Mengintegrasikan Proofpoint Threat Protection dengan Google SecOps

Versi integrasi: 1.0

Dokumen ini menjelaskan cara mengintegrasikan Proofpoint Threat Protection dengan Google Security Operations.

Kasus penggunaan

Di platform Google SecOps, integrasi Proofpoint Threat Protection mendukung kasus penggunaan berikut:

  • Mitigasi phishing otomatis: Secara otomatis menambahkan alamat email dan domain pengirim berbahaya ke daftar blokir Proofpoint setelah peringatan phishing diverifikasi untuk mencegah pengiriman ancaman serupa lebih lanjut di seluruh organisasi.

  • Respons insiden yang dipercepat: Perbarui entri daftar blokir dengan cepat untuk alamat IP dan nama host selama investigasi aktif untuk memastikan bahwa indikator kompromi (IOC) yang baru ditemukan segera dinetralisir di gateway email.

  • Perlindungan ancaman proaktif: Secara proaktif membuat kueri dan mengambil entri daftar yang diizinkan dan diblokir yang ada untuk memastikan kebijakan keamanan tetap terbaru dan konsisten dengan intelijen ancaman saat ini, sehingga mengurangi permukaan serangan organisasi.

  • Pengelolaan kebijakan yang disederhanakan: Sederhanakan administrasi kebijakan keamanan email dengan menggunakan playbook untuk mengelola penambahan atau penghapusan massal pengirim tepercaya ke daftar yang diizinkan berdasarkan permintaan bisnis yang disetujui.

Sebelum memulai

Sebelum mengonfigurasi integrasi di platform Google SecOps, pastikan Anda memiliki hal berikut:

  • Kredensial Proofpoint Threat Protection API: Pastikan Anda memiliki client ID dan rahasia klien yang valid. Log ini dibuat dalam konsol administratif Proofpoint

  • ID Cluster: Identifikasi ID cluster tertentu yang terkait dengan instance Proofpoint Anda. ID ini diperlukan untuk menargetkan daftar yang diizinkan dan daftar yang diblokir yang benar.

  • Konektivitas jaringan: Verifikasi bahwa lingkungan Google SecOps dapat berkomunikasi dengan endpoint root API Proofpoint Threat Protection. Jika Anda menggunakan proxy, pastikan kredensial dan alamat tersedia.

Parameter integrasi

Integrasi Proofpoint Threat Protection memerlukan parameter berikut:

Parameter Deskripsi
API Root

Wajib.

URL dasar instance Proofpoint Threat Protection.
Client ID

Wajib.

ID klien yang terkait dengan kredensial Proofpoint Threat Protection API Anda.
Client Secret

Wajib.

Rahasia klien yang terkait dengan kredensial Proofpoint Threat Protection API Anda.
Cluster ID

Wajib.

ID cluster yang terkait dengan instance Proofpoint Threat Protection API Anda.
Verify SSL

Opsional.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Proofpoint Threat Protection.

Diaktifkan secara default.

Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan di tahap berikutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan tertunda dari Ruang Kerja Anda dan Melakukan tindakan manual.

Menambahkan Entri ke Daftar yang Diizinkan

Gunakan tindakan Tambahkan Entri ke Daftar yang Diizinkan untuk menambahkan entri ke daftar yang diizinkan Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Tambahkan Entri ke Daftar yang Diizinkan memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Opsional.

ID cluster daftar yang diizinkan.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
Allowlist Item

Wajib.

Objek JSON yang merepresentasikan item daftar yang diizinkan untuk ditambahkan.

Nilai defaultnya adalah:

{
    "action": "add",
    "attribute": "",
    "operator": "",
    "value": "",
    "comment": ""
}

Output tindakan

Tindakan Tambahkan Entri ke Daftar yang Diizinkan memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Tambahkan Entri ke Daftar yang Diizinkan dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully added a new entry to the allow list.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Entri ke Daftar yang Diizinkan:

Nama hasil skrip Nilai
is_success true atau false

Menambahkan Entri ke Daftar yang Diblokir

Gunakan tindakan Tambahkan Entri ke Daftar yang Diblokir untuk menambahkan entri ke daftar yang diblokir Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Tambahkan Entri ke Daftar Blokir memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Opsional.

ID cluster daftar blokir.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
Blocklist Item

Wajib.

Objek JSON yang merepresentasikan item daftar blok yang akan ditambahkan.

