收集 Proofpoint TAP 快訊記錄

本文說明如何設定 Google Security Operations 動態饋給，收集 Proofpoint Targeted Attack Protection (TAP) 警報記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 PROOFPOINT_MAIL 攝入標籤的剖析器。

設定 Proofpoint TAP 快訊

1. 使用憑證登入 Proofpoint 威脅洞察入口網站。
2. 在「設定」分頁標籤中，選取「已連結的應用程式」。系統會顯示「服務憑證」部分。
3. 在「名稱」部分中，按一下「建立新憑證」。
4. 輸入貴機構的名稱，例如 altostrat.com。
5. 點選「產生」，「產生的服務憑證」對話方塊會顯示「服務主體」和「密鑰」值。
6. 複製「服務主體」和「密碼」值。這些值只會在建立時顯示，設定 Google Security Operations 資訊串流時必須提供這些值。
7. 按一下 [完成]。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「Proofpoint TAP alerts logs」(Proofpoint TAP 快訊記錄)。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Proofpoint TAP 警示」做為「記錄類型」。
7. 點選「下一步」。
8. 設定下列必要輸入參數：
   • 使用者名稱：指定先前取得的服務主體。
   • Secret：指定您先前取得的密碼。
9. 依序點按「繼續」和「提交」。

從內容中心設定動態饋給

為下列欄位指定值：

• 使用者名稱：指定先前取得的服務主體。
• Secret：指定您先前取得的密碼。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

如要進一步瞭解 Google Security Operations 動態消息，請參閱 Google Security Operations 動態消息說明文件。如要瞭解各動態饋給類型的規定，請參閱「依類型設定動態饋給」。如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會處理 JSON 或鍵/值格式的 Proofpoint Mail 記錄，並擷取電子郵件和網路活動詳細資料。這項服務會將記錄欄位對應至 UDM，將電子郵件交易和網路 HTTP 要求等事件分類，並加入動作、類別和威脅資訊等安全性詳細資料。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。