Threat Exchange 用 Proofpoint プラグイン

このドキュメントではCloud Exchangeプラットフォームで Proofpoint v2.0.0 プラグインを構成する方法について説明します。 このプラグインは Proofpoint TAP (標的型攻撃対策) ダッシュボードの「脅威」から、URL、SHA256、ドメイン、FQDN タイプの IoC を取得します。 このプラグインは、Proofpointからのインジケーターのプル削除をサポートしています。このプラグインは、Proofpoint プラットフォームへのインジケーターの共有をサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskopeテナント上のファイルプロファイル。
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• A DNS Profile on your Netskope Tenant
• Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
• Proofpoint プラットフォームへの接続。
• 以下のホストへの接続: https://tap-api-v2.proofpoint.com 。

Proofpointプラグインのサポート

このプラグインは Proofpoint TAP (標的型攻撃対策) ダッシュボードの「脅威」から、URL、SHA256、ドメイン、FQDN タイプの IOC を取得します。 このプラグインは、Proofpointからのインジケーターのプル削除をサポートしています。このプラグインは、Proofpoint プラットフォームへのインジケーターの共有をサポートしていません。

インジデントの指標撤回

IoC Retraction (Pull): 指標はProofpointから取得され、その後のプルサイクルでも取得されます。Proofpointから一部の指標が削除された場合、Cloud Exchangeでは「取り消し済み」とマークされます。

IoC Retraction (Push): Cloud Exchangeに存在する取り下げられた指標は、共有時にProofpointから削除されます。

マッピング

プルマッピング

{
  "clicksPermitted": [
    {
      "url": "https://example.com/malicious",
      "threatTime": "2024-01-01T12:00:00Z",
      "threatURL": "https://threatinfo.proofpoint.com/...",
      "classification": "malware"
    }
  ],
  "clicksBlocked": [
    {
      "url": "https://blocked-site.com",
      "threatTime": "2024-01-01T12:30:00Z",
      "threatURL": "https://threatinfo.proofpoint.com/...",
      "classification": "phish"
    }
  ],
  "messagesDelivered": [
    {
      "threatsInfoMap": [
        {
          "threat": "abc123def456...",
          "threatType": "attachment",
          "threatTime": "2024-01-01T13:00:00Z",
          "threatUrl": "https://threatinfo.proofpoint.com/...",
          "classification": "malware"
        },
        {
          "threat": "https://malicious-url.com",
          "threatType": "url",
          "threatTime": "2024-01-01T13:15:00Z",
          "threatUrl": "https://threatinfo.proofpoint.com/...",
          "classification": "phish"
        }
      ]
    }
  ],
  "messagesBlocked": [
    {
      "threatsInfoMap": [
        {
          "threat": "def789ghi012...",
          "threatType": "attachment",
          "threatTime": "2024-01-01T14:00:00Z",
          "threatUrl": "https://threatinfo.proofpoint.com/...",
          "classification": "spam"
        }
      ]
    }
  ]
}

パフォーマンスマトリックス

この読み取りは、下記の仕様を持つ大規模なCEスタック上で、各ページから10万個のIOCを取得し、Proofpointに10万個のIOCを送信することによって実施されます。

ユーザーエージェント

netskope-ce-6.1.0-cte-proofpoint-v2.0.0

ワークフロー

1. Proofpoint からクレデンシャルを入手してください。
2. Proofpointプラグインを設定します。
3. Proofpointプラグインのビジネスルールを設定します。
4. Proofpointプラグインの共有設定を行います。
5. Proofpointプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Proofpoint からクレデンシャルを入手

1. Proofpoint TAP ダッシュボードにログインして、 Settingsに移動します。

   

2. 設定で、 Connected Applicationsに移動します。

   

3. Create New Credentialをクリックしてください。

   

4. 名前を入力し、クレデンシャルの外部サービスを選択します。

   

