Proofpoint Cloud Threat Response를 Google SecOps와 통합

이 문서에서는 Proofpoint Cloud Threat Response를 Google Security Operations와 통합하는 방법을 설명합니다.

사용 사례

Proofpoint Cloud Threat Response 통합은 다음과 같은 보안 운영 사용 사례를 해결합니다.

  • 자동화된 사고 수집: Proofpoint에서 Google SecOps로 사고 및 관련 이메일 메시지를 자동으로 가져와 수동 모니터링을 줄이고 트리아지를 가속화합니다.

  • 우선순위가 지정된 위협 대응: 특정 심각도 및 신뢰도 기준에 따라 수집된 알림을 필터링하여 분석가가 영향이 큰 위협에 먼저 집중하도록 합니다.

  • 세분화된 평결 분석: Proofpoint 평결 (예: 위협 또는 수동 검토) 및 처리(예: 멀웨어 또는 피싱)에 따라 사고를 필터링하여 워크플로를 간소화합니다.

  • 맞춤 환경 매핑: 필드 매핑 및 정규 표현식 패턴을 사용하여 수집된 알림을 특정 환경에 동적으로 할당하여 적절한 데이터 분리 및 다중 테넌트 지원을 보장합니다.

시작하기 전에

Google SecOps 플랫폼에서 통합을 구성하기 전에 다음이 있는지 확인하세요.

  • Proofpoint API 사용자 인증 정보: Proofpoint Threat Response 계정에서 생성된 유효한 클라이언트 ID 및 클라이언트 보안 비밀번호입니다. 이러한 사용자 인증 정보는 통합이 전달자 토큰을 인증하고 생성하는 데 필요합니다.

  • API 루트 URL: Proofpoint Cloud Threat Response 인스턴스의 특정 엔드포인트입니다 (기본값은 https://threatprotection-api.proofpoint.com).

  • 네트워크 액세스: Google SecOps 플랫폼이 포트 443을 통해 Proofpoint API 엔드포인트와 통신할 수 있는지 확인합니다. 조직에서 프록시를 사용하는 경우 프록시 서버 주소와 사용자 인증 정보를 사용할 수 있도록 합니다.

통합 매개변수

Proofpoint Cloud Threat Response 통합에는 다음 매개변수가 필요합니다.

매개변수 설명
API Root

필수 항목입니다.

Proofpoint Cloud Threat Response 인스턴스의 API 루트 URL입니다.

기본값은 https://threatprotection-api.proofpoint.com입니다.
Client ID

필수 항목입니다.

Proofpoint Cloud Threat Response 인스턴스를 인증하는 데 사용되는 클라이언트 ID입니다.
Client Secret

필수 항목입니다.

Proofpoint Cloud Threat Response 인스턴스를 인증하는 데 사용되는 클라이언트 보안 비밀번호입니다.
Verify SSL

필수 항목입니다.

선택하면 통합에서 Proofpoint Cloud Threat Response 서버에 연결할 때 SSL 인증서의 유효성을 검사합니다.

기본적으로 사용 설정됩니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참조하세요.

필요한 경우 나중에 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 대한 자세한 내용은 다중 인스턴스 지원을 참조하세요.

작업

작업에 대한 자세한 내용은 내 작업 공간에서 대기 중인 작업에 대응 및 직접 조치 실행을 참조하세요.

핑

핑 작업을 사용하여 Proofpoint Cloud Threat Response에 대한 연결을 테스트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

없음

작업 출력

핑 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 불가
출력 메시지 사용 가능
스크립트 결과 사용 가능
출력 메시지

핑 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters! 작업이 성공했습니다.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON

작업이 실패했습니다.

서버 연결, 입력 매개변수 또는 사용자 인증 정보를 확인하세요.
스크립트 결과

다음 표에는 핑 작업을 사용할 때 스크립트 결과 출력의 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

커넥터

Google SecOps에서 커넥터를 구성하는 방법을 자세히 알아보려면 데이터 수집 (커넥터)을 참조하세요.

Proofpoint Cloud Threat Response - 사고 커넥터

Proofpoint Cloud Threat Response - 사고 커넥터 를 사용하여 Proofpoint Cloud Threat Response에서 사고 및 관련 메시지 데이터를 가져오고 이를 Google SecOps에 알림으로 수집합니다.

