Jamf Protect-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie Jamf Protect-Logs erfassen, indem Sie einen Google Security Operations-Feed einrichten, und wie Logfelder UDM-Feldern (Unified Data Model) von Google Security Operations zugeordnet werden. In diesem Dokument wird auch die unterstützte Jamf Protect-Version aufgeführt.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Eine typische Bereitstellung besteht aus Jamf Protect und dem Google Security Operations-Feed, der so konfiguriert ist, dass Logs an Google Security Operations gesendet werden. Jede Kundenbereitstellung kann sich unterscheiden und komplexer sein.

Die Bereitstellung enthält die folgenden Komponenten:

• Jamf Protect Die Jamf Protect-Plattform, von der Sie Protokolle erfassen.

• Google Security Operations-Feed. Der Google Security Operations-Feed, der Logs aus Jamf Protect abruft und in Google Security Operations schreibt.

• Google Security Operations. Google Security Operations speichert und analysiert die Logs von Jamf Protect.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Aufnahme-Label JAMF_PROTECT.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Jamf Protect ist eingerichtet.
• Jamf Protect-Version 4.0.0 oder höher
• Alle Systeme in der Bereitstellungsarchitektur sind mit der UTC-Zeitzone konfiguriert.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds
• Content Hub> Content-Pakete

Feeds über die SIEM-Einstellungen > „Feeds“ einrichten

Sie können entweder Amazon S3 oder einen Webhook verwenden, um einen Ingest-Feed in Google SecOps einzurichten. Wir empfehlen jedoch, Amazon S3 zu verwenden.

Aufnahmefeed in Google SecOps mit Amazon S3 einrichten

Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

So konfigurieren Sie einen einzelnen Feed:

1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Jamf Protect Logs (Jamf Protect-Protokolle).
5. Wählen Sie Amazon S3 als Quelltyp aus.
6. Wenn Sie einen Feed für Jamf Protect erstellen möchten, wählen Sie Jamf Protect Alerts als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.
8. Speichern Sie den Feed und klicken Sie dann auf Senden.
9. Kopieren Sie die Feed ID (Feed-ID) aus dem Feed-Namen, um sie in Jamf Protect zu verwenden.

Aufnahmefeed in Google SecOps mit einem Webhook einrichten

Nur für Unified-Kunden von Google Security Operations:
Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Mehrere Feeds konfigurieren.

Für alle Kunden:
So konfigurieren Sie einen einzelnen Feed:

1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren. Überspringen Sie diesen Schritt, wenn Sie die eigenständige Google SecOps SIEM-Plattform verwenden.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Jamf Protect Webhook Logs (Jamf Protect-Webhook-Logs).
5. Wählen Sie in der Liste Quelltyp die Option Webhook aus.
6. Wenn Sie einen Feed für Jamf Protect erstellen möchten, wählen Sie Jamf Protect Alerts als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.
8. Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
   • Trennzeichen für Aufteilung: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
11. Klicken Sie auf Geheimen Schlüssel generieren, um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
12. Kopieren und speichern Sie den geheimen Schlüssel. Sie können diesen geheimen Schlüssel nicht noch einmal aufrufen. Bei Bedarf können Sie einen neuen geheimen Schlüssel generieren. Dadurch wird der vorherige geheime Schlüssel jedoch ungültig.
13. Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie benötigen diese HTTPS-URL, um Ihre Jamf Protect-Clientanwendung einzurichten.
14. Klicken Sie auf Fertig.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

• Region: Die Region, in der sich der Amazon S3-Bucket befindet.
• S3-URI: Der Bucket-URI.
  • s3://your-log-bucket-name/
    • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
• URI ist ein: Wählen Sie je nach Bucket-Struktur entweder Verzeichnis oder Verzeichnis mit Unterverzeichnissen aus.
• Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.

• Access Key ID (Zugriffsschlüssel-ID): Der Zugriffsschlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

• Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

Erweiterte Optionen

• Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
• Quelltyp: Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
• Asset-Namespace: Namespace, der dem Feed zugeordnet ist.
• Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

API-Schlüssel für einen Webhook-Feed erstellen

1. Rufen Sie die Google Cloud Console > Anmeldedaten auf.

   Zu den Anmeldedaten

2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.