Nilai defaultnya adalah:

{
    "action": "add",
    "attribute": "",
    "operator": "",
    "value": "",
    "comment": ""
}

Output tindakan

Tindakan Tambahkan Entri ke Daftar Pemblokiran memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Tambahkan Entri ke Daftar Blokir dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully added new entry to the block list.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Entri ke Daftar yang Diblokir:

Nama hasil skrip Nilai
is_success true atau false

Menambahkan IOC ke Daftar yang Diizinkan

Gunakan tindakan Tambahkan IOC ke Daftar yang Diizinkan untuk menambahkan IOC tertentu ke daftar yang diizinkan Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Tambahkan IOC ke Daftar yang Diizinkan memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Opsional.

ID cluster daftar yang diizinkan.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
Recipient Email Address

Opsional.

Daftar alamat email penerima yang dipisahkan koma untuk ditambahkan ke daftar yang diizinkan.
Sender Email Address

Opsional.

Daftar alamat email pengirim yang dipisahkan koma untuk ditambahkan ke daftar yang diizinkan.
Sender IP Address

Opsional.

Daftar alamat IP pengirim yang dipisahkan koma untuk ditambahkan ke daftar yang diizinkan.
Sender Hostname

Opsional.

Daftar nama host pengirim yang dipisahkan koma untuk ditambahkan ke daftar yang diizinkan.
Sender HELO Domain Name

Opsional.

Daftar nama domain HELO yang dipisahkan koma untuk ditambahkan ke daftar yang diizinkan.
Message Header From (Address Only)

Opsional.

Daftar entri "Dari Header Pesan" yang dipisahkan koma untuk ditambahkan ke daftar yang diizinkan.
Comment

Opsional.

Deskripsi atau justifikasi yang terkait dengan entri daftar yang diizinkan.

Output tindakan

Tindakan Tambahkan IOC ke Daftar yang Diizinkan memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Tambahkan IOC ke Daftar yang Diizinkan dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully added new entries to the allow list.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan IOC ke Daftar yang Diizinkan:

Nama hasil skrip Nilai
is_success true atau false

Menambahkan IOC ke Daftar Blokir

Gunakan tindakan Tambahkan IOC ke Daftar Blokir untuk menambahkan IOC tertentu ke daftar blokir Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Tambahkan IOC ke Daftar Blokir memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Opsional.

ID cluster daftar blokir.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
Recipient Email Address

Opsional.

Daftar alamat email penerima yang dipisahkan koma untuk ditambahkan ke daftar blokir.
Sender Email Address

Opsional.

Daftar alamat email pengirim yang dipisahkan koma untuk ditambahkan ke daftar blokir.
Sender IP Address

Opsional.

Daftar alamat IP pengirim yang dipisahkan dengan koma untuk ditambahkan ke daftar blokir.
Sender Hostname

Opsional.

Daftar nama host pengirim yang dipisahkan koma untuk ditambahkan ke daftar blokir.
Sender HELO Domain Name

Opsional.

Daftar nama domain HELO yang dipisahkan koma untuk ditambahkan ke daftar blokir.
Message Header From (Address Only)

Opsional.

Daftar entri "Message Header From" yang dipisahkan koma untuk ditambahkan ke daftar blokir.
Comment

Opsional.

Deskripsi atau justifikasi yang terkait dengan entri daftar blokir.

Output tindakan

Tindakan Tambahkan IOC ke Daftar Pemblokiran memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Tambahkan IOC ke Daftar Blokir dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully added new entries to the block list.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan IOC ke Daftar Blokir:

Nama hasil skrip Nilai
is_success true atau false

Mendapatkan Entri Daftar yang Diizinkan

Gunakan tindakan Get Allow List Entries untuk mengambil entri yang ada dari daftar yang diizinkan Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Allow List Entries memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Wajib.

ID cluster daftar yang diizinkan.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
IOC Type To Return

Opsional.

Jenis IOC yang akan ditampilkan.

Jika All dipilih, tindakan akan menampilkan semua entri.

Kemungkinan nilainya adalah sebagai berikut:

  • All
  • Recipient Email Address
  • Sender Email Address
  • Sender IP Address
  • Sender Hostname
  • Sender HELO Domain Name
  • Message Header From (Address Only)

Nilai defaultnya adalah All.
Max IOCs To Return

Opsional.

Jumlah IOC yang akan ditampilkan.

Nilai maksimum adalah 1000.

Nilai defaultnya adalah 100.

