Integra Proofpoint Cloud Threat Response con Google SecOps

Questo documento spiega come integrare Proofpoint Cloud Threat Response con Google Security Operations.

Casi d'uso

L'integrazione di Proofpoint Cloud Threat Response riguarda i seguenti casi d'uso delle operazioni di sicurezza:

• Importazione automatica degli incidenti: importa automaticamente gli incidenti e i messaggi email associati da Proofpoint in Google SecOps per ridurre il monitoraggio manuale e velocizzare il triage.

• Risposta alle minacce con priorità: filtra gli avvisi importati in base a soglie di gravità e affidabilità specifiche per garantire che gli analisti si concentrino prima sulle minacce ad alto impatto.

• Analisi granulare dei verdetti: semplifica i workflow filtrando gli incidenti in base ai verdetti di Proofpoint (come Threat o Manual Review) e alle disposizioni (come Malware o Phish).

• Mappatura dell'ambiente personalizzata: assegna dinamicamente gli avvisi importati ad ambienti specifici utilizzando la mappatura dei campi e i pattern delle espressioni regolari, garantendo una corretta segregazione dei dati e il supporto della multi-tenancy.

Prima di iniziare

Prima di configurare l'integrazione nella piattaforma Google SecOps, verifica di disporre di quanto segue:

• Credenziali API Proofpoint: un ID client e un client secret validi generati dal tuo account Proofpoint Threat Response. Queste credenziali sono necessarie per l'integrazione per l'autenticazione e la generazione di un token di connessione.

• URL di base dell'API: l'endpoint specifico per la tua istanza di Proofpoint Cloud Threat Response (il valore predefinito è https://threatprotection-api.proofpoint.com).

• Accesso alla rete: assicurati che la piattaforma Google SecOps possa comunicare con gli endpoint API Proofpoint tramite la porta 443. Se la tua organizzazione utilizza un proxy, tieni a portata di mano l'indirizzo e le credenziali del server proxy.

Parametri di integrazione

L'integrazione di Proofpoint Cloud Threat Response richiede i seguenti parametri:

Parametro	Descrizione
API Root	Obbligatorio. L'URL di base dell'API dell'istanza Proofpoint Cloud Threat Response. Il valore predefinito è https://threatprotection-api.proofpoint.com.
Client ID	Obbligatorio. L'ID client utilizzato per l'autenticazione con l'istanza Proofpoint Cloud Threat Response.
Client Secret	Obbligatorio. Il client secret utilizzato per l'autenticazione con l'istanza Proofpoint Cloud Threat Response.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Proofpoint Cloud Threat Response. Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Dindin

Utilizza l'azione Ping per testare la connettività a Proofpoint Cloud Threat Response.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	L'azione è andata a buon fine.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	true o false

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importa i dati (connettori).

Nota: per evitare la perdita di dati, i connettori utilizzano l'appiattimento degli eventi. Se un avviso non elaborato contiene un elenco di entità (ad esempio più indirizzi email, nomi host o indirizzi IP), i connettori le appiattiscono automaticamente in eventi separati e univoci.

Ad esempio, un singolo avviso non elaborato contenente tre indirizzi email diversi viene importato come tre eventi separati, ciascuno contenente un indirizzo email distinto.

Questo processo garantisce che ogni entità venga indicizzata correttamente come asset univoco, rendendola completamente ricercabile e utilizzabile nei playbook.

Proofpoint Cloud Threat Response - Incidents Connector

Utilizza il connettore Proofpoint Cloud Threat Response - Incidents per recuperare gli incidenti e i dati dei messaggi correlati da Proofpoint Cloud Threat Response e importarli come avvisi in Google SecOps.

Nota: questo connettore supporta i server proxy e gli alias di ambiente.

Per ogni incidente Proofpoint, il connettore crea un avviso Google SecOps. I dati principali dell'incidente vengono importati come tipo di evento "Incidente", mentre i dati dei messaggi associati vengono importati come tipi di evento "Messaggio".

Input del connettore

Questo parametro è obbligatorio per il controllo cloud </p>

Parametro	Descrizione
Product Field Name	Obbligatorio. Il nome del campo in cui è memorizzato il nome del prodotto. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita. Il valore predefinito è Product Name.
Event Field Name	Obbligatorio. Il nome del campo che determina il nome evento o il sottotipo. Il valore predefinito è product.
Environment Field Name	Facoltativo. Il nome del campo che determina il nome dell'evento (sottotipo). Il valore predefinito è "".
Environment Regex Pattern	Facoltativo. Un pattern di espressione regolare per estrarre o manipolare il valore dell'ambiente da Environment Field Name. Il valore predefinito è .*.
Script Timeout (Seconds)	Obbligatorio. Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente. Il valore predefinito è 180.
API Root	Obbligatorio. L'URL di base dell'API dell'istanza Proofpoint Cloud Threat Response. Il valore predefinito è https://threatprotection-api.proofpoint.com.
Client ID	Obbligatorio. L'ID client utilizzato per l'autenticazione con l'istanza Proofpoint Cloud Threat Response.
Client Secret	Obbligatorio. Il client secret utilizzato per l'autenticazione con l'istanza Proofpoint Cloud Threat Response.
Lowest Severity To Fetch	Facoltativo. Il livello di gravità più basso degli incidenti da recuperare. Ad esempio, se selezioni Medium, vengono recuperati gli incidenti con gravità Media e Alta. I valori possibili sono: Low Medium High
Status Filter	Facoltativo. Un elenco separato da virgole degli stati degli incidenti da includere nell'importazione. I valori possibili sono Open e Closed. Il valore predefinito è Open.
Lowest Confidence To Fetch	Facoltativo. Il livello di confidenza più basso degli incidenti da recuperare. Ad esempio, se selezioni Medium, vengono recuperati gli incidenti con confidenza media e alta. I valori possibili sono: Low Medium High
Disposition Filter	Facoltativo. Un elenco separato da virgole di disposizioni da includere (ad esempio, malware, phish, suspicious).
Verdict Filter	Facoltativo. Un elenco separato da virgole di esiti da includere nell'importazione. I valori possibili sono Failed, Low Risk, Manual Review e Threat.
Max Hours Backwards	Obbligatorio. Il numero di ore precedenti all'ora corrente per la ricerca di incidenti durante la prima iterazione o se il timestamp scade. Il valore predefinito è 1.
Max Incidents To Fetch	Obbligatorio. Il numero massimo di incidenti da elaborare in ogni iterazione del connettore. Il valore massimo è 9. Il valore predefinito è 9.
Use dynamic list as a blocklist	Obbligatorio. Se selezionata, il connettore utilizza l'elenco dinamico (basato sui valori di origine) come lista bloccata per escludere incidenti specifici. Disattivato per impostazione predefinita.
Disable Overflow	Facoltativo. Se selezionata, il connettore ignora il meccanismo di overflow di Google SecOps. Disattivato per impostazione predefinita.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Proofpoint Cloud Threat Response. Disattivato per impostazione predefinita.
Proxy Server Address	Facoltativo. L'indirizzo del server proxy da utilizzare.
Proxy Username	Facoltativo. Il nome utente del proxy con cui eseguire l'autenticazione.
Proxy Password	Facoltativo. La password del proxy con cui eseguire l'autenticazione.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.