3. Schränken Sie den API-Schlüsselzugriff auf die Google Security Operations API ein.

Jamf Protect für einen Webhook-Feed einrichten

1. Rufen Sie in der Jamf Protect-Anwendung die zugehörige Aktionskonfiguration auf.
2. Wenn Sie einen neuen Datenendpunkt hinzufügen möchten, klicken Sie auf Aktionen erstellen.
3. Wählen Sie als Protokoll HTTP aus.
4. Geben Sie die HTTPS-URL des Google Security Operations API-Endpunkt in das Feld URL ein. Dies ist das Feld Endpoint Information (Endpunktinformationen), das Sie bei der Einrichtung des Webhook-Feeds kopiert haben. Sie ist bereits im erforderlichen Format.)

5. Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den Secret Key als Teil der benutzerdefinierten Kopfzeile im folgenden Format angeben:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Empfehlung: Geben Sie den API-Schlüssel als Header an, anstatt ihn in der URL anzugeben. Wenn Ihr Webhook-Client keine benutzerdefinierten Headern unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mit Suchparametern im folgenden Format angeben:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ersetzen Sie Folgendes:

   • ENDPOINT_URL: Die Feed-Endpunkt-URL.
   • API_KEY: Der API-Schlüssel für die Authentifizierung bei Google Security Operations.
   • SECRET: Der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.

6. Wählen Sie im Bereich Logs erfassen die Option Benachrichtigungen und einheitliche Logs aus.

7. Klicken Sie auf Senden.

Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ.

Wenn Sie Probleme beim Erstellen von Feeds haben, wenden Sie sich an den Google Security Operations-Support.

Unterstützte Jamf Protect-Protokolltypen

In der folgenden Tabelle sind die Protokolltypen aufgeführt, die vom Jamf Protect-Parser unterstützt werden:

Ereignistyp	Anzeigename
GPClickEvent	Synthetische Click-Events
GPDownloadEvent	Download-Ereignisse
GPFSEvent	Dateisystemereignisse
GPGatekeeperEvent	Gatekeeper-Ereignisse
GPKeylogRegisterEvent	Keylogger-Ereignisse
GPMRTEvent	Ereignisse überwachen
GPPreventedExecutionEvent	Benutzerdefinierte Ereignisse in der Sperrliste
GPProcessEvent	Ereignisse verarbeiten
GPThreatMatchExecEvent	Ereignisse zum Schutz vor Bedrohungen
GPUSBEvent	USB-Ereignisse
GPUnifiedLogEvent	Einheitliche Protokollereignisse
Auth-Mount	Ereignisse zur Gerätesteuerung

Unterstützte Jamf Protect-Logformate

Der Jamf Protect-Parser unterstützt Protokolle im JSON-Format.

