收集 Proofpoint TAP 提醒日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Proofpoint Targeted Attack Protection (TAP) 提醒日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 PROOFPOINT_MAIL 注入标签的解析器。

配置 Proofpoint TAP 提醒

1. 使用您的凭据登录 Proofpoint 威胁情报门户。
2. 在设置标签页中，选择关联的应用。系统会显示服务凭据部分。
3. 在名称部分，点击创建新凭据。
4. 输入您组织的名称，例如 altostrat.com。
5. 点击生成。在生成的服务凭据对话框中，系统会显示服务正文和密文值。
6. 复制服务正文和密钥值。这些值仅在创建时显示，并且在配置 Google Security Operations Feed 时是必需的。
7. 点击完成。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed name（Feed 名称）字段中，输入 Feed 的名称，例如 Proofpoint TAP alerts logs。
5. 选择第三方 API 作为来源类型。
6. 选择 Proofpoint TAP 提醒作为日志类型。
7. 点击下一步。
8. 配置以下必需的输入参数：
   • 用户名：指定您之前获取的服务正文。
   • 密钥：指定您之前获得的密钥。
9. 点击下一步，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 用户名：指定您之前获取的服务正文。
• 密钥：指定您之前获得的密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。 如果您在创建 Feed 时遇到问题，请与 Google Security Operations 支持团队联系。

字段映射参考

此解析器可处理 JSON 或键值格式的 Proofpoint Mail 日志，并提取电子邮件和网络活动详情。它将日志字段映射到 UDM，对电子邮件交易和网络 HTTP 请求等事件进行分类，并使用操作、类别和威胁信息等安全详细信息来丰富这些事件。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。