Collecter les journaux Jamf Protect

Ce document explique comment collecter les journaux Jamf Protect en configurant un flux Google Security Operations et comment les champs de journaux sont mappés aux champs du modèle de données unifié (UDM) Google Security Operations. Ce document liste également la version Jamf Protect compatible.

Pour en savoir plus, consultez Ingestion de données dans Google Security Operations.

Un déploiement type se compose de Jamf Protect et du flux Google Security Operations configuré pour envoyer des journaux à Google Security Operations. Chaque déploiement client peut être différent et plus complexe.

Le déploiement contient les composants suivants :

• Jamf Protect Plate-forme Jamf Protect à partir de laquelle vous collectez les journaux.

• Flux Google Security Operations Flux Google Security Operations qui récupère les journaux de Jamf Protect et les écrit dans Google Security Operations.

• Google Security Operations Google Security Operations conserve et analyse les journaux de Jamf Protect.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion JAMF_PROTECT.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une configuration Jamf Protect
• Jamf Protect version 4.0.0 ou ultérieure
• Tous les systèmes de l'architecture de déploiement sont configurés avec le fuseau horaire UTC.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Vous pouvez utiliser Amazon S3 ou un webhook pour configurer un flux d'ingestion dans Google SecOps, mais nous vous recommandons d'utiliser Amazon S3.

Configurer un flux d'ingestion dans Google SecOps à l'aide d'Amazon S3

Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Pour configurer un seul flux :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux Jamf Protect).
5. Sélectionnez Amazon S3 comme Type de source.
6. Pour créer un flux pour Jamf Protect, sélectionnez Alertes Jamf Protect comme Type de journal.
7. Cliquez sur Suivant.
8. Enregistrez le flux, puis cliquez sur Envoyer.
9. Copiez l'ID du flux à partir du nom du flux à utiliser dans Jamf Protect.

Configurer un flux d'ingestion dans Google SecOps à l'aide d'un webhook

Pour les clients Google Security Operations Unified uniquement :
Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer plusieurs flux.

Pour tous les clients :
Pour configurer un seul flux, procédez comme suit :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux. Ignorez cette étape si vous utilisez la plate-forme autonome Google SecOps SIEM.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux de webhook Jamf Protect).
5. Dans la liste Type de source, sélectionnez Webhook.
6. Pour créer un flux pour Jamf Protect, sélectionnez Alertes Jamf Protect comme Type de journal.
7. Cliquez sur Suivant.
8. Facultatif : Spécifiez les valeurs des paramètres d'entrée suivants :
   • Délimiteur de fractionnement : délimiteur utilisé pour séparer les lignes de journaux, tel que \n.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.
9. Cliquez sur Suivant.
10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.
11. Cliquez sur Générer une clé secrète pour générer une clé secrète permettant d'authentifier ce flux.
12. Copiez et stockez la clé secrète. Vous ne pourrez plus afficher cette clé secrète. Si nécessaire, vous pouvez générer une nouvelle clé secrète, mais l'ancienne deviendra obsolète.
13. Dans l'onglet Détails, copiez l'URL du point de terminaison du flux à partir du champ Informations sur le point de terminaison. Vous aurez besoin de cette URL HTTPS pour configurer votre application cliente Jamf Protect.
14. Cliquez sur OK.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• Région : région dans laquelle se trouve le bucket Amazon S3.
• URI S3 : URI du bucket.
  • s3://your-log-bucket-name/
    • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.
• L'URI est : sélectionnez Répertoire ou Répertoire incluant les sous-répertoires, selon la structure de votre bucket.
• Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

• ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

• Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Créer une clé API pour un flux de webhook

1. Accédez à la consoleGoogle Cloud  > Identifiants.

   Accéder à "Identifiants"

2. Cliquez sur Créer des identifiants, puis sélectionnez Clé API.

3. Restreignez l'accès à la clé API à l'API Google Security Operations.

Configurer Jamf Protect pour un flux de webhook

1. Dans l'application Jamf Protect, accédez à la configuration de l'action correspondante.
2. Pour ajouter un point de terminaison de données, cliquez sur Créer des actions.
3. Sélectionnez HTTP comme protocole.
4. Saisissez l'URL HTTPS du point de terminaison de l'API Google Security Operations dans le champ URL. (Il s'agit du champ Informations sur le point de terminaison que vous avez copié lors de la configuration du flux de webhook.) Il est déjà au format requis.)