Unterstützte Jamf Protect-Beispiellogs

• JSON

  {
    "input": {
      "match": {
        "custom": false,
        "facts": [
          {
            "actions": [
              {
                "name": "CacheFile",
                "parameters": {}
              },
              {
                "name": "Report",
                "parameters": {}
              }
            ],
            "human": "Login Hook created for persistence",
            "context": [
              {
                "name": "ItemBinary",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "Binary"
              },
              {
                "name": "Itemname",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "String"
              }
            ],
            "uuid": "dummyuuid",
            "version": 2,
            "severity": 0,
            "tags": [
              "MITREattack",
              "T1037.002",
              "BootOrLogonAutostartExecution",
              "Persistence"
            ],
            "name": "LoginHook"
          }
        ],
        "event": {
          "timestamp": 1676994504.698714,
          "uid": 0,
          "eventID": 9141,
          "prevFile": "\\/private\\/var\\/folders\\/zz\\/zyxvpxvq6csfxvn_n0000000000000\\/T\\/TemporaryItems\\/com.apple.loginwindow.plist.X0YcxtR",
          "iNode": 62898,
          "dev": 16777220,
          "uuid": "AE7F101A-09AA-4CD6-940F-15EC2073E476",
          "path": "\\/var\\/root\\/Library\\/Preferences\\/com.dummy.path.plist",
          "type": 3,
          "gid": 0,
          "pid": 148
        },
        "uuid": "1263F6F0-6891-4105-993F-6889AB3A3555",
        "context": [
          {
            "name": "ItemBinary",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "Binary"
          },
          {
            "name": "Itemname",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "String"
          }
        ],
        "severity": 0,
        "tags": [
          "T1037.002",
          "Persistence",
          "BootOrLogonAutostartExecution",
          "MITREattack"
        ],
        "actions": [
          {
            "name": "CacheFile",
            "parameters": {}
          },
          {
            "name": "Report",
            "parameters": {}
          }
        ]
      },
      "host": {
        "ips": [
          "192.51.100.1"
        ],
        "provisioningUDID": "8AD54CA5-F0DC-5434-8147-26D1D8A426CD",
        "hostname": "dummy-hostname",
        "serial": "dummyserial"
      },
      "eventType": "GPFSEvent",
      "related": {
        "users": [
          {
            "uid": 0,
            "name": "root",
            "uuid": "dummyuid"
          }
        ],
        "files": [
          {
            "xattrs": [],
            "sha256hex": "67fc9bde97641361d3b521a01f8b907269a4d6434f2db10e163a71b70178b3d1",
            "modified": 1676985886,
            "uid": 0,
            "changed": 1676985886,
            "sha1hex": "e3bc8f9c241f86e7138ba6cfb0e0e206b131a7e3",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/var\\/root\\/Library\\/Preferences\\/com.apple.loginwindow.plist",
            "size": 42,
            "gid": 0,
            "inode": 62898,
            "mode": 33152,
            "isDownload": false,
            "created": 1676985886,
            "accessed": 1676985886,
            "fsid": 16777220,
            "signingInfo": {
              "status": -67062,
              "authorities": [],
              "teamid": "",
              "signerType": 4,
              "statusMessage": "code object is not signed at all",
              "entitlements": [],
              "appid": ""
            },
            "isDirectory": false
          }
        ],
        "binaries": [
          {
            "xattrs": [],
            "sha256hex": "9a282c0623110b57953bb74238f02704f729eb9779381eef851b2ebe7626f890",
            "modified": 1675935593,
            "uid": 0,
            "changed": 1675935593,
            "sha1hex": "454634df6b7cd32a4dcca9d346eb3efb34dc780d",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "size": 200608,
            "gid": 0,
            "inode": 1152921500312430765,
            "mode": 33261,
            "isDownload": false,
            "created": 1675935593,
            "accessed": 1675935593,
            "fsid": 16777220,
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "isDirectory": false
          }
        ],
        "groups": [
          {
            "gid": 0,
            "name": "wheel",
            "uuid": "FVFZQ5FDLYWG0"
          }
        ],
        "processes": [
          {
            "originalParentPID": 1,
            "uuid": "06D1425D-082A-4E11-81E4-75A9E3F2B8EF",
            "ruid": 0,
            "uid": 0,
            "startTimestamp": 1676976036,
            "ppid": 1,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "gid": 0,
            "rgid": 0,
            "args": [
              "\\/usr\\/sbin\\/cfprefsd",
              "daemon"
            ],
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "pid": 148,
            "name": "dummyhostname",
            "pgid": 148
          }
        ]
      }
    },
    "caid": "a2afe04d1360c01a0758ad3319c9af305f794801917b0c04648e4d7a9d7d746b",
    "certid": "05f5b0fa822a2f5e9a29f018853e8f2d99b94c8af38f40268a9479f2e6038e6b"
  }
  

Referenz zur Feldzuordnung

In diesem Abschnitt wird beschrieben, wie der Google Security Operations-Parser Jamf Protect-Felder Google Security Operations-Feldern des Unified Data Model (UDM) zuordnet.

Feldzuordnung: Ereignis-ID zu Ereignistyp

In der folgenden Tabelle sind die JAMF_PROTECT-Logtypen und die entsprechenden UDM-Ereignistypen aufgeführt.

Referenz zur Feldzuordnung: JAMF_PROTECT

In der folgenden Tabelle sind die Logfelder des Logtyps JAMF_PROTECT und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google Security Operations

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten