שילוב של Proofpoint TAP עם Google SecOps

במאמר הזה מוסבר איך לשלב את Proofpoint TAP עם Google Security Operations ‏ (Google SecOps).

פרמטרים של שילוב

כדי לשלב את Proofpoint TAP, צריך את הפרמטרים הבאים:

פרמטר תיאור
הרמה הבסיסית (root) של ה-API

חובה.

שורש ה-API של המכונה של Proofpoint Targeted Attack Protection ‏ (TAP).
שם משתמש

חובה.

שם המשתמש של המכונה של Proofpoint TAP.
סיסמה

חובה.

מפתח ה-API של המכונה של Proofpoint TAP.
אימות SSL

זה שינוי אופציונלי.

אם היא מופעלת, הפעולה הזו מאמתת את התוקף של אישור ה-SSL.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

DecodeURL

כדי לפענח את כתובות ה-URL המקודדות של Proofpoint, משתמשים בפעולה DecodeURL.

הפעולה הזו פועלת בישות הבאה של Google SecOps:

  • URL

קלט של הפעולה

פרמטר תיאור
כתובות URL מקודדות

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של כתובות URL לפענוח.
יצירת ישויות של כתובות URL

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה יוצרת ישות של כתובת URL מהכתובת אחרי שהיא פוענחה בהצלחה.

ערך ברירת המחדל הוא Checked.

ערכי פלט של פעולות

הפעולה DecodeURL מספקת את הפלטים הבאים.

העשרת ישויות

הפעולה DecodeURL תומכת בלוגיקה הבאה של העשרת ישויות:

שם שדה ההעשרה לוגיקה – מתי להחיל
כתובות URL מקודדות

רשימה מופרדת בפסיקים של כתובות URL לפענוח.
יצירת ישויות של כתובות URL

אם בוחרים בפעולה הזו, היא יוצרת ישות של כתובת URL שפוענחה בהצלחה מכתובת ה-URL אחרי שהיא פוענחה בהצלחה.

ערך ברירת המחדל הוא Checked.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה DecodeURL:

שם תוצאת הסקריפט אפשרויות ערך דוגמה
decoded_urls לא רלוונטי לא רלוונטי

GetCampaign

משתמשים בפעולה GetCampaign כדי לקבל מידע על הקמפיין לפי מזהה הקמפיין.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

הפעולה GetCampaign דורשת את הפרמטר הבא:

פרמטר תיאור
קוד זיהוי קמפיין

חובה.

מזהה הקמפיין שרוצים לקבל עליו מידע.
יצירת תובנה

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה עם פרטי הקמפיין.

האפשרות הזו מסומנת כברירת מחדל
יצירת ישות של קמפיין איומים

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה יוצרת ישות של קמפיין איומים מפרטי הקמפיין.

האפשרות הזו מסומנת כברירת מחדל
אחזור מידע לזיהוי פלילי

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה מאחזרת מידע לניתוח מהקמפיין.

האפשרות הזו מסומנת כברירת מחדל
מסנן לפי סוג הראיות הפורנזיות

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של סוגי הראיות שיוחזרו כשמאחזרים מידע משפטי.

ערכים אפשריים:

‫attachment, cookie, dns, dropper, file, ids, mutex, network, process, registry, screenshot, url, redirect_chain, behavior.
מספר מקסימלי של ראיות פורנזיות שיוחזרו

זה שינוי אופציונלי.

כמות ההוכחות שיוחזרו לכל קמפיין.

ערך ברירת המחדל הוא 50.

הערך המקסימלי הוא 1000.

ערכי פלט של פעולות

הפעולה GetCampaign מספקת את הפלטים הבאים.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה GetCampaign:

שם תוצאת הסקריפט אפשרויות ערך דוגמה
campaign_info לא רלוונטי לא רלוונטי

פינג

משתמשים בפעולה פינג כדי לבדוק את הקישוריות של Proofpoint TAP.

הפעולה הזו פועלת בכל הישויות.

קלט של הפעולה

הפעולה Ping לא דורשת פרמטרים.

ערכי פלט של פעולות

הפעולה פינג מספקת את הפלטים הבאים.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה פינג:

שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.