適用於 Microsoft Sentinel 的 Proofpoint On Demand 電子郵件安全性 （使用 Azure Functions） 連接器
Proofpoint On Demand 電子郵件安全性數據連接器提供取得 Proofpoint on Demand Email Protection 數據的功能，可讓使用者檢查郵件可追蹤性、監視電子郵件活動、威脅，以及攻擊者和惡意測試人員外泄的數據。 連接器可讓您以加速方式檢閱組織中的事件，以每小時遞增的方式取得最近活動的事件記錄檔。
這是自動產生的內容。 如需變更，請連絡解決方案提供者。
連線 or 屬性
| 連線 or 屬性 | 描述 |
|---|---|
| Azure 函式應用程式程式代碼 | https://aka.ms/sentinel-proofpointpod-functionapp |
| Kusto 函式別名 | ProofpointPOD |
| Kusto 函式 URL | https://aka.ms/sentinel-proofpointpod-parser |
| Log Analytics 數據表（s） | ProofpointPOD_message_CL ProofpointPOD_maillog_CL |
| 數據收集規則支援 | 目前不支援 |
| 支援者： | Microsoft Corporation |
查詢範例
上次 ProofpointPOD 訊息事件
ProofpointPOD
| where EventType == 'message'
| sort by TimeGenerated desc
上次 ProofpointPOD 郵件記錄事件
ProofpointPOD
| where EventType == 'maillog'
| sort by TimeGenerated desc
必要條件
若要與 Proofpoint On Demand 電子郵件安全性整合（使用 Azure Functions），請確定您有：
- Microsoft.Web/sites 許可權：需要 Azure Functions 的讀取和寫入許可權，才能建立函式應用程式。 請參閱檔以深入瞭解 Azure Functions。
- Websocket API 認證/許可權： 需要 ProofpointClusterID、 ProofpointToken 。 請參閱檔以深入瞭解 API。
廠商安裝指示
注意
此連接器會使用 Azure Functions 連線到 Proofpoint Websocket API，將其記錄提取至 Microsoft Sentinel。 這可能會導致額外的數據擷取成本。 如需詳細資訊， 請參閱 Azure Functions 定價頁面 。
（選擇性步驟）安全地將工作區和 API 授權金鑰或令牌儲存在 Azure 金鑰保存庫。 Azure 金鑰保存庫 提供安全機制來儲存和擷取密鑰值。 請遵循這些指示，搭配 Azure 函式應用程式使用 Azure 金鑰保存庫。
此數據連接器取決於以 Kusto 函式為基礎的剖析器，才能如預期般運作。 請遵循下列步驟 來建立 Kusto 函式別名 ProofpointPOD
步驟 1 - Proofpoint Websocket API 的設定步驟
- Proofpoint Websocket API 服務需要遠端 Syslog 轉送授權。 請參閱 有關如何啟用和檢查 PoD 記錄 API 的檔 。
- 您必須提供叢集識別碼和安全性令牌。
步驟 2 - 從下列兩個部署選項中選擇一個，以部署連接器和相關聯的 Azure 函式
重要事項： 部署 Proofpoint 隨選電子郵件安全性數據連接器之前，請具有工作區標識碼和工作區主鍵（可從下列內容複製），以及 Proofpoint POD 記錄 API 認證，可供立即使用。
選項 1 - Azure Resource Manager （ARM） 範本
使用此方法，使用 ARM Tempate 自動部署 Proofpoint On Demand Email Security 數據連接器。
按兩下下方的 [ 部署至 Azure ] 按鈕。
選取慣用 的訂用帳戶、 資源群組 和 位置。
輸入工作區標識碼、工作區密鑰、ProofpointClusterID、ProofpointToken 和部署。
標示為 [我同意上述條款及條件] 的複選框。
按兩下 [ 購買 ] 以部署。
選項 2 - 手動部署 Azure Functions
使用下列逐步指示，透過 Azure Functions 手動部署 Proofpoint 隨選電子郵件安全性資料連接器（透過 Visual Studio Code 進行部署）。
1.部署函式應用程式
注意：您必須 準備 VS 程式代碼 以進行 Azure 函式開發。
下載 Azure 函式應用程式檔案。 將封存解壓縮到本機開發計算機。
啟動 VS Code。 在主功能表中選擇 [檔案]，然後選取 [開啟資料夾]。
從擷取的檔案中選取最上層資料夾。
選擇 [活動] 列中的 Azure 圖示，然後在 [Azure： Functions ] 區域中，選擇 [ 部署至函式應用程式 ] 按鈕。 如果您尚未登入，請選擇 [活動] 列中的 Azure 圖示，然後在 [Azure： Functions ] 區域中，選擇 [登入 Azure 如果您已經登入]，請移至下一個步驟。
提示中會提供下列資訊：
a. 選取資料夾：從您的工作區選擇一個資料夾，或瀏覽至其中一個包含您函數應用程式的資料夾。
b. 選取 [訂用帳戶： 選擇要使用的訂用帳戶]。
c. 在 Azure 中選取 [建立新的函式應用程式] （不要選擇 [進階] 選項）
d. 輸入函數應用程式的全域唯一名稱：鍵入 URL 路徑中的有效名稱。 您輸入的名稱會進行驗證，以確定該名稱在 Azure Functions 中是唯一的。 （例如 ProofpointXXXXX）。
e. 選取運行時間： 選擇 Python 3.8。
f. 選取新資源的位置。 為了獲得更好的效能和較低的成本，請選擇 Microsoft Sentinel 所在的相同 區域 。
部署將會開始。 建立函式應用程式並套用部署套件之後，即會顯示通知。
移至 Azure 入口網站以取得函式應用程式設定。
2.設定函式應用程式
- 在函式應用程式中，選取 [函式應用程式名稱]，然後選取 [ 設定]。
- 在 [ 應用程式設定] 索引標籤中，選取 [+ 新增應用程式設定]。
- 個別新增下列每個應用程式設定，其各自的字串值（區分大小寫）:P roofpointClusterID ProofpointToken WorkspaceID WorkspaceIDKey logAnalyticsUri （選擇性）
- 使用 logAnalyticsUri 覆寫專用雲端的記錄分析 API 端點。 例如，針對公用雲端，將值保留空白;針對 Azure GovUS 雲端環境，請以下列格式指定值：
https://<CustomerId>.ods.opinsights.azure.us。
- 輸入所有應用程式設定之後，按兩下 [ 儲存]。
下一步
如需詳細資訊，請移至 Azure Marketplace 中的相關解決方案 。