> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Proofpoint

> Nachrichtenprotokolle und Incident-Detektionen aus Cloud Threat Response importieren

Die Proofpoint-Integration verbindet sich mit Cloud Threat Response (CTR) über einen
API-Schlüssel und ein Secret aus Cloud Admin.

## Unterstützte Daten

* **Nachrichtenprotokolle** enthalten Absender, Empfänger, Betreff, Disposition, CLEAR-Verdict
  und -Konfidenz, TAP-Bedrohungen und -Kampagnen, URLs, Anhänge,
  Zustellstatus, Behebungsstatus und zugehörige CTR-Incidents.
* **Incident-Detektionen** enthalten den Incident-Titel von Proofpoint, Priorität,
  Zustand, Zuweisung, Nachrichtenanzahl, Dispositionen, Verdicts, Konfidenz,
  Quelltypen und VAP/VIP-Kennzeichnungen.

Absender- und Empfängerwerte werden als Benutzer-Observables indiziert. CTR stellt
kein maßgebliches Benutzerverzeichnis und keinen Bestand verwalteter Endgeräte bereit, daher
synchronisiert die Integration weder Benutzer noch Endgeräte.

## Voraussetzungen

Erstellen Sie einen dedizierten API-Schlüssel unter **Cloud Admin → Settings → API Key Management →
Threat Protection**. Speichern Sie API-Schlüssel und Secret, sobald sie angezeigt werden.

Diese Zugangsdaten unterscheiden sich vom Service Principal und Secret, die
für die TAP SIEM API verwendet werden.

## Proofpoint verbinden

1. Gehen Sie in Wirespeed zu **Einstellungen → Integrationen → [Integration hinzufügen](https://app.wirespeed.co/settings/integrations?tab=browse) → Proofpoint**.
2. Geben Sie den CTR-**API-Schlüssel** und das **API-Secret** ein.
3. Speichern und aktivieren Sie die Integration.

## Synchronisierungsverhalten

Nachrichten- und Incident-Suchen verwenden eine begrenzte Paginierung und einen anfänglichen
Rückblick von drei Tagen. Die Nachrichtenerfassung läuft höchstens alle fünf Minuten. Der Cursor-Status
rückt erst vor, nachdem Wirespeed die zugehörigen Daten erfolgreich erfasst hat.

CTR-Nachrichtenprotokolle bleiben für die SIEM-Suche und künftige verwaltete Detektionsregeln
verfügbar. Proofpoint-Incident-Detektionen verwenden zunächst eine nicht eskalierende Standardkategorie,
bis dedizierte Kategorisierungsregeln definiert sind.

## Nicht enthalten

Die Integration ruft keine Nachrichtentexte, MIME-Inhalte, Dashboard-Berichte,
People/VAP-Berichte oder TAP-SIEM-Ereignisse ab. Das Schließen oder Neukategorisieren einer
Wirespeed-Detektion aktualisiert den Proofpoint-Incident nicht.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.