Mengumpulkan log Jamf Protect

Dokumen ini menjelaskan cara mengumpulkan log Jamf Protect dengan menyiapkan feed Google Security Operations dan cara pemetaan kolom log ke kolom Model Data Terpadu (UDM) Google Security Operations. Dokumen ini juga mencantumkan versi Jamf Protect yang didukung.

Untuk mengetahui informasi selengkapnya, lihat Penyerapan data ke Google Security Operations.

Deployment umum terdiri dari feed Jamf Protect dan Google Security Operations yang dikonfigurasi untuk mengirim log ke Google Security Operations. Setiap deployment pelanggan dapat berbeda dan mungkin lebih kompleks.

Deployment berisi komponen berikut:

• Jamf Protect. Platform Jamf Protect tempat Anda mengumpulkan log.

• Feed Google Security Operations. Feed Google Security Operations yang mengambil log dari Jamf Protect dan menulis log ke Google Security Operations.

• Google Security Operations. Google Security Operations menyimpan dan menganalisis log dari Jamf Protect.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan JAMF_PROTECT.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Penyiapan Jamf Protect
• Jamf Protect versi 4.0.0 atau yang lebih baru
• Semua sistem dalam arsitektur deployment dikonfigurasi dengan zona waktu UTC.

Menyiapkan feed

Anda dapat menggunakan Amazon S3 atau webhook untuk menyiapkan feed penyerapan di SecOps Google.

Untuk mengonfigurasi jenis log ini, ikuti langkah-langkah berikut:

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik paket feed JAMF.
4. Tentukan nilai untuk kolom berikut:
   • Jenis Sumber: Webhook (Direkomendasikan)
   • Pembatas pemisahan: Pembatas yang digunakan untuk memisahkan baris log, seperti \n.

Opsi lanjutan

• Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
• Namespace Aset: Namespace yang terkait dengan feed.
• Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
• Klik Buat Feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Membuat kunci API untuk feed webhook

1. Buka konsol Google Cloud > Kredensial.

   Buka Kredensial

2. Klik Create credentials, lalu pilih API key.

3. Batasi akses kunci API ke Google Security Operations API.

Menyiapkan Jamf Protect untuk feed webhook

1. Di aplikasi Jamf Protect, buka konfigurasi Tindakan terkait.
2. Untuk menambahkan endpoint Data baru, klik Buat Tindakan.
3. Pilih HTTP sebagai protokol.
4. Masukkan URL HTTPS endpoint Google Security Operations API di kolom URL. (Ini adalah kolom Endpoint Information yang Anda salin dari penyiapan feed webhook. sudah dalam format yang diperlukan.)

5. Aktifkan autentikasi dengan menentukan kunci API dan kunci rahasia sebagai bagian dari header kustom dalam format berikut:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Rekomendasi: Tentukan kunci API sebagai header, bukan menentukannya di URL. Jika klien webhook Anda tidak mendukung header kustom, Anda dapat menentukan kunci API dan kunci rahasia menggunakan parameter kueri dalam format berikut:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ganti kode berikut:

   • ENDPOINT_URL: URL endpoint feed.
   • API_KEY: Kunci API untuk mengautentikasi Google Security Operations.
   • SECRET: Kunci rahasia yang Anda buat untuk mengautentikasi feed.

6. Di bagian Collect Logs, pilih Alerts & Unified Logs.

7. Klik Kirim.

Untuk mengetahui informasi selengkapnya tentang feed Google Security Operations, lihat dokumentasi feed Google Security Operations. Untuk mengetahui informasi tentang persyaratan untuk setiap jenis feed, lihat Konfigurasi feed menurut jenis.

Jika Anda mengalami masalah saat membuat feed, hubungi dukungan Operasi Keamanan Google.

Jenis log Jamf Protect yang didukung

Tabel berikut mencantumkan jenis log yang didukung parser Jamf Protect:

Jenis Peristiwa	Nama tampilan
GPClickEvent	Peristiwa Klik Sintetis
GPDownloadEvent	Peristiwa Download
GPFSEvent	Peristiwa Sistem File
GPGatekeeperEvent	Peristiwa Pemilah Komunikasi
GPKeylogRegisterEvent	Peristiwa Keylogger
GPMRTEvent	Memantau Peristiwa
GPPreventedExecutionEvent	Peristiwa Daftar Pencegahan Kustom
GPProcessEvent	Memproses Peristiwa
GPThreatMatchExecEvent	Peristiwa Pencegahan Ancaman
GPUSBEvent	Peristiwa USB
GPUnifiedLogEvent	Peristiwa Log Terpadu
Auth-mount	Peristiwa Kontrol Perangkat

Format log Jamf Protect yang didukung

Parser Jamf Protect mendukung log dalam format JSON.

