Saltar al contenido principal
La integración de Proofpoint se conecta a Cloud Threat Response (CTR) mediante una clave y un secreto de Cloud Admin API.

​
Datos admitidos

  • Los registros de mensajes incluyen remitente, destinatario, asunto, disposición, veredicto CLEAR y confianza, amenazas y campañas de TAP, URL, adjuntos, estado de entrega, estado de remediación e incidentes CTR relacionados.
  • Las detecciones de incidentes incluyen el título del incidente de Proofpoint, la prioridad, el estado, la asignación, el recuento de mensajes, las disposiciones, los veredictos, la confianza, los tipos de origen y los indicadores VAP/VIP.
Los valores de remitente y destinatario se indexan como observables de usuario. CTR no proporciona un directorio de usuarios autoritativo ni un inventario de puntos de conexión gestionados, por lo que la integración no sincroniza usuarios ni puntos de conexión.

​
Requisitos previos

Cree una clave API dedicada en Cloud Admin → Settings → API Key Management → Threat Protection. Guarde la clave API y el secreto cuando se muestren. Estas credenciales son distintas del service principal y el secreto que usa la TAP SIEM API.

​
Conectar Proofpoint

  1. En Wirespeed, vaya a Configuración → Integraciones → Añadir integración → Proofpoint.
  2. Introduzca la API Key y el API Secret de CTR.
  3. Guarde y habilite la integración.

​
Comportamiento de la sincronización

Las búsquedas de mensajes e incidentes usan paginación acotada y un período retrospectivo inicial de tres días. La recopilación de mensajes se ejecuta como máximo cada cinco minutos. El estado del cursor solo avanza después de que Wirespeed ingesta correctamente los datos correspondientes. Los registros de mensajes de CTR permanecen disponibles para la búsqueda SIEM y futuras reglas de detección gestionada. Las detecciones de incidentes de Proofpoint usan inicialmente una categoría predeterminada sin escalado hasta que se definan reglas de categorización dedicadas.

​
No incluido

La integración no recupera cuerpos de mensajes, contenido MIME, informes del panel, informes People/VAP ni eventos TAP SIEM. Cerrar o recategorizar una detección de Wirespeed no actualiza el incidente de Proofpoint.