Proofpoint 로그

Panther는 Proofpoint에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음을 쿼리하여 Proofpoint 로그를 가져올 수 있습니다 Proofpoint SIEM API.

Proofpoint 로그를 Panther에 온보딩하는 방법

Proofpoint 로그를 온보딩하려면 Proofpoint API 자격 증명을 생성한 다음 Panther에서 Proofpoint 소스를 생성합니다.

1단계: Proofpoint에서 API 자격 증명 만들기

1. Proofpoint에 로그인합니다.

2. 다음으로 이동합니다: 설정.

3. 클릭합니다 새 토큰, 그런 다음 토큰을 생성합니다.

   • 다음을 저장하세요 토큰 서비스 주체 및 토큰 비밀값 다음 단계에서 필요하므로 안전한 위치에 생성해 두세요.

2단계: Panther에서 Proofpoint 소스 만들기

1. Panther Console의 왼쪽 탐색 모음에서 클릭 로그 소스.

2. 클릭합니다 새로 만들기.

3. “Proofpoint”를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 다음을 클릭합니다 설정 시작.

5. 설명적인 이름 소스의 이름으로, 예: "My Proofpoint logs."

6. 클릭합니다 설정.

7. 다음 페이지에서 자격 증명 설정 페이지에서 다음 필드의 값을 입력하세요:

   • Proofpoint 도메인: Proofpoint 인스턴스의 도메인 이름을 입력합니다. 예: https://tap-api-v2.proofpoint.com.

   • 토큰 서비스 주체: 1단계에서 Proofpoint에서 생성한 값을 입력합니다.

   • 토큰 비밀값: 1단계에서 Proofpoint에서 생성한 값을 입력합니다.

8. 클릭합니다 설정. 성공 화면으로 이동됩니다:\

   

   • 선택적으로 하나 이상의 디택션 팩.

   • 다음 이벤트가 처리되지 않으면 알러트를 발생시키기 설정의 기본값은 예. 일정 시간이 지난 후 로그 소스에서 데이터 흐름이 멈추면 알러트를 받게 되므로 이 설정을 활성화한 상태로 두는 것을 권장합니다. 이 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

지원되는 로그 유형

Proofpoint.Event

Proofpoint.Event 로그는 Proofpoint 인스턴스 내의 활동을 나타냅니다. 자세한 내용은 Proofpoint 문서.

스키마: Proofpoint.Event
설명: Proofpoint API에서 가져온 이벤트 로그
참조 URL: https://help.proofpoint.com/Threat_Insight_Dashboard/API_Documentation/SIEM_API
필드:
  - 이름: messageTime
    설명: 로그의 타임스탬프.
    이벤트 시간 여부: true
    시간 형식:
      - rfc3339
    유형: timestamp
  - 이름: messageParts
    설명: 메시지의 부분을 포함하는 JSON 구조.
    유형: json
  - 이름: fromAddress
    설명: 메시지가 전송된 이메일 주소 배열.
    유형: array
    요소:
      유형: string
      지표: 이메일
  - 이름: toAddresses
    설명: 메시지가 전송된 이메일 주소 배열.
    유형: array
    요소:
      유형: string
      지표: 이메일
  - 이름: recipient
    설명: 메시지가 전송된 이메일 주소 배열.
    유형: array
    요소:
      유형: string
      지표: 이메일
  - 이름: threatsInfoMap
    설명: 위협 정보를 포함하는 객체 배열.
    유형: array
    요소:
      유형: object
      필드:
        - 이름: threatUrl
          설명: 위협과 관련된 URL.
          유형: string
          지표: URL
        - 이름: threatID
          설명: 위협의 고유 식별자.
          유형: string
        - 이름: threatStatus
          설명: 위협의 상태.
          유형: string
        - 이름: classification
          설명: 위협의 분류 유형.
          유형: string
        - 이름: threatTime
          설명: 위협의 타임스탬프.
          유형: string
          지표:
            - 타임스탬프
        - name: threat
          설명: 위협의 세부 정보.
          유형: string
        - 이름: campaignID
          설명: 연관된 캠페인의 식별자.
          유형: string
        - 이름: threatType
          설명: 위협 유형.
          유형: string
  - 이름: completelyRewritten
    설명: 메시지가 완전히 다시 작성되었는지 여부를 나타냅니다.
    유형: boolean
  - 이름: id
    설명: 이벤트의 고유 식별자.
    유형: string
  - 이름: QID
    설명: 메시지의 큐 식별자.
    유형: string
  - 이름: GUID
    설명: 이벤트의 전역 고유 식별자.
    유형: string
  - 이름: sender
    설명: 발신자의 이메일 주소.
    유형: string
    지표:
      - email
  - 이름: senderIP
    설명: 발신자의 IP 주소.
    유형: string
    지표:
      - ip
  - 이름: messageID
    설명: 메시지의 고유 식별자.
    유형: string
  - 이름: spamScore
    설명: 메시지가 스팸일 가능성을 나타내는 점수.
    유형: int
  - 이름: phishScore
    설명: 메시지가 피싱 시도일 가능성을 나타내는 점수.
    유형: int
  - 이름: impostorScore
    설명: 발신자가 사기꾼일 가능성을 나타내는 점수.
    유형: int
  - 이름: malwareScore
    설명: 메시지에 멀웨어가 포함되었을 가능성을 나타내는 점수.
    유형: int
  - 이름: cluster
    설명: 이벤트와 관련된 클러스터 정보.
    유형: string
  - 이름: subject
    설명: 이메일의 제목.
    유형: string
  - 이름: quarantineFolder
    설명: 메시지가 격리되는 폴더.
    유형: string
  - 이름: quarantineRule
    설명: 메시지를 격리하는 데 적용된 룰.
    유형: string
  - 이름: policyRoutes
    설명: 정책 라우팅 정보를 포함하는 JSON 구조.
    유형: json
  - 이름: modulesRun
    설명: 메시지 처리를 위해 실행된 모듈에 대한 정보를 포함하는 JSON 구조.
    유형: json
  - 이름: messageSize
    설명: 메시지의 크기(바이트).
    유형: int
  - 이름: headerFrom
    설명: 'From' 헤더의 이메일 주소.
    유형: string
    지표: 이메일
  - 이름: headerReplyTo
    설명: 'Reply-To' 헤더의 이메일 주소.
    유형: string
    지표: 이메일
  - 이름: ccAddresses
    설명: 'CC' 필드의 이메일 주소 배열.
    유형: array
    요소:
      유형: string
      지표: 이메일
  - 이름: replyToAddress
    설명: 'Reply-To' 필드의 이메일 주소 배열.
    유형: array
    요소:
      유형: string
      지표: 이메일
  - 이름: xmailer
    설명: 메시지를 보낸 이메일 클라이언트 또는 서버에 대한 정보.
    유형: string