5. Activez l'authentification en spécifiant la clé API et la clé secrète dans l'en-tête personnalisé au format suivant :

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recommandation : Spécifiez la clé API en tant qu'en-tête au lieu de la spécifier dans l'URL. Si votre client de webhook n'accepte pas les en-têtes personnalisés, vous pouvez spécifier la clé API et la clé secrète à l'aide de paramètres de requête au format suivant :

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Remplacez les éléments suivants :

   • ENDPOINT_URL : URL du point de terminaison du flux.
   • API_KEY : clé API pour s'authentifier auprès de Google Security Operations.
   • SECRET : clé secrète que vous avez générée pour authentifier le flux.

6. Dans la section Collect Logs (Collecter des journaux), sélectionnez Alerts & Unified Logs (Alertes et journaux unifiés).

7. Cliquez sur Envoyer.

Pour en savoir plus sur les flux Google Security Operations, consultez la documentation sur les flux Google Security Operations. Pour en savoir plus sur les exigences de chaque type de flux, consultez Configuration des flux par type.

Si vous rencontrez des problèmes lors de la création de flux, contactez l'assistance Google Security Operations.

Types de journaux Jamf Protect compatibles

Le tableau suivant répertorie les types de journaux compatibles avec l'analyseur Jamf Protect :

Type d'événement	Nom à afficher
GPClickEvent	Événements de clic synthétiques
GPDownloadEvent	Événements de téléchargement
GPFSEvent	Événements du système de fichiers
GPGatekeeperEvent	Événements Gatekeeper
GPKeylogRegisterEvent	Événements de l'enregistreur de frappe
GPMRTEvent	Surveiller les événements
GPPreventedExecutionEvent	Événements de la liste de prévention personnalisée
GPProcessEvent	Traiter les événements
GPThreatMatchExecEvent	Événements de prévention des menaces
GPUSBEvent	Événements USB
GPUnifiedLogEvent	Événements de journaux unifiés
Montage authentifié	Événements de contrôle des appareils

Formats de journaux Jamf Protect acceptés

L'analyseur Jamf Protect est compatible avec les journaux au format JSON.

