將 Proofpoint TAP 與 Google SecOps 整合

本文說明如何將 Proofpoint TAP 與 Google Security Operations (Google SecOps) 整合。

整合參數

Proofpoint TAP 整合需要下列參數：

參數	說明
API 根層級	這是必填欄位。 Proofpoint 針對性攻擊防護 (TAP) 執行個體的 API 根目錄。
使用者名稱	這是必填欄位。 Proofpoint TAP 執行個體的使用者名稱。 重要事項：在 Proofpoint TAP 帳戶中，「使用者名稱」是服務主體名稱。
密碼	這是必填欄位。 Proofpoint TAP 執行個體的 API 金鑰。 重要事項：在 Proofpoint TAP 帳戶中，密碼就是 API 金鑰。
驗證 SSL	選填。 如果啟用，該動作會驗證 SSL 憑證的有效性。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

DecodeURL

使用 DecodeURL 動作解碼 Proofpoint 的編碼網址。

這項動作會在下列 Google SecOps 實體上執行：

• URL

動作輸入內容

參數	說明
編碼網址	選填。 以半形逗號分隔的網址清單，用於解碼。 注意：快訊範圍內的網址實體會一併解碼。
建立網址實體	選填。 如果選取，則動作會在網址成功解碼後，從網址建立網址實體。 預設值為 Checked。

動作輸出內容

DecodeURL 動作會提供下列輸出內容。

實體充實

DecodeURL 動作支援下列實體擴充邏輯：

補充資料欄位名稱	邏輯 - 應用時機
編碼網址	以半形逗號分隔的網址清單，用於解碼。 注意：快訊範圍內的網址實體會一併解碼。
建立網址實體	如果選取，則在網址成功解碼後，該動作會從網址建立成功解碼的網址實體。 預設值為 Checked。

指令碼執行結果

下表說明使用 DecodeURL 動作時，指令碼結果輸出的值：

指令碼執行結果名稱	值選項	範例
decoded_urls	不適用	不適用

GetCampaign

使用 GetCampaign 動作，依廣告活動 ID 取得廣告活動資訊。

這項操作會對所有實體執行。

動作輸入內容

GetCampaign 動作需要下列參數：

參數	說明
廣告活動 ID	這是必填欄位。 要取得資訊的廣告活動 ID。
建立洞察	選填。 如果選取，這項動作會建立包含廣告活動資訊的洞察。 預設選取
建立威脅活動實體	選填。 如果選取，這項動作會根據廣告活動資訊建立威脅廣告活動實體。 預設選取
擷取鑑識資訊	選填。 如果選取，動作會從廣告活動擷取鑑識資訊。 預設選取
鑑識證據類型篩選器	選填。 擷取鑑識資訊時，要傳回的證據類型清單 (以半形逗號分隔)。 可能的值包括： attachment、cookie、dns、dropper、file、ids、mutex、network、process、registry、screenshot、url、redirect_chain、behavior。
要傳回的鑑識證據數量上限	選填。 每個廣告活動要傳回的證據數量。 預設值為 50。 最大值為 1000。

動作輸出內容

GetCampaign 動作會提供下列輸出內容。

指令碼執行結果

下表說明使用 GetCampaign 動作時，指令碼結果輸出的值：

指令碼執行結果名稱	值選項	範例
campaign_info	不適用	不適用

乒乓

使用 Ping 動作測試 Proofpoint TAP 連線能力。

這項操作會對所有實體執行。

動作輸入內容

Ping 動作不需要任何參數。

動作輸出內容

Ping 動作會提供下列輸出內容。

指令碼執行結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼執行結果名稱	值選項	範例
is_success	True/False	is_success:False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。