Proofpoint Cloud Threat Response を Google SecOps と統合する

このドキュメントでは、Proofpoint Cloud Threat Response を Google Security Operations と統合する方法について説明します。

ユースケース

Proofpoint Cloud Threat Response の統合は、次のセキュリティ運用のユースケースに対応しています。

  • インシデントの自動取り込み: Proofpoint から Google SecOps にインシデントと関連する メール メッセージを自動的にプルして、手動モニタリングを減らし、トリアージを迅速化します。

  • 脅威対応の優先順位付け: 取り込まれたアラートを特定の 重大度と信頼度のしきい値に基づいてフィルタし、アナリストが影響の大きい 脅威に最初に焦点を当てられるようにします。

  • 詳細な判定分析: Proofpoint の判定（脅威や手動レビューなど）と処理（マルウェアやフィッシングなど）に基づいてインシデントをフィルタして、ワークフローを効率化します。

  • カスタム環境マッピング: フィールド マッピングと正規表現パターンを使用して、取り込まれたアラートを特定の 環境に動的に割り当て、適切な データ分離とマルチテナンシーのサポートを確保します。

始める前に

Google SecOps プラットフォームで統合を構成する前に、次のものが揃っていることを確認してください。

  • Proofpoint API 認証情報: Proofpoint Threat Response アカウント から生成された有効なクライアント ID とクライアント シークレット。これらの認証情報は、統合が認証してベアラートークンを生成するために必要です。

  • API ルート URL: Proofpoint Cloud Threat Response インスタンスの特定のエンドポイント（デフォルトは https://threatprotection-api.proofpoint.com）。

  • ネットワーク アクセス: Google SecOps プラットフォームがポート 443 経由で Proofpoint API エンドポイントと 通信できることを確認します。組織でプロキシを使用している場合は、プロキシ サーバーのアドレスと認証情報を用意してください。

統合のパラメータ

Proofpoint Cloud Threat Response の統合には、次のパラメータが必要です。

パラメータ 説明
API Root

必須。

Proofpoint Cloud Threat Response インスタンスの API ルート URL。

デフォルト値は https://threatprotection-api.proofpoint.comです。
Client ID

必須。

Proofpoint Cloud Threat Response インスタンスの認証に使用するクライアント ID。
Client Secret

必須。

Proofpoint Cloud Threat Response インスタンスの認証に使用するクライアント シークレット。
Verify SSL

必須。

選択すると、Proofpoint Cloud Threat Response サーバーに接続するときに、統合によって SSL 証明書が検証されます。

デフォルトで有効になっています。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後で変更を加えることができます。統合インスタンスを構成したら、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法について詳しくは、複数のインスタンスのサポートをご覧ください。

操作

操作の詳細については、 デスクから保留中のアクションに対応すると手動による対策を実行するをご覧ください。

Ping

Ping アクションを使用して、Proofpoint Cloud Threat Response への接続をテストします。

このアクションは、Google SecOps エンティティでは実行されません。

アクションへの入力

なし

アクションの出力

Ping アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters! アクションが成功しました。
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、認証情報を確認してください。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success true または false

コネクタ

Google SecOps でコネクタを構成する方法について詳しくは、 データを取り込む（コネクタ）をご覧ください。

Proofpoint Cloud Threat Response - インシデント コネクタ

Proofpoint Cloud Threat Response - インシデント コネクタ を使用して、Proofpoint Cloud Threat Response からインシデントと関連するメッセージデータを取得し、アラートとして Google SecOps に取り込みます。

コネクタの入力

Proofpoint Cloud Threat Response - インシデント コネクタ には、次のパラメータが必要です。

パラメータ 説明
Product Field Name

必須。

プロダクト名が保存されるフィールドの名前。

プロダクト名は主にマッピングに影響します。コネクタの マッピング プロセスを効率化して改善するため、デフォルト値はコードから参照される フォールバック値に解決されます。このパラメータの無効な入力は、デフォルトでフォールバック 値に解決されます。

デフォルト値は Product Name です。
Event Field Name

必須。

イベント名またはサブタイプを決定するフィールドの名前。

デフォルト値は product です。
Environment Field Name

省略可。

イベント名（サブタイプ）を決定するフィールドの名前。

デフォルト値は "" です。
Environment Regex Pattern

省略可。

Environment Field Name から環境値を抽出または操作する正規表現パターン。

デフォルト値は .* です。
Script Timeout (Seconds)

必須。

現在のスクリプトを実行する Python プロセスのタイムアウト上限（秒単位）。

デフォルト値は 180 です。
API Root

必須。

Proofpoint Cloud Threat Response インスタンスの API ルート URL。

デフォルト値は https://threatprotection-api.proofpoint.comです。
Client ID

必須。

Proofpoint Cloud Threat Response インスタンスの認証に使用するクライアント ID。
Client Secret

必須。

Proofpoint Cloud Threat Response インスタンスの認証に使用するクライアント シークレット。
Lowest Severity To Fetch

省略可。

取得するインシデントの最も低い重大度レベル。たとえば、 Medium を選択すると、中程度の重大度と高い重大度の両方の インシデントが取得されます。

値は次のいずれかになります。

  • Low
  • Medium
  • High
Status Filter

省略可。

取り込みに含めるインシデント ステータスのカンマ区切りリスト。

有効な値は Open と Closed です。

デフォルト値は Open です。
Lowest Confidence To Fetch

省略可。

取得するインシデントの最も低い信頼度レベル。たとえば、 `Medium` Mediumを選択すると、中程度の信頼度と高い信頼度の両方の インシデントが取得されます。

値は次のいずれかになります。

  • Low
  • Medium
  • High
Disposition Filter

省略可。

含める処理のカンマ区切りのリスト（ malware, phish, suspicious など）。
Verdict Filter

省略可。

取り込みに含める判定のカンマ区切りのリスト。

有効な値は Failed、Low Risk、 Manual Review、Threat です。
Max Hours Backwards

必須。

最初のイテレーション中、またはタイムスタンプの有効期限が切れた場合にインシデントを検索する、現在時刻より前の時間数 。

デフォルト値は 1 です。
Max Incidents To Fetch

必須。

コネクタのイテレーションごとに処理するインシデントの最大数。

最大値は 9 です。

デフォルト値は 9 です。
Use dynamic list as a blocklist

必須。

選択すると、コネクタは動的リスト（ソース値に基づく）をブロックリストとして使用して、特定のインシデントを除外します。

デフォルトでは無効にされています。
Disable Overflow

省略可。

選択すると、コネクタは Google SecOps オーバーフロー メカニズムを無視します。

デフォルトでは無効にされています。
Verify SSL

必須。

選択すると、Proofpoint Cloud Threat Response サーバーに接続するときに、統合によって SSL 証明書が検証されます。

デフォルトでは無効にされています。
Proxy Server Address

省略可。

使用するプロキシ サーバーのアドレス。
Proxy Username

省略可。

認証に使用するプロキシのユーザー名。
Proxy Password

省略可。

認証に使用するプロキシ パスワード。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。