Mengintegrasikan Proofpoint Cloud Threat Response dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan Proofpoint Cloud Threat Response dengan Google Security Operations.

Kasus penggunaan

Integrasi Proofpoint Cloud Threat Response menangani kasus penggunaan operasi keamanan berikut:

• Penyerapan insiden otomatis: Otomatis menarik insiden dan pesan email terkait dari Proofpoint ke Google SecOps untuk mengurangi pemantauan manual dan mempercepat triase.

• Respons ancaman yang diprioritaskan: Memfilter pemberitahuan yang diserap berdasarkan tingkat keparahan dan nilai minimum keyakinan tertentu untuk memastikan analis berfokus pada ancaman berdampak tinggi terlebih dahulu.

• Analisis putusan mendetail: Menyederhanakan alur kerja dengan memfilter insiden berdasarkan putusan Proofpoint (seperti Ancaman atau Tinjauan Manual) dan disposisi (seperti Malware atau Phish).

• Pemetaan lingkungan kustom: Menetapkan pemberitahuan yang diserap secara dinamis ke lingkungan tertentu menggunakan pemetaan kolom dan pola ekspresi reguler, sehingga memastikan pemisahan data yang tepat dan dukungan multi-tenant.

Sebelum memulai

Sebelum mengonfigurasi integrasi di platform Google SecOps, pastikan Anda memiliki hal berikut:

• Kredensial Proofpoint API: Client ID dan Client Secret yang valid yang dihasilkan dari akun Proofpoint Threat Response Anda. Kredensial ini diperlukan agar integrasi dapat melakukan autentikasi dan membuat token Bearer.

• URL root API: Endpoint khusus untuk instance Proofpoint Cloud Threat Response Anda (defaultnya adalah https://threatprotection-api.proofpoint.com).

• Akses jaringan: Pastikan platform Google SecOps dapat berkomunikasi dengan endpoint Proofpoint API melalui port 443. Jika organisasi Anda menggunakan proxy, pastikan alamat dan kredensial server proxy tersedia.

Parameter integrasi

Integrasi Proofpoint Cloud Threat Response memerlukan parameter berikut:

Parameter	Deskripsi
API Root	Wajib. URL Root API instance Proofpoint Cloud Threat Response. Nilai defaultnya adalah https://threatprotection-api.proofpoint.com.
Client ID	Wajib. Client ID yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Client Secret	Wajib. Client Secret yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Proofpoint Cloud Threat Response. Diaktifkan secara default.

Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap berikutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan tertunda dari Ruang Kerja Anda dan Melakukan tindakan manual.

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Proofpoint Cloud Threat Response.

Tindakan ini tidak berjalan pada entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	Tindakan berhasil.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
is_success	true atau false

Konektor

Untuk mempelajari lebih lanjut cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data Anda (konektor).

Catatan: Untuk mencegah kehilangan data, konektor menggunakan Perataan Peristiwa. Jika pemberitahuan mentah berisi daftar entity (seperti beberapa alamat email, nama host, atau alamat IP), konektor akan otomatis meratakannya menjadi peristiwa terpisah dan unik.

Misalnya, satu pemberitahuan mentah yang berisi tiga alamat email yang berbeda akan diserap sebagai tiga peristiwa terpisah, yang masing-masing berisi satu alamat email yang berbeda.

Proses ini memastikan bahwa setiap entity diindeks dengan benar sebagai aset unik, sehingga dapat sepenuhnya ditelusuri dan dapat ditindaklanjuti dalam playbook.

Proofpoint Cloud Threat Response - Konektor Insiden

Gunakan Proofpoint Cloud Threat Response - Konektor Insiden untuk mengambil insiden dan data pesan terkait dari Proofpoint Cloud Threat Response dan menyerapnya sebagai pemberitahuan ke Google SecOps.

Catatan: Konektor ini mendukung server proxy dan alias lingkungan.

Untuk setiap insiden Proofpoint, konektor akan membuat satu pemberitahuan Google SecOps. Data insiden utama diserap sebagai jenis peristiwa "Insiden", sedangkan data pesan terkait diserap sebagai jenis peristiwa "Pesan".

Input konektor

Proofpoint Cloud Threat Response - Konektor Insiden memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default akan di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai pengganti secara default. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom yang menentukan nama atau subjenis peristiwa. Nilai defaultnya adalah product.
Environment Field Name	Opsional. Nama kolom yang menentukan nama peristiwa (subjenis). Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk mengekstrak atau memanipulasi nilai lingkungan dari Environment Field Name. Nilai defaultnya adalah .*.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib. URL root API instance Proofpoint Cloud Threat Response. Nilai defaultnya adalah https://threatprotection-api.proofpoint.com.
Client ID	Wajib. Client ID yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Client Secret	Wajib. Client Secret yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Lowest Severity To Fetch	Opsional. Tingkat keparahan insiden terendah yang akan diambil. Misalnya, memilih Medium akan mengambil insiden dengan tingkat keparahan Sedang dan Tinggi. Nilai yang mungkin adalah sebagai berikut: Low Medium High
Status Filter	Opsional. Daftar status insiden yang dipisahkan koma yang akan disertakan dalam penyerapan. Nilai yang mungkin adalah Open dan Closed. Nilai defaultnya adalah Open.
Lowest Confidence To Fetch	Opsional. Tingkat keyakinan insiden terendah yang akan diambil. Misalnya, memilih Medium akan mengambil insiden dengan tingkat keyakinan Sedang dan Tinggi. Nilai yang mungkin adalah sebagai berikut: Low Medium High
Disposition Filter	Opsional. Daftar disposisi yang dipisahkan koma yang akan disertakan (misalnya, malware, phish, suspicious).
Verdict Filter	Opsional. Daftar putusan yang dipisahkan koma yang akan disertakan dalam penyerapan. Nilai yang mungkin adalah Failed, Low Risk, Manual Review, dan Threat.
Max Hours Backwards	Wajib. Jumlah jam sebelum waktu saat ini untuk menelusuri insiden selama iterasi pertama atau jika stempel waktu berakhir masa berlakunya. Nilai defaultnya adalah 1.
Max Incidents To Fetch	Wajib. Jumlah maksimum insiden yang akan diproses dalam setiap iterasi konektor. Nilai maksimumnya adalah 9. Nilai defaultnya adalah 9.
Use dynamic list as a blocklist	Wajib. Jika dipilih, konektor akan menggunakan daftar dinamis (berdasarkan nilai Sumber) sebagai daftar blokir untuk mengecualikan insiden tertentu. Dinonaktifkan secara default.
Disable Overflow	Opsional. Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps. Dinonaktifkan secara default.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Proofpoint Cloud Threat Response. Dinonaktifkan secara default.
Proxy Server Address	Opsional. Alamat server proxy yang akan digunakan.
Proxy Username	Opsional. Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional. Sandi proxy untuk melakukan autentikasi.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.