5. 生成されたService PrincipalとSecretをコピーし、使うとしてプラグインを設定 Cloud Exchange。 完了したら、 Doneをクリックしてください。

   

Proofpointプラグインの設定

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。

2. Proofpoint v2.0.0 (CTE)プラグインを検索して選択してください。

   

3. 基本情報を入力してください：

   • Configuration Name: 設定の一意の名前。
   • Sync Interval: このプラグインからデータを取得し、他のソースからこのプラグインにデータを共有するための間隔。
     多数のIoCを取得したい場合は、同期間隔の値を大きくする方が良いことに注意してください。
   • Aging Criteria: プラグインの有効期限（日数）（デフォルト：90日）
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
   • Enable SSL ValidationSSL証明書の検証を有効にします。

   

4. Nextをクリックして、設定パラメータを入力してください。

   • Base URL: Proofpoint TAP API Base URL, like https://tap-api-v2.proofpoint.com.
   • Username: プルーフポイント サービスプリンシパル。
   • Password: プルーフポイントの秘密。
   • Event Types: Proofpointから脅威指標（URL、SHA256、ドメイン、FQDN）を取得するイベントの種類Select 。 イベントの種類が選択されていない場合、デフォルトで全てのイベントの種類が含まれます。
   • Enable Tagging: タグ付け機能を有効／無効にします。
   • Retraction Interval: 使うまでの時間数を、Proofpoint IoC(s)のリトラクション間隔として示します。 有効な値の範囲は1時間から168時間です。このパラメータは、脅威交換設定でIoC（侵害指標）の撤回が有効になっている場合にのみ考慮されます。
   • Initial Range: 初回実行時に脅威IoCを取得するのに必要な時間数。有効な値の範囲は1時間から168時間です。

   

5. Saveをクリックしてください。

   

Proofpoint の Threat Exchange ビジネスルールを設定する

Proofpointから取得した指標をCloud Exchangeに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。

2. ルールに、要件に応じたフィルターを追加してください。

   

3. Saveをクリックしてください。

   

Proofpointプラグインの脅威交換共有を設定する

ProofpointからNetskope Cloud ExchangeにIoCを共有するには：

1. Threat ExchangeでSharingへ移動し、 Add Sharing Configurationをクリックします。
2. ソース構成（CTE Proofpoint）、ビジネスルール、宛先構成（CTE Netskope ）、およびターゲットをSelect 。 
3. Saveをクリックしてください。

Proofpointプラグインを検証する

プルを検証する

Cloud Exchange で取得したログを確認するには、 Loggingにアクセスして、CTE Proofpoint プラグインからログを検索してください。ログをフィルタリングできます フィルタ: message Like “[]”<plugin configuration name> 。

抽出されたデータは、脅威IoC（侵害指標）ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source<plugin configuration name> “” のようにします 。

プルリトラクションを検証する

取り下げられた IoC を確認するには、ログで IoC Retraction の例を確認します: message Like CTE Proofpoint [CTE Proofpoint] [Retraction]。

プラットフォームからフィルターを使用して、撤回された IoC をフィルターできます <plugin configuration name>。

プッシュ通知を検証する

ここでは、Netskopeテナントの宛先プロファイルにIoC（侵害指標）が追加されたことが確認できます。

その後、共有されていたIoCの一部が撤回済みとしてマークされたため、リストから削除されました。

Proofpointプラグインのトラブルシューティング

Proofpoint プラットフォームから IoC を取得できない

プラグインの設定後、プラットフォームからIoCが取得されない場合は、以下のいずれかの理由が考えられます。

• プラットフォーム上にはプル可能なIoCがありません
• 指定された構成パラメータ（初期範囲など）では、IoCは利用できません。

What to do: 上記から根本原因を特定し、以下のいずれかの手順に従って問題を解決してください。

No IoCs are available on the platform to pull:

プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。

IoCs are not available for the given time range

プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCEでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Proofpoint プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。