Zum Hauptinhalt springen
Die Proofpoint-Integration verbindet sich mit Cloud Threat Response (CTR) über einen API-Schlüssel und ein Secret aus Cloud Admin.

​
Unterstützte Daten

  • Nachrichtenprotokolle enthalten Absender, Empfänger, Betreff, Disposition, CLEAR-Verdict und -Konfidenz, TAP-Bedrohungen und -Kampagnen, URLs, Anhänge, Zustellstatus, Behebungsstatus und zugehörige CTR-Incidents.
  • Incident-Detektionen enthalten den Incident-Titel von Proofpoint, Priorität, Zustand, Zuweisung, Nachrichtenanzahl, Dispositionen, Verdicts, Konfidenz, Quelltypen und VAP/VIP-Kennzeichnungen.
Absender- und Empfängerwerte werden als Benutzer-Observables indiziert. CTR stellt kein maßgebliches Benutzerverzeichnis und keinen Bestand verwalteter Endgeräte bereit, daher synchronisiert die Integration weder Benutzer noch Endgeräte.

​
Voraussetzungen

Erstellen Sie einen dedizierten API-Schlüssel unter Cloud Admin → Settings → API Key Management → Threat Protection. Speichern Sie API-Schlüssel und Secret, sobald sie angezeigt werden. Diese Zugangsdaten unterscheiden sich vom Service Principal und Secret, die für die TAP SIEM API verwendet werden.

​
Proofpoint verbinden

  1. Gehen Sie in Wirespeed zu Einstellungen → Integrationen → Integration hinzufügen → Proofpoint.
  2. Geben Sie den CTR-API-Schlüssel und das API-Secret ein.
  3. Speichern und aktivieren Sie die Integration.

​
Synchronisierungsverhalten

Nachrichten- und Incident-Suchen verwenden eine begrenzte Paginierung und einen anfänglichen Rückblick von drei Tagen. Die Nachrichtenerfassung läuft höchstens alle fünf Minuten. Der Cursor-Status rückt erst vor, nachdem Wirespeed die zugehörigen Daten erfolgreich erfasst hat. CTR-Nachrichtenprotokolle bleiben für die SIEM-Suche und künftige verwaltete Detektionsregeln verfügbar. Proofpoint-Incident-Detektionen verwenden zunächst eine nicht eskalierende Standardkategorie, bis dedizierte Kategorisierungsregeln definiert sind.

​
Nicht enthalten

Die Integration ruft keine Nachrichtentexte, MIME-Inhalte, Dashboard-Berichte, People/VAP-Berichte oder TAP-SIEM-Ereignisse ab. Das Schließen oder Neukategorisieren einer Wirespeed-Detektion aktualisiert den Proofpoint-Incident nicht.