收集 Jamf Protect 日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Jamf Protect 日志，以及日志字段如何映射到 Google Security Operations Unified Data Model (UDM) 字段。本文档还列出了受支持的 Jamf Protect 版本。

如需了解详情，请参阅将数据注入 Google Security Operations。

典型部署包括 Jamf Protect 和配置为将日志发送到 Google Security Operations 的 Google Security Operations Feed。每个客户部署都可能有所不同，并且可能更复杂。

部署包含以下组件：

• Jamf Protect。您从中收集日志的 Jamf Protect 平台。

• Google Security Operations Feed。从 Jamf Protect 中提取日志并将日志写入 Google Security Operations 的 Google Security Operations Feed。

• Google Security Operations。Google Security Operations 会保留并分析来自 Jamf Protect 的日志。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 JAMF_PROTECT 注入标签的解析器。

准备工作

确保您满足以下前提条件：

• Jamf Protect 设置
• Jamf Protect 4.0.0 版或更高版本
• 部署架构中的所有系统都使用世界协调时间 (UTC) 时区进行配置。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

您可以使用 Amazon S3 或 Webhook 在 Google SecOps 中设置提取 Feed，但我们建议使用 Amazon S3。

使用 Amazon S3 在 Google SecOps 中设置注入 Feed

如需为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

如需配置单个 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Jamf Protect 日志。
5. 选择 Amazon S3 作为来源类型。
6. 如需为 Jamf Protect 创建 Feed，请选择 Jamf Protect 提醒作为日志类型。
7. 点击下一步。
8. 保存信息流，然后点击提交。
9. 从 Feed 名称中复制 Feed ID，以便在 Jamf Protect 中使用。

使用 Webhook 在 Google SecOps 中设置注入 Feed

仅限 Google Security Operations 统一版客户：
如需在此产品系列中为不同类型的日志配置多个 Feed，请参阅配置多个 Feed。

对于所有客户：
如需配置单个 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。如果您使用的是 Google SecOps SIEM 独立平台，请跳过此步骤。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Jamf Protect Webhook 日志。
5. 在来源类型列表中，选择 Webhook。
6. 如需为 Jamf Protect 创建 Feed，请选择 Jamf Protect 提醒作为日志类型。
7. 点击下一步。
8. 可选：为以下输入参数指定值：
   • 拆分分隔符：用于分隔日志行的分隔符，例如 \n。
   • 资源命名空间：资源命名空间。
   • 注入标签：要应用于此 Feed 中事件的标签。
9. 点击下一步。
10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。
11. 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。
12. 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。
13. 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要使用此 HTTPS 网址来设置 Jamf Protect 客户端应用。
14. 点击完成。

设置来自内容中心的 Feed

为以下字段指定值：

• 区域：Amazon S3 存储桶所在的区域。
• S3 URI：存储桶 URI。
  • s3://your-log-bucket-name/
    • 将 your-log-bucket-name 替换为您的 S3 存储桶的实际名称。
• URI is a：根据您的存储桶结构，选择目录或目录（包括子目录）。
• 源删除选项：根据您的提取偏好设置选择删除选项。

• 访问密钥 ID：有权从 S3 存储桶读取数据的用户的访问密钥。

• 私有访问密钥：具有从 S3 存储桶读取权限的用户的私有密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资产命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

为网络钩子 Feed 创建 API 密钥

1. 依次前往 Google Cloud 控制台 > 凭据。

   转到“凭据”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 将 API 密钥访问权限限制为 Google Security Operations API。

为网络钩子 Feed 设置 Jamf Protect

1. 在 Jamf Protect 应用中，前往相关的操作配置。
2. 如需添加新的数据端点，请点击创建操作。
3. 选择 HTTP 作为协议。
4. 在网址字段中，输入 Google Security Operations API 端点的 HTTPS 网址。（这是您从网络钩子 Feed 设置中复制的端点信息字段。它已经采用所需格式。）

5. 通过在自定义标头中指定 API 密钥和密钥来启用身份验证，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：将 API 密钥指定为标头，而不是在网址中指定。如果您的 Webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   替换以下内容：

   • ENDPOINT_URL：Feed 端点网址。
   • API_KEY：用于向 Google Security Operations 进行身份验证的 API 密钥。
   • SECRET：您生成的用于对 Feed 进行身份验证的密钥。

6. 在收集日志部分，选择提醒和统一日志。

7. 点击提交。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。

如果您在创建 Feed 时遇到问题，请与 Google Security Operations 支持团队联系。

支持的 Jamf Protect 日志类型

下表列出了 Jamf Protect 解析器支持的日志类型：

事件类型	显示名称
GPClickEvent	合成点击事件
GPDownloadEvent	下载活动
GPFSEvent	文件系统事件
GPGatekeeperEvent	Gatekeeper 事件
GPKeylogRegisterEvent	Keylogger 事件
GPMRTEvent	监控活动
GPPreventedExecutionEvent	自定义禁止列表事件
GPProcessEvent	处理事件
GPThreatMatchExecEvent	威胁防护事件
GPUSBEvent	USB 事件
GPUnifiedLogEvent	统一日志事件
身份验证装载	设备控制器事件

