Skip to main content

​
Cosa apporta questa integrazione

Cofense Triage può fornire email segnalate dai dipendenti e risultati delle indagini in formato normalizzato. Tra gli esempi esaminati figurano:
  • phishing.real.reported — segnala email di phishing reali
  • email.suspicious.reported — segnala email sospette
  • phishing.real.targeted — è bersaglio di campagne di phishing reali
Consultare come i dati di integrazione diventano segnali.

​
Requisiti

Cofense Triage utilizza le credenziali client OAuth2. Creare un’applicazione API nel proprio tenant Triage e copiare l’ID client e il client secret. Non è previsto alcun passaggio di consenso tramite browser: è sufficiente incollare entrambi i valori in Living Security, che richiede autonomamente il token.

​
Configurazione

1

Creare una credenziale Cofense dedicata

In Cofense Triage, creare un’applicazione API in grado di leggere i report. Limitare la credenziale all’accesso di reportistica. Annotare l’ID client e il client secret: Triage mostra il secret una sola volta.
2

Confermare il nome host di Triage

Annotare il nome host completo del proprio tenant, ad esempio acme.managedphishme.com oppure il nome host assegnato al proprio ambiente Cofense. Durante l’inserimento in Living Security, omettere https://.

​
Verifica e risoluzione dei problemi

Verificare che il test di connessione riesca a leggere l’utente corrente e i report prima di attendere la prima sincronizzazione.
Sostituire il client secret: potrebbe essere stato ruotato o revocato. Verificare che il nome host appartenga allo stesso tenant che ha emesso la credenziale.
La credenziale non può leggere i report. Concedere il livello minimo di autorizzazione di reportistica richiesto dal proprio tenant Cofense, quindi ricollegare.
Se il proprio tenant Triage limita l’accesso API in base all’indirizzo IP di origine, per questa integrazione è necessario inserire nella allowlist due gruppi di indirizzi. Living Security genera autonomamente il token di accesso e lo rinnova di continuo, pertanto le richieste di token e le sincronizzazioni pianificate partono da reti diverse e, su Triage, raggiungono lo stesso nome host.
L’arricchimento dei segnalatori è disponibile solo nelle varianti di connessione che espongono l’endpoint dei segnalatori. I segnali derivati dai report possono comunque essere popolati a partire dai dati dei report supportati.