-api.proofpoint.com.
Client ID	Obligatoire. ID client utilisé pour s'authentifier auprès de l'instance Proofpoint Cloud Threat Response.
Client Secret	Obligatoire. Code secret du client utilisé pour s'authentifier auprès de l'instance Proofpoint Cloud Threat Response.
Lowest Severity To Fetch	Facultatif. Niveau de gravité le plus faible des incidents à récupérer. Par exemple, si vous sélectionnez Medium, les incidents de gravité moyenne et élevée sont récupérés. Les valeurs possibles sont les suivantes : Low Medium High
Status Filter	Facultatif. Liste des états d'incident à inclure dans l'ingestion, séparés par une virgule. Les valeurs possibles sont Open et Closed. La valeur par défaut est Open.
Lowest Confidence To Fetch	Facultatif. Niveau de confiance le plus bas des incidents à récupérer. Par exemple, la sélection de Medium permet de récupérer les incidents de confiance moyenne et élevée. Les valeurs possibles sont les suivantes : Low Medium High
Disposition Filter	Facultatif. Liste de dispositions à inclure, séparées par une virgule (par exemple, malware, phish, suspicious).
Verdict Filter	Facultatif. Liste de verdicts à inclure dans l'ingestion, séparés par une virgule. Les valeurs possibles sont Failed, Low Risk, Manual Review et Threat.
Max Hours Backwards	Obligatoire. Nombre d'heures avant l'heure actuelle pour rechercher des incidents lors de la première itération ou si l'horodatage expire. La valeur par défaut est 1.
Max Incidents To Fetch	Obligatoire. Nombre maximal d'incidents à traiter à chaque itération du connecteur. La valeur maximale est 9. La valeur par défaut est 9.
Use dynamic list as a blocklist	Obligatoire. Si cette option est sélectionnée, le connecteur utilise la liste dynamique (basée sur les valeurs de la source) comme liste de blocage pour exclure des incidents spécifiques. Désactivé par défaut
Disable Overflow	Facultatif. Si cette option est sélectionnée, le connecteur ignore le mécanisme de dépassement de Google SecOps. Désactivé par défaut
Verify SSL	Obligatoire. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Proofpoint Cloud Threat Response. Désactivé par défaut
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur du proxy pour l'authentification.
Proxy Password	Facultatif. Mot de passe du proxy pour l'authentification.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.