Coletar registros do Jamf Protect

Este documento descreve como coletar registros do Jamf Protect configurando um feed do Google Security Operations e como os campos de registro são mapeados para os campos do Modelo de Dados Unificado (UDM) do Google Security Operations. Este documento também lista a versão compatível do Jamf Protect.

Para mais informações, consulte Ingestão de dados no Google Security Operations.

Uma implantação típica consiste no Jamf Protect e no feed do Google Security Operations configurado para enviar registros ao Google Security Operations. Cada implantação de cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• Jamf Protect. A plataforma Jamf Protect de onde você coleta registros.

• Feed do Google Security Operations. O feed do Google Security Operations que busca registros do Jamf Protect e grava registros no Google Security Operations.

• Google Security Operations. O Google Security Operations retém e analisa os registros do Jamf Protect.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão JAMF_PROTECT.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Uma configuração do Jamf Protect
• Jamf Protect versão 4.0.0 ou mais recente
• Todos os sistemas na arquitetura de implantação são configurados com o fuso horário UTC.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

É possível usar o Amazon S3 ou um webhook para configurar um feed de ingestão no Google SecOps, mas recomendamos usar o Amazon S3.

Configurar um feed de ingestão no Google SecOps usando o Amazon S3

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do Jamf Protect.
5. Selecione Amazon S3 como o Tipo de origem.
6. Para criar um feed do Jamf Protect, selecione Alertas do Jamf Protect como o Tipo de registro.
7. Clique em Próxima.
8. Salve o feed e clique em Enviar.
9. Copie o ID do feed do nome do feed para usar no Jamf Protect.

Configurar um feed de ingestão no Google SecOps usando um webhook

Somente para clientes unificados do Google Security Operations:
Para configurar vários feeds de diferentes tipos de registros nessa família de produtos, consulte Configurar vários feeds.

Para todos os clientes:
Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed. Pule esta etapa se você estiver usando a plataforma independente do SIEM do Google SecOps.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros de webhook do Jamf Protect.
5. Na lista Tipo de origem, selecione Webhook.
6. Para criar um feed do Jamf Protect, selecione Alertas do Jamf Protect como o Tipo de registro.
7. Clique em Próxima.
8. Opcional: especifique valores para os seguintes parâmetros de entrada:
   • Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.
9. Clique em Próxima.
10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.
11. Clique em Gerar chave secreta para autenticar o feed.
12. Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.
13. Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. Você vai precisar desse URL HTTPS para configurar o aplicativo cliente do Jamf Protect.
14. Clique em Concluído.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Região: a região em que o bucket do Amazon S3 está localizado.
• URI do S3: o URI do bucket.
  • s3://your-log-bucket-name/
    • Substitua your-log-bucket-name pelo nome real do seu bucket do S3.
• URI é um: selecione Diretório ou Diretório que inclui subdiretórios, dependendo da estrutura do bucket.
• Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

• ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

• Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Criar uma chave de API para um feed de webhook

1. Acesse o console doGoogle Cloud > Credenciais.

   Ir para Credenciais

2. Clique em Criar credenciais e, em seguida, selecione Chave de API.

3. Restrinja o acesso da chave de API à API Google Security Operations.

Configurar o Jamf Protect para um feed de webhook

1. No aplicativo Jamf Protect, navegue até a configuração de ação relacionada.
2. Para adicionar um novo endpoint de dados, clique em Criar ações.
3. Selecione HTTP como o protocolo.
4. Insira o URL HTTPS do endpoint de API Google Security Operations no campo URL. Esse é o campo Informações do endpoint que você copiou da configuração do feed de webhook. Ele já está no formato necessário.

5. Ative a autenticação especificando a chave de API e a chave secreta como parte do cabeçalho personalizado no seguinte formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendação: especifique a chave de API como um cabeçalho em vez de no URL. Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta no seguinte formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Substitua:

   • ENDPOINT_URL: o URL do endpoint do feed.
   • API_KEY: a chave de API para autenticar no Google Security Operations.
   • SECRET: a chave secreta gerada para autenticar o feed.

6. Na seção Coletar registros, selecione Alertas e registros unificados.

7. Clique em Enviar.

Para mais informações sobre os feeds do Google Security Operations, consulte a documentação dos feeds do Google Security Operations. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo.

Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google Security Operations.

Tipos de registros do Jamf Protect compatíveis

A tabela a seguir lista os tipos de registros compatíveis com o analisador do Jamf Protect:

Tipo de evento	Nome de exibição
GPClickEvent	Eventos de clique sintéticos
GPDownloadEvent	Eventos de download
GPFSEvent	Eventos do sistema de arquivos
GPGatekeeperEvent	Eventos de assistentes
GPKeylogRegisterEvent	Eventos de keylogger
GPMRTEvent	Monitorar eventos
GPPreventedExecutionEvent	Eventos de lista de prevenção personalizada
GPProcessEvent	Processar eventos
GPThreatMatchExecEvent	Eventos de prevenção de ameaças
GPUSBEvent	Eventos de USB
GPUnifiedLogEvent	Eventos de registro unificado
Auth-mount	Eventos de controles do dispositivo

Formatos de registro do Jamf Protect compatíveis

O analisador do Jamf Protect é compatível com registros no formato JSON.

