Integrar o Proofpoint Cloud Threat Response ao Google SecOps

Neste documento, explicamos como integrar o Proofpoint Cloud Threat Response ao Google Security Operations.

Casos de uso

A integração do Proofpoint Cloud Threat Response aborda os seguintes casos de uso de operações de segurança:

• Ingestão automatizada de incidentes: extraia automaticamente incidentes e mensagens de e-mail associadas do Proofpoint para o Google SecOps para reduzir o monitoramento manual e acelerar a triagem.

• Resposta priorizada a ameaças: filtre os alertas ingeridos com base em limites específicos de gravidade e confiança para garantir que os analistas se concentrem primeiro nas ameaças de alto impacto.

• Análise granular de vereditos: simplifique os fluxos de trabalho filtrando incidentes com base em vereditos da Proofpoint (como ameaça ou revisão manual) e disposições (como malware ou phishing).

• Mapeamento de ambiente personalizado: atribua dinamicamente alertas ingeridos a ambientes específicos usando mapeamento de campos e padrões de expressão regular, garantindo a segregação adequada de dados e o suporte a multilocação.

Antes de começar

Antes de configurar a integração na plataforma do Google SecOps, verifique se você tem o seguinte:

• Credenciais da API Proofpoint: um ID e uma chave secreta do cliente válidos gerados na sua conta do Proofpoint Threat Response. Essas credenciais são necessárias para que a integração autentique e gere um token do portador.

• URL raiz da API: o endpoint específico da instância do Proofpoint Cloud Threat Response (o padrão é https://threatprotection-api.proofpoint.com).

• Acesso à rede: verifique se a plataforma do Google SecOps pode se comunicar com os endpoints de API do Proofpoint pela porta 443. Se a organização usa um proxy, tenha o endereço e as credenciais do servidor proxy disponíveis.

Parâmetros de integração

A integração do Proofpoint Cloud Threat Response requer os seguintes parâmetros:

Parâmetro	Descrição
API Root	Obrigatório. O URL raiz da API da instância do Proofpoint Cloud Threat Response. O valor padrão é https://threatprotection-api.proofpoint.com.
Client ID	Obrigatório. O ID do cliente usado para autenticar com a instância do Proofpoint Cloud Threat Response.
Client Secret	Obrigatório. A chave secreta do cliente usada para autenticar com a instância do Proofpoint Cloud Threat Response.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Proofpoint Cloud Threat Response. Ativado por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Ping

Use a ação Ping para testar a conectividade com o Proofpoint Cloud Threat Response.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Ping pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully connected to the Proofpoint Cloud Threat Response server with the provided connection parameters!	A ação foi concluída.
Failed to connect to the Proofpoint Cloud Threat Response server! Error is ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script	Valor
is_success	true ou false

Conectores

Para saber como configurar conectores no Google SecOps, consulte Ingerir seus dados (conectores).

Observação: para evitar a perda de dados, os conectores usam a nivelamento de eventos. Se um alerta bruto contiver uma lista de entidades (como vários endereços de e-mail, nomes de host ou endereços IP), os conectores vão nivelá-las automaticamente em eventos separados e exclusivos.

Por exemplo, um único alerta bruto com três endereços de e-mail diferentes é ingerido como três eventos separados, cada um com um endereço de e-mail distinto.

Esse processo garante que cada entidade seja indexada corretamente como um recurso exclusivo, tornando-a totalmente pesquisável e acionável em playbooks.

Proofpoint Cloud Threat Response - Conector de incidentes

Use o conector de incidentes do Proofpoint Cloud Threat Response para recuperar incidentes e dados de mensagens relacionados do Proofpoint Cloud Threat Response e ingira-os como alertas no Google SecOps.

Observação: esse conector é compatível com servidores proxy e aliases de ambiente.

Para cada incidente do Proofpoint, o conector cria um alerta do Google SecOps. Os dados principais do incidente são ingeridos como um tipo de evento "Incidente", enquanto os dados de mensagens associados são ingeridos como tipos de evento "Mensagem".

Entradas do conector

O Proofpoint Cloud Threat Response - Incidents Connector requer os seguintes parâmetros:

Parâmetro	Descrição
Product Field Name	Obrigatório. O nome do campo em que o nome do produto é armazenado. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão é resolvido para um valor substituto que é referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão. O valor padrão é Product Name.
Event Field Name	Obrigatório. O nome do campo que determina o nome do evento ou subtipo. O valor padrão é product.
Environment Field Name	Opcional. O nome do campo que determina o nome do evento (subtipo). O valor padrão é "".
Environment Regex Pattern	Opcional. Um padrão de expressão regular para extrair ou manipular o valor do ambiente de Environment Field Name. O valor padrão é .*.
Script Timeout (Seconds)	Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é 180.
API Root	Obrigatório. O URL raiz da API da instância do Proofpoint Cloud Threat Response. O valor padrão é https://threatprotection-api.proofpoint.com.
Client ID	Obrigatório. O ID do cliente usado para autenticar com a instância do Proofpoint Cloud Threat Response.
Client Secret	Obrigatório. A chave secreta do cliente usada para autenticar com a instância do Proofpoint Cloud Threat Response.
Lowest Severity To Fetch	Opcional. O nível de gravidade mais baixo dos incidentes a serem recuperados. Por exemplo, selecionar Medium recupera incidentes de gravidade média e alta. Os valores possíveis são os seguintes: Low Medium High
Status Filter	Opcional. Uma lista separada por vírgulas de status de incidentes para incluir na ingestão. Os valores possíveis são Open e Closed. O valor padrão é Open.
Lowest Confidence To Fetch	Opcional. O nível de confiança mais baixo dos incidentes a serem recuperados. Por exemplo, selecionar Medium recupera incidentes de confiança média e alta. Os valores possíveis são os seguintes: Low Medium High
Disposition Filter	Opcional. Uma lista separada por vírgulas de disposições a serem incluídas (por exemplo, malware, phish, suspicious).
Verdict Filter	Opcional. Uma lista separada por vírgulas de vereditos a serem incluídos na ingestão. Os valores possíveis são Failed, Low Risk, Manual Review e Threat.
Max Hours Backwards	Obrigatório. O número de horas anteriores ao horário atual para pesquisar incidentes durante a primeira iteração ou se o carimbo de data/hora expirar. O valor padrão é 1.
Max Incidents To Fetch	Obrigatório. O número máximo de incidentes a serem processados em cada iteração do conector. O valor máximo é 9. O valor padrão é 9.
Use dynamic list as a blocklist	Obrigatório. Se selecionado, o conector usa a lista dinâmica (com base nos valores de origem) como uma lista de bloqueio para excluir incidentes específicos. Essa configuração está desativada por padrão.
Disable Overflow	Opcional. Se selecionado, o conector ignora o mecanismo de estouro do Google SecOps. Essa configuração está desativada por padrão.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Proofpoint Cloud Threat Response. Essa configuração está desativada por padrão.
Proxy Server Address	Opcional. O endereço do servidor proxy a ser usado.
Proxy Username	Opcional. O nome de usuário do proxy para autenticação.
Proxy Password	Opcional. A senha do proxy para autenticação.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.