Output tindakan

Tindakan Get Allow List Entries memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Allow List Entries:

[
       {
           "attribute": "$from",
           "operator": "equal",
           "value": "test@example.com",
           "comment": ""
       }
]
Pesan output

Tindakan Get Allow List Entries dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully listed entries in the allow list based on the provided criteria.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Allow List Entries:

Nama hasil skrip Nilai
is_success true atau false

Mendapatkan Entri Daftar Blokir

Gunakan tindakan Get Block List Entries untuk mengambil entri yang ada dari daftar yang tidak diizinkan Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Block List Entries memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Wajib.

ID cluster daftar blokir.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
IOC Type To Return

Opsional.

Jenis IOC yang akan ditampilkan.

Jika All dipilih, tindakan akan menampilkan semua entri.

Kemungkinan nilainya adalah sebagai berikut:

  • All
  • Recipient Email Address
  • Sender Email Address
  • Sender IP Address
  • Sender Hostname
  • Sender HELO Domain Name
  • Message Header From (Address Only)

Nilai defaultnya adalah All.
Max IOCs To Return

Opsional.

Jumlah IOC yang akan ditampilkan.

Nilai maksimum adalah 1000.

Nilai defaultnya adalah 100.

Output tindakan

Tindakan Get Block List Entries memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Block List Entries:

[
       {
           "attribute": "$from",
           "operator": "equal",
           "value": "test@example.com",
           "comment": ""
       }
]
Pesan output

Tindakan Get Block List Entries dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully listed entries in the block list based on the provided criteria.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Block List Entries:

Nama hasil skrip Nilai
is_success true atau false

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully connected to the Proofpoint Threat Protection server with the provided connection parameters!

 Tindakan berhasil.
Failed to connect to the Proofpoint Threat Protection server! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip Nilai
is_success true atau false

Menghapus Entri dari Daftar yang Diizinkan

Gunakan tindakan Hapus Entri dari Daftar yang Diizinkan untuk menghapus entri dari daftar yang diizinkan Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Hapus Entri dari Daftar yang Diizinkan memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Wajib.

ID cluster daftar yang diizinkan.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
IOC Type To Search

Opsional.

Jenis IOC yang akan ditelusuri.

Jika All dipilih, tindakan akan menghapus semua entri yang cocok dengan nilai.

Kemungkinan nilainya adalah sebagai berikut:

  • All
  • Recipient Email Address
  • Sender Email Address
  • Sender IP Address
  • Sender Hostname
  • Sender HELO Domain Name
  • Message Header From (Address Only)

Nilai defaultnya adalah All.
Value

Opsional.

Nilai yang akan dihapus dari daftar yang diizinkan.
Case Insensitive Search

Wajib.

Jika dipilih, tindakan akan melakukan penelusuran yang tidak peka huruf besar/kecil untuk mengidentifikasi dan menghapus semua entri yang cocok.

Output tindakan

Tindakan Hapus Entri dari Daftar yang Diizinkan memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Hapus Entri dari Daftar yang Diizinkan dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully deleted entry in the allow list based on the provided criteria.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Hapus Entri dari Daftar yang Diizinkan:

Nama hasil skrip Nilai
is_success true atau false

Menghapus Entri dari Daftar Blokir

Gunakan tindakan Remove Entry from Block List untuk menghapus entri dari daftar blokir Proofpoint Threat Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Hapus Entri dari Daftar Blokir memerlukan parameter berikut:

Parameter Deskripsi
Cluster ID

Wajib.

ID cluster daftar blokir.

Jika tidak ada nilai yang diberikan, tindakan akan menggunakan ID cluster dari konfigurasi integrasi.
IOC Type To Search

Opsional.

Jenis IOC yang akan ditelusuri.

Jika All dipilih, tindakan akan menghapus semua entri yang cocok dengan nilai.

Kemungkinan nilainya adalah sebagai berikut:

  • All
  • Recipient Email Address
  • Sender Email Address
  • Sender IP Address
  • Sender Hostname
  • Sender HELO Domain Name
  • Message Header From (Address Only)

Nilai defaultnya adalah All.
Value

Opsional.

Nilai yang akan dihapus dari daftar blokir.
Case Insensitive Search

Wajib.

Jika dipilih, tindakan akan melakukan penelusuran yang tidak peka huruf besar/kecil untuk mengidentifikasi dan menghapus semua entri yang cocok.

Output tindakan

Tindakan Hapus Entri dari Daftar Pemblokiran memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Hapus Entri dari Daftar Blokir dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully deleted entry in the block list based on the provided criteria.

 Tindakan berhasil.
Error ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Hapus Entri dari Daftar Blokir:

Nama hasil skrip Nilai
is_success true atau false

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.