Raccogliere i log di Jamf Protect

Questo documento descrive come raccogliere i log di Jamf Protect configurando un feed di Google Security Operations e come i campi dei log vengono mappati ai campi del modello unificato dei dati (UDM) di Google Security Operations. Questo documento elenca anche la versione supportata di Jamf Protect.

Per ulteriori informazioni, consulta Importazione dei dati in Google Security Operations.

Un deployment tipico è costituito da Jamf Protect e dal feed Google Security Operations configurato per inviare i log a Google Security Operations. Ogni implementazione del cliente può variare e potrebbe essere più complessa.

Il deployment contiene i seguenti componenti:

• Jamf Protect. La piattaforma Jamf Protect da cui raccogli i log.

• Feed Google Security Operations. Il feed Google Security Operations che recupera i log da Jamf Protect e li scrive in Google Security Operations.

• Google Security Operations. Google Security Operations conserva e analizza i log di Jamf Protect.

Un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione JAMF_PROTECT.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Una configurazione di Jamf Protect
• Jamf Protect versione 4.0.0 o successive
• Tutti i sistemi nell'architettura di deployment sono configurati con il fuso orario UTC.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Hub dei contenuti > Pacchetti di contenuti

Configurare i feed da Impostazioni SIEM > Feed

Puoi utilizzare Amazon S3 o un webhook per configurare un feed di importazione in Google SecOps, ma ti consigliamo di utilizzare Amazon S3.

Configurare un feed di importazione in Google SecOps utilizzando Amazon S3

Per configurare più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare i feed per prodotto.

Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Log di Jamf Protect.
5. Seleziona Amazon S3 come Tipo di origine.
6. Per creare un feed per Jamf Protect, seleziona Avvisi Jamf Protect come Tipo di log.
7. Fai clic su Avanti.
8. Salva il feed, quindi fai clic su Invia.
9. Copia l'ID feed dal nome del feed da utilizzare in Jamf Protect.

Configura un feed di importazione in Google SecOps utilizzando un webhook

Solo per i clienti unificati di Google Security Operations:
Per configurare più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare più feed.

Per tutti i clienti:
Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed. Ignora questo passaggio se utilizzi la piattaforma autonoma Google SecOps SIEM.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Log webhook di Jamf Protect.
5. Nell'elenco Tipo di origine, seleziona Webhook.
6. Per creare un feed per Jamf Protect, seleziona Avvisi Jamf Protect come Tipo di log.
7. Fai clic su Avanti.
8. (Facoltativo) Specifica i valori per i seguenti parametri di input:
   • Delimitatore di suddivisione: il delimitatore utilizzato per separare le righe di log, ad esempio \n.
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
9. Fai clic su Avanti.
10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
11. Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.
12. Copia e memorizza la chiave segreta. Non puoi visualizzare di nuovo questa chiave segreta. Se necessario, puoi rigenerare una nuova chiave segreta, ma questa azione rende obsoleta la chiave segreta precedente.
13. Nella scheda Dettagli, copia l'URL dell'endpoint del feed dal campo Informazioni sull'endpoint. Avrai bisogno di questo URL HTTPS per configurare l'applicazione client Jamf Protect.
14. Fai clic su Fine.

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

• Region (Regione): la regione in cui si trova il bucket Amazon S3.
• URI S3: l'URI del bucket.
  • s3://your-log-bucket-name/
    • Sostituisci your-log-bucket-name con il nome effettivo del tuo bucket S3.
• L'URI è un: seleziona Directory o Directory che include sottodirectory, a seconda della struttura del bucket.
• Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

• ID chiave di accesso: la chiave di accesso dell'utente con autorizzazioni di lettura dal bucket S3.

• Chiave di accesso segreta: la chiave segreta dell'utente con le autorizzazioni per leggere dal bucket S3.

