שילוב של Proofpoint TAP עם Google SecOps

במאמר הזה מוסבר איך לשלב את Proofpoint TAP עם Google Security Operations ‏ (Google SecOps).

פרמטרים של שילוב

השילוב עם Proofpoint TAP דורש את הפרמטרים הבאים:

פרמטר	תיאור
ספריית הבסיס של ה-API	חובה. שורש ה-API של מופע Proofpoint Targeted Attack Protection ‏ (TAP).
שם משתמש	חובה. שם המשתמש של מופע Proofpoint TAP. חשוב: בחשבון Proofpoint TAP, שם המשתמש הוא שם חשבון השירות.
סיסמה	חובה. מפתח ה-API של מופע Proofpoint TAP. חשוב: בחשבון Proofpoint TAP, הסיסמה היא מפתח ה-API.
אימות SSL	זה שינוי אופציונלי. אם הפעולה הזו מופעלת, היא מאמתת את התוקף של אישור ה-SSL.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות שממתינות לאישור ב-Your Workdesk ואיך מבצעים פעולה ידנית.

DecodeURL

משתמשים בפעולה DecodeURL כדי לפענח את כתובות ה-URL המקודדות של Proofpoint.

הפעולה הזו מופעלת בישות Google SecOps הבאה:

• URL

הוספת נתונים לפעולה

פרמטר	תיאור
כתובות URL מקודדות	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של כתובות URL לפענוח. הערה: המערכת תפענח יחד את ישויות כתובות ה-URL בהיקף ההתראה.
יצירת ישויות של כתובות URL	זה שינוי אופציונלי. אם הפעולה הזו נבחרה, היא יוצרת ישות של כתובת URL מכתובת ה-URL אחרי שהיא פוענחה בהצלחה. ערך ברירת המחדל הוא Checked.

פלט של פעולות

הפעולה DecodeURL מספקת את הפלטים הבאים.

העשרה של ישויות

הפעולה DecodeURL תומכת בלוגיקה הבאה להעשרת ישויות:

שם שדה ההעשרה	לוגיקה – מתי להחיל
כתובות URL מקודדות	רשימה מופרדת בפסיקים של כתובות URL לפענוח. הערה: המערכת תפענח יחד את ישויות כתובות ה-URL בהיקף ההתראה.
יצירת ישויות של כתובות URL	אם בוחרים באפשרות הזו, הפעולה יוצרת ישות של כתובת URL מפוענחת בהצלחה מכתובת ה-URL אחרי שהיא פוענחה בהצלחה. ערך ברירת המחדל הוא Checked.

תוצאת סקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה DecodeURL:

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
decoded_urls	לא רלוונטי	לא רלוונטי

GetCampaign

משתמשים בפעולה GetCampaign כדי לקבל מידע על קמפיין לפי מזהה הקמפיין.

הפעולה הזו מופעלת על כל הישויות.

הוספת נתונים לפעולה

הפעולה GetCampaign דורשת את הפרמטר הבא:

פרמטר	תיאור
קוד זיהוי קמפיין	חובה. המזהה של הקמפיין שלגביו רוצים לקבל מידע.
יצירת תובנה	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה עם פרטי הקמפיין. האפשרות הזו מסומנת כברירת מחדל
יצירת ישות של קמפיין איומים	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה יוצרת ישות של קמפיין איומים מפרטי הקמפיין. האפשרות הזו מסומנת כברירת מחדל
אחזור מידע על זיהוי פלילי	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, המערכת מאחזרת מידע משפטי מהקמפיין. האפשרות הזו מסומנת כברירת מחדל
מסנן סוג הראיות הפורנזיות	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של סוגי הראיות שיוחזרו כשמאחזרים מידע משפטי. ערכים אפשריים: ‫attachment, cookie, dns, dropper, file, ids, mutex, network, process, registry, screenshot, url, redirect_chain, behavior.
המספר המקסימלי של ממצאים משפטיים שיוחזרו	זה שינוי אופציונלי. כמות הראיות שיוחזרו לכל קמפיין. ערך ברירת המחדל הוא 50. הערך המקסימלי הוא 1000.

פלט של פעולות

הפעולה GetCampaign מספקת את הפלטים הבאים.

תוצאת סקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה GetCampaign:

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
campaign_info	לא רלוונטי	לא רלוונטי

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות של Proofpoint TAP.

הפעולה הזו מופעלת על כל הישויות.

הוספת נתונים לפעולה

הפעולה Ping לא דורשת פרמטרים.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים.

תוצאת סקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success:False

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.