Exemples de journaux Jamf Protect acceptés

• JSON

  {
    "input": {
      "match": {
        "custom": false,
        "facts": [
          {
            "actions": [
              {
                "name": "CacheFile",
                "parameters": {}
              },
              {
                "name": "Report",
                "parameters": {}
              }
            ],
            "human": "Login Hook created for persistence",
            "context": [
              {
                "name": "ItemBinary",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "Binary"
              },
              {
                "name": "Itemname",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "String"
              }
            ],
            "uuid": "dummyuuid",
            "version": 2,
            "severity": 0,
            "tags": [
              "MITREattack",
              "T1037.002",
              "BootOrLogonAutostartExecution",
              "Persistence"
            ],
            "name": "LoginHook"
          }
        ],
        "event": {
          "timestamp": 1676994504.698714,
          "uid": 0,
          "eventID": 9141,
          "prevFile": "\\/private\\/var\\/folders\\/zz\\/zyxvpxvq6csfxvn_n0000000000000\\/T\\/TemporaryItems\\/com.apple.loginwindow.plist.X0YcxtR",
          "iNode": 62898,
          "dev": 16777220,
          "uuid": "AE7F101A-09AA-4CD6-940F-15EC2073E476",
          "path": "\\/var\\/root\\/Library\\/Preferences\\/com.dummy.path.plist",
          "type": 3,
          "gid": 0,
          "pid": 148
        },
        "uuid": "1263F6F0-6891-4105-993F-6889AB3A3555",
        "context": [
          {
            "name": "ItemBinary",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "Binary"
          },
          {
            "name": "Itemname",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "String"
          }
        ],
        "severity": 0,
        "tags": [
          "T1037.002",
          "Persistence",
          "BootOrLogonAutostartExecution",
          "MITREattack"
        ],
        "actions": [
          {
            "name": "CacheFile",
            "parameters": {}
          },
          {
            "name": "Report",
            "parameters": {}
          }
        ]
      },
      "host": {
        "ips": [
          "192.51.100.1"
        ],
        "provisioningUDID": "8AD54CA5-F0DC-5434-8147-26D1D8A426CD",
        "hostname": "dummy-hostname",
        "serial": "dummyserial"
      },
      "eventType": "GPFSEvent",
      "related": {
        "users": [
          {
            "uid": 0,
            "name": "root",
            "uuid": "dummyuid"
          }
        ],
        "files": [
          {
            "xattrs": [],
            "sha256hex": "67fc9bde97641361d3b521a01f8b907269a4d6434f2db10e163a71b70178b3d1",
            "modified": 1676985886,
            "uid": 0,
            "changed": 1676985886,
            "sha1hex": "e3bc8f9c241f86e7138ba6cfb0e0e206b131a7e3",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/var\\/root\\/Library\\/Preferences\\/com.apple.loginwindow.plist",
            "size": 42,
            "gid": 0,
            "inode": 62898,
            "mode": 33152,
            "isDownload": false,
            "created": 1676985886,
            "accessed": 1676985886,
            "fsid": 16777220,
            "signingInfo": {
              "status": -67062,
              "authorities": [],
              "teamid": "",
              "signerType": 4,
              "statusMessage": "code object is not signed at all",
              "entitlements": [],
              "appid": ""
            },
            "isDirectory": false
          }
        ],
        "binaries": [
          {
            "xattrs": [],
            "sha256hex": "9a282c0623110b57953bb74238f02704f729eb9779381eef851b2ebe7626f890",
            "modified": 1675935593,
            "uid": 0,
            "changed": 1675935593,
            "sha1hex": "454634df6b7cd32a4dcca9d346eb3efb34dc780d",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "size": 200608,
            "gid": 0,
            "inode": 1152921500312430765,
            "mode": 33261,
            "isDownload": false,
            "created": 1675935593,
            "accessed": 1675935593,
            "fsid": 16777220,
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "isDirectory": false
          }
        ],
        "groups": [
          {
            "gid": 0,
            "name": "wheel",
            "uuid": "FVFZQ5FDLYWG0"
          }
        ],
        "processes": [
          {
            "originalParentPID": 1,
            "uuid": "06D1425D-082A-4E11-81E4-75A9E3F2B8EF",
            "ruid": 0,
            "uid": 0,
            "startTimestamp": 1676976036,
            "ppid": 1,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "gid": 0,
            "rgid": 0,
            "args": [
              "\\/usr\\/sbin\\/cfprefsd",
              "daemon"
            ],
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "pid": 148,
            "name": "dummyhostname",
            "pgid": 148
          }
        ]
      }
    },
    "caid": "a2afe04d1360c01a0758ad3319c9af305f794801917b0c04648e4d7a9d7d746b",
    "certid": "05f5b0fa822a2f5e9a29f018853e8f2d99b94c8af38f40268a9479f2e6038e6b"
  }
  

Référence du mappage de champs

Cette section explique comment l'analyseur Google Security Operations mappe les champs Jamf Protect aux champs du modèle de données unifié (UDM) Google Security Operations.

Référence du mappage des champs : identifiant d'événement vers type d'événement

Le tableau suivant liste les types de journaux JAMF_PROTECT et les types d'événements UDM correspondants.

Référence du mappage de champ : JAMF_PROTECT

Le tableau suivant liste les champs de journaux du type de journal JAMF_PROTECT et les champs UDM correspondants.

Étapes suivantes

• Ingestion de données dans Google Security Operations

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.