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
• Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Crea una chiave API per un feed webhook

1. Vai alla consoleGoogle Cloud > Credenziali.

   Vai a credenziali

2. Fai clic su Crea credenziali e poi seleziona Chiave API.

3. Limita l'accesso della chiave API all'API Google Security Operations.

Configurare Jamf Protect per un feed webhook

1. Nell'applicazione Jamf Protect, vai alla configurazione dell'azione correlata.
2. Per aggiungere un nuovo endpoint dati, fai clic su Crea azioni.
3. Seleziona HTTP come protocollo.
4. Inserisci l'URL HTTPS dell'endpoint API Google Security Operations nel campo URL. Si tratta del campo Endpoint Information (Informazioni sull'endpoint) che hai copiato dalla configurazione del feed webhook. È già nel formato richiesto.)

5. Attiva l'autenticazione specificando la chiave API e la chiave segreta come parte dell'intestazione personalizzata nel seguente formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Consiglio: specifica la chiave API come intestazione anziché nell'URL. Se il client webhook non supporta le intestazioni personalizzate, puoi specificare la chiave API e la chiave segreta utilizzando parametri di ricerca nel seguente formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Sostituisci quanto segue:

   • ENDPOINT_URL: l'URL dell'endpoint del feed.
   • API_KEY: la chiave API per l'autenticazione a Google Security Operations.
   • SECRET: la chiave segreta che hai generato per autenticare il feed.

6. Nella sezione Raccogli log, seleziona Avvisi e log unificati.

7. Fai clic su Invia.

Per saperne di più sui feed di Google Security Operations, consulta la documentazione sui feed di Google Security Operations. Per informazioni sui requisiti per ciascun tipo di feed, consulta Configurazione dei feed per tipo.

Se riscontri problemi durante la creazione dei feed, contatta l'assistenza Google Security Operations.

Tipi di log Jamf Protect supportati

La tabella seguente elenca i tipi di log supportati dal parser Jamf Protect:

Tipo di evento	Nome visualizzato
GPClickEvent	Eventi di clic sintetici
GPDownloadEvent	Eventi di download
GPFSEvent	Eventi del file system
GPGatekeeperEvent	Eventi del servizio di segreteria
GPKeylogRegisterEvent	Eventi keylogger
GPMRTEvent	Monitora eventi
GPPreventedExecutionEvent	Eventi dell'elenco di esclusione personalizzato
GPProcessEvent	Eventi di processo
GPThreatMatchExecEvent	Eventi di prevenzione delle minacce
GPUSBEvent	Eventi USB
GPUnifiedLogEvent	Eventi di log unificati
Auth-mount	Eventi relativi al controllo dei dispositivi

Formati dei log Jamf Protect supportati

Il parser Jamf Protect supporta i log in formato JSON.