Registros de amostra do Jamf Protect compatíveis

• JSON

  {
    "input": {
      "match": {
        "custom": false,
        "facts": [
          {
            "actions": [
              {
                "name": "CacheFile",
                "parameters": {}
              },
              {
                "name": "Report",
                "parameters": {}
              }
            ],
            "human": "Login Hook created for persistence",
            "context": [
              {
                "name": "ItemBinary",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "Binary"
              },
              {
                "name": "Itemname",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "String"
              }
            ],
            "uuid": "dummyuuid",
            "version": 2,
            "severity": 0,
            "tags": [
              "MITREattack",
              "T1037.002",
              "BootOrLogonAutostartExecution",
              "Persistence"
            ],
            "name": "LoginHook"
          }
        ],
        "event": {
          "timestamp": 1676994504.698714,
          "uid": 0,
          "eventID": 9141,
          "prevFile": "\\/private\\/var\\/folders\\/zz\\/zyxvpxvq6csfxvn_n0000000000000\\/T\\/TemporaryItems\\/com.apple.loginwindow.plist.X0YcxtR",
          "iNode": 62898,
          "dev": 16777220,
          "uuid": "AE7F101A-09AA-4CD6-940F-15EC2073E476",
          "path": "\\/var\\/root\\/Library\\/Preferences\\/com.dummy.path.plist",
          "type": 3,
          "gid": 0,
          "pid": 148
        },
        "uuid": "1263F6F0-6891-4105-993F-6889AB3A3555",
        "context": [
          {
            "name": "ItemBinary",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "Binary"
          },
          {
            "name": "Itemname",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "String"
          }
        ],
        "severity": 0,
        "tags": [
          "T1037.002",
          "Persistence",
          "BootOrLogonAutostartExecution",
          "MITREattack"
        ],
        "actions": [
          {
            "name": "CacheFile",
            "parameters": {}
          },
          {
            "name": "Report",
            "parameters": {}
          }
        ]
      },
      "host": {
        "ips": [
          "192.51.100.1"
        ],
        "provisioningUDID": "8AD54CA5-F0DC-5434-8147-26D1D8A426CD",
        "hostname": "dummy-hostname",
        "serial": "dummyserial"
      },
      "eventType": "GPFSEvent",
      "related": {
        "users": [
          {
            "uid": 0,
            "name": "root",
            "uuid": "dummyuid"
          }
        ],
        "files": [
          {
            "xattrs": [],
            "sha256hex": "67fc9bde97641361d3b521a01f8b907269a4d6434f2db10e163a71b70178b3d1",
            "modified": 1676985886,
            "uid": 0,
            "changed": 1676985886,
            "sha1hex": "e3bc8f9c241f86e7138ba6cfb0e0e206b131a7e3",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/var\\/root\\/Library\\/Preferences\\/com.apple.loginwindow.plist",
            "size": 42,
            "gid": 0,
            "inode": 62898,
            "mode": 33152,
            "isDownload": false,
            "created": 1676985886,
            "accessed": 1676985886,
            "fsid": 16777220,
            "signingInfo": {
              "status": -67062,
              "authorities": [],
              "teamid": "",
              "signerType": 4,
              "statusMessage": "code object is not signed at all",
              "entitlements": [],
              "appid": ""
            },
            "isDirectory": false
          }
        ],
        "binaries": [
          {
            "xattrs": [],
            "sha256hex": "9a282c0623110b57953bb74238f02704f729eb9779381eef851b2ebe7626f890",
            "modified": 1675935593,
            "uid": 0,
            "changed": 1675935593,
            "sha1hex": "454634df6b7cd32a4dcca9d346eb3efb34dc780d",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "size": 200608,
            "gid": 0,
            "inode": 1152921500312430765,
            "mode": 33261,
            "isDownload": false,
            "created": 1675935593,
            "accessed": 1675935593,
            "fsid": 16777220,
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "isDirectory": false
          }
        ],
        "groups": [
          {
            "gid": 0,
            "name": "wheel",
            "uuid": "FVFZQ5FDLYWG0"
          }
        ],
        "processes": [
          {
            "originalParentPID": 1,
            "uuid": "06D1425D-082A-4E11-81E4-75A9E3F2B8EF",
            "ruid": 0,
            "uid": 0,
            "startTimestamp": 1676976036,
            "ppid": 1,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "gid": 0,
            "rgid": 0,
            "args": [
              "\\/usr\\/sbin\\/cfprefsd",
              "daemon"
            ],
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "pid": 148,
            "name": "dummyhostname",
            "pgid": 148
          }
        ]
      }
    },
    "caid": "a2afe04d1360c01a0758ad3319c9af305f794801917b0c04648e4d7a9d7d746b",
    "certid": "05f5b0fa822a2f5e9a29f018853e8f2d99b94c8af38f40268a9479f2e6038e6b"
  }
  

Referência de mapeamento de campos

Esta seção explica como o analisador do Google Security Operations mapeia campos do Jamf Protect para campos do Modelo de Dados Unificado (UDM) do Google Security Operations.

Referência de mapeamento de campos: identificador de evento para tipo de evento

A tabela a seguir lista os tipos de registros JAMF_PROTECT e os tipos de eventos da UDM correspondentes.

Referência de mapeamento de campo: JAMF_PROTECT

A tabela a seguir lista os campos de registro do tipo JAMF_PROTECT e os campos correspondentes da UDM.

A seguir

• Ingestão de dados no Google Security Operations

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.