Log contoh Jamf Protect yang didukung

• JSON

  {
    "input": {
      "match": {
        "custom": false,
        "facts": [
          {
            "actions": [
              {
                "name": "CacheFile",
                "parameters": {}
              },
              {
                "name": "Report",
                "parameters": {}
              }
            ],
            "human": "Login Hook created for persistence",
            "context": [
              {
                "name": "ItemBinary",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "Binary"
              },
              {
                "name": "Itemname",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "String"
              }
            ],
            "uuid": "dummyuuid",
            "version": 2,
            "severity": 0,
            "tags": [
              "MITREattack",
              "T1037.002",
              "BootOrLogonAutostartExecution",
              "Persistence"
            ],
            "name": "LoginHook"
          }
        ],
        "event": {
          "timestamp": 1676994504.698714,
          "uid": 0,
          "eventID": 9141,
          "prevFile": "\\/private\\/var\\/folders\\/zz\\/zyxvpxvq6csfxvn_n0000000000000\\/T\\/TemporaryItems\\/com.apple.loginwindow.plist.X0YcxtR",
          "iNode": 62898,
          "dev": 16777220,
          "uuid": "AE7F101A-09AA-4CD6-940F-15EC2073E476",
          "path": "\\/var\\/root\\/Library\\/Preferences\\/com.dummy.path.plist",
          "type": 3,
          "gid": 0,
          "pid": 148
        },
        "uuid": "1263F6F0-6891-4105-993F-6889AB3A3555",
        "context": [
          {
            "name": "ItemBinary",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "Binary"
          },
          {
            "name": "Itemname",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "String"
          }
        ],
        "severity": 0,
        "tags": [
          "T1037.002",
          "Persistence",
          "BootOrLogonAutostartExecution",
          "MITREattack"
        ],
        "actions": [
          {
            "name": "CacheFile",
            "parameters": {}
          },
          {
            "name": "Report",
            "parameters": {}
          }
        ]
      },
      "host": {
        "ips": [
          "192.51.100.1"
        ],
        "provisioningUDID": "8AD54CA5-F0DC-5434-8147-26D1D8A426CD",
        "hostname": "dummy-hostname",
        "serial": "dummyserial"
      },
      "eventType": "GPFSEvent",
      "related": {
        "users": [
          {
            "uid": 0,
            "name": "root",
            "uuid": "dummyuid"
          }
        ],
        "files": [
          {
            "xattrs": [],
            "sha256hex": "67fc9bde97641361d3b521a01f8b907269a4d6434f2db10e163a71b70178b3d1",
            "modified": 1676985886,
            "uid": 0,
            "changed": 1676985886,
            "sha1hex": "e3bc8f9c241f86e7138ba6cfb0e0e206b131a7e3",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/var\\/root\\/Library\\/Preferences\\/com.apple.loginwindow.plist",
            "size": 42,
            "gid": 0,
            "inode": 62898,
            "mode": 33152,
            "isDownload": false,
            "created": 1676985886,
            "accessed": 1676985886,
            "fsid": 16777220,
            "signingInfo": {
              "status": -67062,
              "authorities": [],
              "teamid": "",
              "signerType": 4,
              "statusMessage": "code object is not signed at all",
              "entitlements": [],
              "appid": ""
            },
            "isDirectory": false
          }
        ],
        "binaries": [
          {
            "xattrs": [],
            "sha256hex": "9a282c0623110b57953bb74238f02704f729eb9779381eef851b2ebe7626f890",
            "modified": 1675935593,
            "uid": 0,
            "changed": 1675935593,
            "sha1hex": "454634df6b7cd32a4dcca9d346eb3efb34dc780d",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "size": 200608,
            "gid": 0,
            "inode": 1152921500312430765,
            "mode": 33261,
            "isDownload": false,
            "created": 1675935593,
            "accessed": 1675935593,
            "fsid": 16777220,
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "isDirectory": false
          }
        ],
        "groups": [
          {
            "gid": 0,
            "name": "wheel",
            "uuid": "FVFZQ5FDLYWG0"
          }
        ],
        "processes": [
          {
            "originalParentPID": 1,
            "uuid": "06D1425D-082A-4E11-81E4-75A9E3F2B8EF",
            "ruid": 0,
            "uid": 0,
            "startTimestamp": 1676976036,
            "ppid": 1,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "gid": 0,
            "rgid": 0,
            "args": [
              "\\/usr\\/sbin\\/cfprefsd",
              "daemon"
            ],
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "pid": 148,
            "name": "dummyhostname",
            "pgid": 148
          }
        ]
      }
    },
    "caid": "a2afe04d1360c01a0758ad3319c9af305f794801917b0c04648e4d7a9d7d746b",
    "certid": "05f5b0fa822a2f5e9a29f018853e8f2d99b94c8af38f40268a9479f2e6038e6b"
  }
  

Referensi pemetaan kolom

Bagian ini menjelaskan cara parser Google Security Operations memetakan kolom Jamf Protect ke kolom Model Data Terpadu (UDM) Google Security Operations.

Referensi pemetaan kolom: ID Peristiwa ke Jenis Peristiwa

Tabel berikut mencantumkan jenis log JAMF_PROTECT dan jenis peristiwa UDM yang sesuai.

Referensi pemetaan kolom: JAMF_PROTECT

Tabel berikut mencantumkan kolom log jenis log JAMF_PROTECT dan kolom UDM yang sesuai.

Langkah berikutnya

• Penyerapan data ke Google Security Operations

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.