Mengintegrasikan Proofpoint Cloud Threat Response dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan Proofpoint Cloud Threat Response dengan Google Security Operations.

Kasus penggunaan

Integrasi Proofpoint Cloud Threat Response menangani kasus penggunaan operasi keamanan berikut:

• Penyerapan insiden otomatis: Tarik insiden dan pesan email terkait secara otomatis dari Proofpoint ke Google SecOps untuk mengurangi pemantauan manual dan mempercepat triase.

• Respons ancaman yang diprioritaskan: Memfilter pemberitahuan yang diserap berdasarkan batas tingkat keparahan dan keyakinan tertentu untuk memastikan analis berfokus pada ancaman berdampak tinggi terlebih dahulu.

• Analisis putusan terperinci: Sederhanakan alur kerja dengan memfilter insiden berdasarkan putusan Proofpoint (seperti Ancaman atau Peninjauan Manual) dan disposisi (seperti Malware atau Phishing).

• Pemetaan lingkungan kustom: Tetapkan pemberitahuan yang diserap secara dinamis ke lingkungan tertentu menggunakan pemetaan kolom dan pola ekspresi reguler, sehingga memastikan pemisahan data yang tepat dan dukungan multi-tenancy.

Sebelum memulai

Sebelum mengonfigurasi integrasi di platform Google SecOps, pastikan Anda memiliki hal berikut:

• Kredensial Proofpoint API: Client ID dan Rahasia Klien yang valid yang dibuat dari akun Proofpoint Threat Response Anda. Kredensial ini diperlukan agar integrasi dapat melakukan autentikasi dan membuat token Bearer.

• URL root API: Endpoint spesifik untuk instance Proofpoint Cloud Threat Response Anda (defaultnya adalah https://threatprotection-api.proofpoint.com).

• Akses jaringan: Pastikan platform Google SecOps dapat berkomunikasi dengan endpoint Proofpoint API melalui port 443. Jika organisasi Anda menggunakan proxy, siapkan alamat dan kredensial server proxy.

Parameter integrasi

Integrasi Proofpoint Cloud Threat Response memerlukan parameter berikut:

Parameter	Deskripsi
API Root	Wajib. URL Root API instance Proofpoint Cloud Threat Response. Nilai defaultnya adalah https://threatprotection-api.proofpoint.com.
Client ID	Wajib. Client ID yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Client Secret	Wajib. Rahasia Klien yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Proofpoint Cloud Threat Response. Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Proofpoint Cloud Threat Response.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	Tindakan berhasil.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
is_success	true atau false

Konektor

Untuk mempelajari lebih lanjut cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data (konektor).

Catatan: Untuk mencegah kehilangan data, konektor menggunakan Perataan Peristiwa. Jika pemberitahuan mentah berisi daftar entitas (seperti beberapa alamat email, nama host, atau alamat IP), konektor akan otomatis meratakannya menjadi peristiwa yang terpisah dan unik.

Misalnya, satu pemberitahuan mentah yang berisi tiga alamat email berbeda diserap sebagai tiga peristiwa terpisah, yang masing-masing berisi satu alamat email yang berbeda.

Proses ini memastikan bahwa setiap entity diindeks dengan benar sebagai aset unik, sehingga dapat sepenuhnya ditelusuri dan ditindaklanjuti dalam playbook.

Proofpoint Cloud Threat Response - Incidents Connector

Gunakan Proofpoint Cloud Threat Response - Incidents Connector untuk mengambil insiden dan data pesan terkait dari Proofpoint Cloud Threat Response dan menyerapnya sebagai pemberitahuan ke Google SecOps.

Catatan: Konektor ini mendukung server proxy dan alias lingkungan.

Untuk setiap insiden Proofpoint, konektor membuat satu pemberitahuan Google SecOps. Data insiden utama diserap sebagai jenis peristiwa "Insiden", sedangkan data pesan terkait diserap sebagai jenis peristiwa "Pesan".

Input konektor

Proofpoint Cloud Threat Response - Incidents Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom yang menentukan nama peristiwa atau subjenis. Nilai defaultnya adalah product.
Environment Field Name	Opsional. Nama kolom yang menentukan nama peristiwa (subjenis). Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk mengekstrak atau memanipulasi nilai lingkungan dari Environment Field Name. Nilai defaultnya adalah .*.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib. URL root API instance Proofpoint Cloud Threat Response. Nilai defaultnya adalah https://threatprotection-api.proofpoint.com.
Client ID	Wajib. Client ID yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Client Secret	Wajib. Rahasia Klien yang digunakan untuk melakukan autentikasi dengan instance Proofpoint Cloud Threat Response.
Lowest Severity To Fetch	Opsional. Tingkat keparahan insiden terendah yang akan diambil. Misalnya, memilih Medium akan mengambil insiden dengan tingkat keparahan Sedang dan Tinggi. Kemungkinan nilainya adalah sebagai berikut: Low Medium High
Status Filter	Opsional. Daftar status insiden yang dipisahkan koma untuk disertakan dalam penyerapan. Nilai yang mungkin adalah Open dan Closed. Nilai defaultnya adalah Open.
Lowest Confidence To Fetch	Opsional. Tingkat keyakinan terendah dari insiden yang akan diambil. Misalnya, memilih Medium akan mengambil insiden dengan keyakinan Sedang dan Tinggi. Kemungkinan nilainya adalah sebagai berikut: Low Medium High
Disposition Filter	Opsional. Daftar disposisi yang dipisahkan koma untuk disertakan (misalnya, malware, phish, suspicious).
Verdict Filter	Opsional. Daftar verdict yang dipisahkan koma untuk disertakan dalam penyerapan. Nilai yang mungkin adalah Failed, Low Risk, Manual Review, dan Threat.
Max Hours Backwards	Wajib. Jumlah jam sebelum waktu saat ini untuk menelusuri insiden selama iterasi pertama atau jika stempel waktu berakhir. Nilai defaultnya adalah 1.
Max Incidents To Fetch	Wajib. Jumlah maksimum insiden yang akan diproses di setiap iterasi konektor. Nilai maksimumnya adalah 9. Nilai defaultnya adalah 9.
Use dynamic list as a blocklist	Wajib. Jika dipilih, konektor akan menggunakan daftar dinamis (berdasarkan nilai Sumber) sebagai daftar yang tidak diizinkan untuk mengecualikan insiden tertentu. Dinonaktifkan secara default.
Disable Overflow	Opsional. Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps. Dinonaktifkan secara default.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Proofpoint Cloud Threat Response. Dinonaktifkan secara default.
Proxy Server Address	Opsional. Alamat server proxy yang akan digunakan.
Proxy Username	Opsional. Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional. Sandi proxy untuk melakukan autentikasi.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.