커넥터 입력

Proofpoint Cloud Threat Response - 사고 커넥터 에는 다음 매개변수가 필요합니다.

매개변수 설명
Product Field Name

필수 항목입니다.

제품 이름이 저장되는 필드의 이름입니다.

제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수의 잘못된 입력은 기본적으로 대체 값으로 확인됩니다.

기본값은 Product Name입니다.
Event Field Name

필수 항목입니다.

이벤트 이름 또는 하위 유형을 결정하는 필드의 이름입니다.

기본값은 product입니다.
Environment Field Name

선택사항입니다.

이벤트 이름 (하위 유형)을 결정하는 필드의 이름입니다.

기본값은 ""입니다.
Environment Regex Pattern

선택사항입니다.

Environment Field Name에서 환경 값을 추출하거나 조작하는 정규 표현식 패턴입니다.

기본값은 .*입니다.
Script Timeout (Seconds)

필수 항목입니다.

현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도(초)입니다.

기본값은 180입니다.
API Root

필수 항목입니다.

Proofpoint Cloud Threat Response 인스턴스의 API 루트 URL입니다.

기본값은 https://threatprotection-api.proofpoint.com입니다.
Client ID

필수 항목입니다.

Proofpoint Cloud Threat Response 인스턴스를 인증하는 데 사용되는 클라이언트 ID입니다.
Client Secret

필수 항목입니다.

Proofpoint Cloud Threat Response 인스턴스를 인증하는 데 사용되는 클라이언트 보안 비밀번호입니다.
Lowest Severity To Fetch

선택사항입니다.

가져올 사고의 최저 심각도 수준입니다. 예를 들어 Medium을 선택하면 중간 심각도 및 높은 심각도 사고가 모두 검색됩니다.

가능한 값은 다음과 같습니다.

  • Low
  • Medium
  • High
Status Filter

선택사항입니다.

수집에 포함할 사고 상태의 쉼표로 구분된 목록입니다.

가능한 값은 Open 및 Closed입니다.

기본값은 Open입니다.
Lowest Confidence To Fetch

선택사항입니다.

가져올 사고의 최저 신뢰도 수준입니다. 예를 들어 `Medium`을 선택하면Medium 중간 신뢰도 및 높은 신뢰도 사고가 모두 검색됩니다.

가능한 값은 다음과 같습니다.

  • Low
  • Medium
  • High
Disposition Filter

선택사항입니다.

포함할 처리의 쉼표로 구분된 목록입니다 (예: malware, phish, suspicious).
Verdict Filter

선택사항입니다.

수집에 포함할 평결의 쉼표로 구분된 목록입니다.

가능한 값은 Failed, Low Risk, Manual Review, Threat입니다.
Max Hours Backwards

필수 항목입니다.

첫 번째 반복 중에 또는 타임스탬프가 만료되는 경우 사고를 검색할 현재 시간 이전의 시간 수입니다.

기본값은 1입니다.
Max Incidents To Fetch

필수 항목입니다.

모든 커넥터 반복에서 처리할 최대 사고 수입니다.

최댓값은 9입니다.

기본값은 9입니다.
Use dynamic list as a blocklist

필수 항목입니다.

선택하면 커넥터는 동적 목록 (소스 값을 기반으로 함) 을 차단 목록으로 사용하여 특정 사고를 제외합니다.

기본적으로 사용 중지됩니다.
Disable Overflow

선택사항입니다.

선택하면 커넥터가 Google SecOps 오버플로 메커니즘을 무시합니다.

기본적으로 사용 중지됩니다.
Verify SSL

필수 항목입니다.

선택하면 통합에서 Proofpoint Cloud Threat Response 서버에 연결할 때 SSL 인증서의 유효성을 검사합니다.

기본적으로 사용 중지됩니다.
Proxy Server Address

선택사항입니다.

사용할 프록시 서버의 주소입니다.
Proxy Username

선택사항입니다.

인증할 프록시 사용자 이름입니다.
Proxy Password

선택사항입니다.

인증할 프록시 비밀번호입니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.