שלב את Proofpoint Cloud Threat Response עם Google SecOps

מסמך זה מסביר כיצד לשלב את Proofpoint Cloud Threat Response עם Google Security Operations.

תרחישים לדוגמה

האינטגרציה של Proofpoint Cloud Threat Response מטפלת במקרי השימוש הבאים בפעולות האבטחה:

  • קליטה אוטומטית של אירועים: משיכה אוטומטית של אירועים והודעות דוא"ל קשורות מ-Proofpoint אל Google SecOps כדי להפחית ניטור ידני ולהאיץ את תהליך הטריאז'.

  • תגובה לאיומים בעדיפות גבוהה: סנן התראות שנקלטו על סמך חומרה ספציפית וספי ביטחון כדי להבטיח שאנליסטים יתמקדו תחילה באיומים בעלי השפעה גבוהה.

  • ניתוח מדויק של פסקי דין: ייעול זרימות עבודה על ידי סינון אירועים המבוססים על פסקי דין של Proofpoint (כגון איום או סקירה ידנית) וטיפולים (כגון תוכנות זדוניות או פישינג).

  • מיפוי סביבה מותאם אישית: הקצאה דינמית של התראות שנבלעו לסביבות ספציפיות באמצעות מיפוי שדות ותבניות ביטוי רגולרי, תוך הבטחת הפרדת נתונים נאותה ותמיכה בריבוי משתמשים.

לפני שמתחילים

לפני שמגדירים את השילוב בפלטפורמת Google SecOps, צריך לוודא שיש לכם את הדברים הבאים:

  • פרטי Proofpoint API: מזהה לקוח וסוד לקוח תקפים שנוצרו מחשבון Proofpoint Threat Response שלך. אישורים אלה נדרשים לאימות וליצירת אסימון Bearer על ידי האינטגרציה.

  • כתובת URL של בסיס ה-API: נקודת הקצה הספציפית עבור מופע Proofpoint Cloud Threat Response שלך ​​ (ברירת המחדל היא https://threatprotection-api.proofpoint.com).

  • גישה לרשת: יש לוודא שפלטפורמת Google SecOps יכולה לתקשר עם נקודות הקצה של Proofpoint API דרך פורט 443. אם הארגון שלך משתמש בשרת פרוקסי, ודאו שכתובת שרת הפרוקסי ופרטי הגישה זמינים.

פרמטרים של שילוב

האינטגרציה של Proofpoint Cloud Threat Response דורשת את הפרמטרים הבאים:

פרמטר תיאור
API Root

חובה.

כתובת ה-URL של ה-API הבסיסית של מופע Proofpoint Cloud Threat Response.

ערך ברירת המחדל הוא https://threatprotection-api.proofpoint.com.
Client ID

חובה.

מזהה הלקוח המשמש לאימות עם מופע Proofpoint Cloud Threat Response.
Client Secret

חובה.

סוד הלקוח המשמש לאימות עם מופע Proofpoint Cloud Threat Response.
Verify SSL

חובה.

אם האפשרות הזו נבחרה, האינטגרציה מאמתת את אישור ה-SSL כשמתחברים לשרת Proofpoint Cloud Threat Response.

ההגדרה הזו מופעלת כברירת מחדל.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות שממתינות לאישור ב-Your Workdesk ואיך מבצעים פעולה ידנית.

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-Proofpoint Cloud Threat Response.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters! הפעולה הסתיימה בהצלחה.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט ערך
is_success true או false

מחברים

מידע נוסף על הגדרת מחברים ב-Google SecOps זמין במאמר הוספת נתונים (מחברים).

Proofpoint Cloud Threat Response - Incidents Connector

אתם יכולים להשתמש במחבר האירועים של Proofpoint Cloud Threat Response כדי לאחזר אירועים ונתוני הודעות קשורים מ-Proofpoint Cloud Threat Response ולהטמיע אותם כהתראות ב-Google SecOps.