支持的 Jamf Protect 日志格式

Jamf Protect 解析器支持 JSON 格式的日志。

支持的 Jamf Protect 示例日志

• JSON

  {
    "input": {
      "match": {
        "custom": false,
        "facts": [
          {
            "actions": [
              {
                "name": "CacheFile",
                "parameters": {}
              },
              {
                "name": "Report",
                "parameters": {}
              }
            ],
            "human": "Login Hook created for persistence",
            "context": [
              {
                "name": "ItemBinary",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "Binary"
              },
              {
                "name": "Itemname",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "String"
              }
            ],
            "uuid": "dummyuuid",
            "version": 2,
            "severity": 0,
            "tags": [
              "MITREattack",
              "T1037.002",
              "BootOrLogonAutostartExecution",
              "Persistence"
            ],
            "name": "LoginHook"
          }
        ],
        "event": {
          "timestamp": 1676994504.698714,
          "uid": 0,
          "eventID": 9141,
          "prevFile": "\\/private\\/var\\/folders\\/zz\\/zyxvpxvq6csfxvn_n0000000000000\\/T\\/TemporaryItems\\/com.apple.loginwindow.plist.X0YcxtR",
          "iNode": 62898,
          "dev": 16777220,
          "uuid": "AE7F101A-09AA-4CD6-940F-15EC2073E476",
          "path": "\\/var\\/root\\/Library\\/Preferences\\/com.dummy.path.plist",
          "type": 3,
          "gid": 0,
          "pid": 148
        },
        "uuid": "1263F6F0-6891-4105-993F-6889AB3A3555",
        "context": [
          {
            "name": "ItemBinary",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "Binary"
          },
          {
            "name": "Itemname",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "String"
          }
        ],
        "severity": 0,
        "tags": [
          "T1037.002",
          "Persistence",
          "BootOrLogonAutostartExecution",
          "MITREattack"
        ],
        "actions": [
          {
            "name": "CacheFile",
            "parameters": {}
          },
          {
            "name": "Report",
            "parameters": {}
          }
        ]
      },
      "host": {
        "ips": [
          "192.51.100.1"
        ],
        "provisioningUDID": "8AD54CA5-F0DC-5434-8147-26D1D8A426CD",
        "hostname": "dummy-hostname",
        "serial": "dummyserial"
      },
      "eventType": "GPFSEvent",
      "related": {
        "users": [
          {
            "uid": 0,
            "name": "root",
            "uuid": "dummyuid"
          }
        ],
        "files": [
          {
            "xattrs": [],
            "sha256hex": "67fc9bde97641361d3b521a01f8b907269a4d6434f2db10e163a71b70178b3d1",
            "modified": 1676985886,
            "uid": 0,
            "changed": 1676985886,
            "sha1hex": "e3bc8f9c241f86e7138ba6cfb0e0e206b131a7e3",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/var\\/root\\/Library\\/Preferences\\/com.apple.loginwindow.plist",
            "size": 42,
            "gid": 0,
            "inode": 62898,
            "mode": 33152,
            "isDownload": false,
            "created": 1676985886,
            "accessed": 1676985886,
            "fsid": 16777220,
            "signingInfo": {
              "status": -67062,
              "authorities": [],
              "teamid": "",
              "signerType": 4,
              "statusMessage": "code object is not signed at all",
              "entitlements": [],
              "appid": ""
            },
            "isDirectory": false
          }
        ],
        "binaries": [
          {
            "xattrs": [],
            "sha256hex": "9a282c0623110b57953bb74238f02704f729eb9779381eef851b2ebe7626f890",
            "modified": 1675935593,
            "uid": 0,
            "changed": 1675935593,
            "sha1hex": "454634df6b7cd32a4dcca9d346eb3efb34dc780d",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "size": 200608,
            "gid": 0,
            "inode": 1152921500312430765,
            "mode": 33261,
            "isDownload": false,
            "created": 1675935593,
            "accessed": 1675935593,
            "fsid": 16777220,
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "isDirectory": false
          }
        ],
        "groups": [
          {
            "gid": 0,
            "name": "wheel",
            "uuid": "FVFZQ5FDLYWG0"
          }
        ],
        "processes": [
          {
            "originalParentPID": 1,
            "uuid": "06D1425D-082A-4E11-81E4-75A9E3F2B8EF",
            "ruid": 0,
            "uid": 0,
            "startTimestamp": 1676976036,
            "ppid": 1,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "gid": 0,
            "rgid": 0,
            "args": [
              "\\/usr\\/sbin\\/cfprefsd",
              "daemon"
            ],
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "pid": 148,
            "name": "dummyhostname",
            "pgid": 148
          }
        ]
      }
    },
    "caid": "a2afe04d1360c01a0758ad3319c9af305f794801917b0c04648e4d7a9d7d746b",
    "certid": "05f5b0fa822a2f5e9a29f018853e8f2d99b94c8af38f40268a9479f2e6038e6b"
  }
  

字段映射参考

本部分介绍了 Google Security Operations 解析器如何将 Jamf Protect 字段映射到 Google Security Operations Unified Data Model (UDM) 字段。

字段映射参考信息：事件标识符到事件类型

下表列出了 JAMF_PROTECT 日志类型及其对应的 UDM 事件类型。

字段映射参考信息：JAMF_PROTECT

下表列出了 JAMF_PROTECT 日志类型的日志字段及其对应的 UDM 字段。

后续步骤

• 将数据注入到 Google Security Operations

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。