Log di esempio di Jamf Protect supportati

• JSON

  {
    "input": {
      "match": {
        "custom": false,
        "facts": [
          {
            "actions": [
              {
                "name": "CacheFile",
                "parameters": {}
              },
              {
                "name": "Report",
                "parameters": {}
              }
            ],
            "human": "Login Hook created for persistence",
            "context": [
              {
                "name": "ItemBinary",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "Binary"
              },
              {
                "name": "Itemname",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "String"
              }
            ],
            "uuid": "dummyuuid",
            "version": 2,
            "severity": 0,
            "tags": [
              "MITREattack",
              "T1037.002",
              "BootOrLogonAutostartExecution",
              "Persistence"
            ],
            "name": "LoginHook"
          }
        ],
        "event": {
          "timestamp": 1676994504.698714,
          "uid": 0,
          "eventID": 9141,
          "prevFile": "\\/private\\/var\\/folders\\/zz\\/zyxvpxvq6csfxvn_n0000000000000\\/T\\/TemporaryItems\\/com.apple.loginwindow.plist.X0YcxtR",
          "iNode": 62898,
          "dev": 16777220,
          "uuid": "AE7F101A-09AA-4CD6-940F-15EC2073E476",
          "path": "\\/var\\/root\\/Library\\/Preferences\\/com.dummy.path.plist",
          "type": 3,
          "gid": 0,
          "pid": 148
        },
        "uuid": "1263F6F0-6891-4105-993F-6889AB3A3555",
        "context": [
          {
            "name": "ItemBinary",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "Binary"
          },
          {
            "name": "Itemname",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "String"
          }
        ],
        "severity": 0,
        "tags": [
          "T1037.002",
          "Persistence",
          "BootOrLogonAutostartExecution",
          "MITREattack"
        ],
        "actions": [
          {
            "name": "CacheFile",
            "parameters": {}
          },
          {
            "name": "Report",
            "parameters": {}
          }
        ]
      },
      "host": {
        "ips": [
          "192.51.100.1"
        ],
        "provisioningUDID": "8AD54CA5-F0DC-5434-8147-26D1D8A426CD",
        "hostname": "dummy-hostname",
        "serial": "dummyserial"
      },
      "eventType": "GPFSEvent",
      "related": {
        "users": [
          {
            "uid": 0,
            "name": "root",
            "uuid": "dummyuid"
          }
        ],
        "files": [
          {
            "xattrs": [],
            "sha256hex": "67fc9bde97641361d3b521a01f8b907269a4d6434f2db10e163a71b70178b3d1",
            "modified": 1676985886,
            "uid": 0,
            "changed": 1676985886,
            "sha1hex": "e3bc8f9c241f86e7138ba6cfb0e0e206b131a7e3",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/var\\/root\\/Library\\/Preferences\\/com.apple.loginwindow.plist",
            "size": 42,
            "gid": 0,
            "inode": 62898,
            "mode": 33152,
            "isDownload": false,
            "created": 1676985886,
            "accessed": 1676985886,
            "fsid": 16777220,
            "signingInfo": {
              "status": -67062,
              "authorities": [],
              "teamid": "",
              "signerType": 4,
              "statusMessage": "code object is not signed at all",
              "entitlements": [],
              "appid": ""
            },
            "isDirectory": false
          }
        ],
        "binaries": [
          {
            "xattrs": [],
            "sha256hex": "9a282c0623110b57953bb74238f02704f729eb9779381eef851b2ebe7626f890",
            "modified": 1675935593,
            "uid": 0,
            "changed": 1675935593,
            "sha1hex": "454634df6b7cd32a4dcca9d346eb3efb34dc780d",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "size": 200608,
            "gid": 0,
            "inode": 1152921500312430765,
            "mode": 33261,
            "isDownload": false,
            "created": 1675935593,
            "accessed": 1675935593,
            "fsid": 16777220,
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "isDirectory": false
          }
        ],
        "groups": [
          {
            "gid": 0,
            "name": "wheel",
            "uuid": "FVFZQ5FDLYWG0"
          }
        ],
        "processes": [
          {
            "originalParentPID": 1,
            "uuid": "06D1425D-082A-4E11-81E4-75A9E3F2B8EF",
            "ruid": 0,
            "uid": 0,
            "startTimestamp": 1676976036,
            "ppid": 1,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "gid": 0,
            "rgid": 0,
            "args": [
              "\\/usr\\/sbin\\/cfprefsd",
              "daemon"
            ],
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "pid": 148,
            "name": "dummyhostname",
            "pgid": 148
          }
        ]
      }
    },
    "caid": "a2afe04d1360c01a0758ad3319c9af305f794801917b0c04648e4d7a9d7d746b",
    "certid": "05f5b0fa822a2f5e9a29f018853e8f2d99b94c8af38f40268a9479f2e6038e6b"
  }
  

Riferimento alla mappatura dei campi

Questa sezione spiega come il parser di Google Security Operations mappa i campi Jamf Protect ai campi Unified Data Model (UDM) di Google Security Operations.

Riferimento alla mappatura dei campi: identificatore evento e tipo di evento

La tabella seguente elenca i tipi di log JAMF_PROTECT e i relativi tipi di eventi UDM.

Riferimento per la mappatura dei campi: JAMF_PROTECT

La tabella seguente elenca i campi di log del tipo di log JAMF_PROTECT e i relativi campi UDM.

Passaggi successivi

• Importazione dei dati in Google Security Operations

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.