כניסות קלט של מחברים

מחבר האירועים של Proofpoint Cloud Threat Response דורש את הפרמטרים הבאים:

פרמטר תיאור
Product Field Name

חובה.

שם השדה שבו מאוחסן שם המוצר.

השם של המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי.

ערך ברירת המחדל הוא Product Name.
Event Field Name

חובה.

שם השדה שקובע את שם האירוע או סוג המשנה.

ערך ברירת המחדל הוא product.
Environment Field Name

זה שינוי אופציונלי.

השם של השדה שקובע את שם האירוע (סוג משנה).

ערך ברירת המחדל הוא "".
Environment Regex Pattern

זה שינוי אופציונלי.

תבנית של ביטוי רגולרי לחילוץ או לשינוי של ערך הסביבה מ-Environment Field Name.

ערך ברירת המחדל הוא .*.
Script Timeout (Seconds)

חובה.

מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 180.
API Root

חובה.

כתובת ה-URL הבסיסית של ה-API של מופע Proofpoint Cloud Threat Response.

ערך ברירת המחדל הוא https://threatprotection-api.proofpoint.com.
Client ID

חובה.

מזהה הלקוח המשמש לאימות עם מופע Proofpoint Cloud Threat Response.
Client Secret

חובה.

סוד הלקוח המשמש לאימות עם מופע Proofpoint Cloud Threat Response.
Lowest Severity To Fetch

זה שינוי אופציונלי.

רמת החומרה הנמוכה ביותר של אירועים לאחזור. לדוגמה, בחירה ב-Medium מאחזרת אירועים בחומרה בינונית וגבוהה כאחד.

הערכים האפשריים הם:

  • Low
  • Medium
  • High
Status Filter

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של סטטוסים של אירועים שיש לכלול בקליטה.

הערכים האפשריים הם Open ו-Closed.

ערך ברירת המחדל הוא Open.
Lowest Confidence To Fetch

זה שינוי אופציונלי.

רמת הביטחון הנמוכה ביותר של אירועים לאחזור. לדוגמה, בחירה ב-Medium מאחזרת אירועים בעלי רמת ביטחון בינונית וגבוהה כאחד.

הערכים האפשריים הם:

  • Low
  • Medium
  • High
Disposition Filter

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של פסיקות שיש לכלול (לדוגמה, malware, phish, suspicious).
Verdict Filter

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של פסקי דין שיש לכלול בקליטה.

הערכים האפשריים הם Failed, Low Risk, Manual Review ו-Threat.
Max Hours Backwards

חובה.

מספר השעות לפני הזמן הנוכחי לחיפוש אירועים במהלך האיטרציה הראשונה או אם חותמת הזמן פגה.

ערך ברירת המחדל הוא 1.
Max Incidents To Fetch

חובה.

המספר המרבי של אירועים לעיבוד בכל איטרציה של מחבר.

הערך המקסימלי הוא 9.

ערך ברירת המחדל הוא 9.
Use dynamic list as a blocklist

חובה.

אם אפשרות זו נבחרה, המחבר משתמש ברשימה הדינמית (המבוססת על ערכי מקור) כרשימת חסימה כדי לא לכלול אירועים ספציפיים.

ההגדרה מושבתת כברירת מחדל.
Disable Overflow

זה שינוי אופציונלי.

אם נבחר, המחבר מתעלם ממנגנון הגלישה של Google SecOps.

ההגדרה מושבתת כברירת מחדל.
Verify SSL

חובה.

אם נבחר, האינטגרציה מאמתת את אישור ה-SSL בעת התחברות לשרת Proofpoint Cloud Threat Response.

ההגדרה מושבתת כברירת מחדל.
Proxy Server Address

זה שינוי אופציונלי.

הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username

זה שינוי אופציונלי.

שם המשתמש של ה-proxy לאימות.
Proxy Password

זה שינוי אופציונלי.

סיסמת ה-proxy לאימות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.