Intégrer Proofpoint TAP à Google SecOps

Ce document explique comment intégrer Proofpoint TAP à Google Security Operations (Google SecOps).

Paramètres d'intégration

L'intégration Proofpoint TAP nécessite les paramètres suivants :

Paramètre	Description
Racine de l'API	Obligatoire. Racine de l'API de l'instance Proofpoint Targeted Attack Protection (TAP).
Nom d'utilisateur	Obligatoire. Nom d'utilisateur de l'instance Proofpoint TAP. Important : Dans le compte Proofpoint TAP, le nom d'utilisateur est le nom principal du service.
Mot de passe	Obligatoire. Clé API de l'instance Proofpoint TAP. Important : Dans le compte Proofpoint TAP, le mot de passe est la clé API.
Vérifier le protocole SSL	Facultatif. Si elle est activée, cette action vérifie la validité du certificat SSL.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

DecodeURL

Utilisez l'action DecodeURL pour décoder les URL encodées de Proofpoint.

Cette action s'exécute sur l'entité Google SecOps suivante :

• URL

Entrées de l'action

Paramètre	Description
URL encodées	Facultatif. Liste d'URL séparées par une virgule à décoder. Remarque : Les entités d'URL incluses dans le champ d'application de l'alerte seront décodées ensemble.
Créer des entités d'URL	Facultatif. Si cette option est sélectionnée, l'action crée une entité d'URL à partir de l'URL une fois qu'elle a été décodée. La valeur par défaut est Checked.

Sorties de l'action

L'action DecodeURL fournit les résultats suivants.

Enrichissement d'entités

L'action DecodeURL accepte la logique d'enrichissement d'entité suivante :

Nom du champ d'enrichissement	Logique : quand les utiliser ?
URL encodées	Liste d'URL séparées par une virgule à décoder. Remarque : Les entités d'URL incluses dans le champ d'application de l'alerte seront décodées ensemble.
Créer des entités d'URL	Si cette option est sélectionnée, l'action crée une entité d'URL décodée à partir de l'URL une fois qu'elle a été décodée. La valeur par défaut est Checked.

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lors de l'utilisation de l'action DecodeURL :

Nom du résultat du script	Options de valeur	Exemple
decoded_urls	N/A	N/A

Obtenir une campagne

Utilisez l'action GetCampaign pour obtenir des informations sur une campagne à l'aide de son ID de campagne.

Cette action s'exécute sur toutes les entités.

Entrées de l'action

L'action GetCampaign nécessite le paramètre suivant :

Paramètre	Description
Campaign ID	Obligatoire. ID de la campagne pour laquelle vous souhaitez obtenir des informations.
Créer un insight	Facultatif. Si cette option est sélectionnée, l'action crée un insight avec les informations sur la campagne. Sélectionné par défaut
Créer une entité de campagne de menaces	Facultatif. Si cette option est sélectionnée, l'action crée une entité de campagne de menaces à partir des informations de la campagne. Sélectionné par défaut
Récupérer les informations d'expertise judiciaire	Facultatif. Si cette option est sélectionnée, l'action récupère les informations d'analyse de la campagne. Sélectionné par défaut
Filtre par type de preuve d'investigation	Facultatif. Liste de types de preuves à renvoyer lors de la récupération d'informations d'analyse, séparés par une virgule. Valeurs possibles : attachment, cookie, dns, dropper, file, ids, mutex, network, process, registry, screenshot, url, redirect_chain, behavior.
Nombre maximal de preuves d'investigation à renvoyer	Facultatif. Nombre d'éléments de preuve à renvoyer par campagne. La valeur par défaut est 50. La valeur maximale est 1000.

Sorties de l'action

L'action GetCampaign fournit les résultats suivants.

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action GetCampaign :

Nom du résultat du script	Options de valeur	Exemple
campaign_info	N/A	N/A

Ping

Utilisez l'action Ping pour tester la connectivité de Proofpoint TAP.

Cette action s'exécute sur toutes les entités.

Entrées de l'action

L'action Ping ne nécessite aucun paramètre.

Sorties de l'action

L'action Ping fournit les résultats suivants.

Résultat du script

Le tableau suivant décrit les valeurs de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.