收集 Jamf Protect 記錄

本文說明如何設定 Google Security Operations 資訊提供，藉此收集 Jamf Protect 記錄，以及記錄欄位如何對應至 Google Security Operations Unified Data Model (UDM) 欄位。這份文件也列出支援的 Jamf Protect 版本。

詳情請參閱「將資料擷取至 Google Security Operations」。

一般部署作業包含 Jamf Protect 和 Google Security Operations 資訊提供，設定為將記錄傳送至 Google Security Operations。每個客戶的部署作業可能有所不同，而且可能更為複雜。

部署作業包含下列元件：

• Jamf Protect。您要從哪個 Jamf Protect 平台收集記錄。

• Google Security Operations 摘要。Google Security Operations 資訊提供，可從 Jamf Protect 擷取記錄，並將記錄寫入 Google Security Operations。

• Google Security Operations。Google Security Operations 會保留及分析 Jamf Protect 的記錄檔。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 JAMF_PROTECT 攝入標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

• 已設定 Jamf Protect
• Jamf Protect 4.0.0 以上版本
• 部署架構中的所有系統都已設定為世界標準時間時區。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態消息」，設定動態消息

您可以使用 Amazon S3 或 Webhook 在 Google SecOps 中設定擷取動態饋給，但建議使用 Amazon S3。

使用 Amazon S3 在 Google SecOps 中設定擷取動態饋給

如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱，例如「Jamf Protect Logs」。
5. 選取「Amazon S3」做為「來源類型」。
6. 如要為 Jamf Protect 建立動態消息，請選取「Jamf Protect Alerts」(Jamf Protect 警報) 做為「Log type」(記錄類型)。
7. 點選「下一步」。
8. 儲存動態饋給，然後提交。
9. 從動態消息名稱複製動態消息 ID，以便在 Jamf Protect 中使用。

使用 Webhook 在 Google SecOps 中設定擷取動態饋給

僅適用於 Google Security Operations Unified 客戶：
如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「設定多個動態饋給」。

所有客戶：
如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。如果您使用 Google SecOps SIEM 獨立平台，請略過這個步驟。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「Jamf Protect Webhook Logs」。
5. 在「Source type」(來源類型) 清單中，選取「Webhook」(Webhook)。
6. 如要為 Jamf Protect 建立動態消息，請選取「Jamf Protect Alerts」(Jamf Protect 警報) 做為「Log type」(記錄類型)。
7. 點選「下一步」。
8. 選用：指定下列輸入參數的值：
   • 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。
   • 資產命名空間：資產命名空間。
   • 擷取標籤：要套用至這個動態饋給事件的標籤。
9. 點選「下一步」。
10. 在「Finalize」畫面上檢查新的動態饋給設定，然後按一下「Submit」。
11. 按一下「產生密鑰」，產生驗證這個動態消息的密鑰。
12. 複製並儲存「密鑰」。您無法再次查看這個密鑰。如有需要，您可以重新產生新的密鑰，但這項操作會使先前的密鑰失效。
13. 在「詳細資料」分頁中，從「端點資訊」欄位複製動態消息端點網址。您需要這個 HTTPS 網址來設定 Jamf Protect 用戶端應用程式。
14. 按一下 [完成]。

從內容中心設定動態饋給

為下列欄位指定值：

• 區域：Amazon S3 值區所在的區域。
• S3 URI：bucket URI。
  • s3://your-log-bucket-name/
    • 請將 your-log-bucket-name 替換為 S3 值區的實際名稱。
• URI 是：根據 bucket 結構，選取「Directory」(目錄) 或「Directory which includes subdirectories」(包含子目錄的目錄)。
• 來源刪除選項：根據擷取偏好設定選取刪除選項。

• 存取金鑰 ID：具備 S3 值區讀取權限的使用者存取金鑰。

• 存取密鑰：使用者的存取密鑰，具備從 S3 bucket 讀取的權限。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

為 Webhook 動態饋給建立 API 金鑰

1. 依序前往 Google Cloud 控制台 >「憑證」。

   前往「憑證」

2. 按一下 [Create credentials] (建立憑證)，然後選取 [API key] (API 金鑰)。

3. 將 API 金鑰存取權限制在 Google Security Operations API。

為 Webhook 動態饋給設定 Jamf Protect

1. 在 Jamf Protect 應用程式中，前往相關的「動作設定」。
2. 如要新增資料端點，請按一下「建立動作」。
3. 選取「HTTP」做為通訊協定。
4. 在「URL」欄位中，輸入 Google Security Operations API 端點的 HTTPS 網址。(這是您從 Webhook 摘要設定複製的「端點資訊」欄位。(已經是所需格式)。

5. 指定 API 金鑰和密鑰，以啟用驗證，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建議：請將 API 金鑰指定為標頭，而非在網址中指定。如果 Webhook 用戶端不支援自訂標頭，您可以使用查詢參數指定 API 金鑰和密鑰，格式如下：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   更改下列內容：

   • ENDPOINT_URL：動態消息端點網址。
   • API_KEY：用於向 Google Security Operations 進行驗證的 API 金鑰。
   • SECRET：您產生的密鑰，用於驗證動態饋給。

6. 在「收集記錄」部分中，選取「快訊和整合記錄」。

7. 按一下「提交」。

如要進一步瞭解 Google Security Operations 動態消息，請參閱 Google Security Operations 動態消息說明文件。如要瞭解各動態饋給類型的規定，請參閱「依類型設定動態饋給」。

如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

支援的 Jamf Protect 記錄類型

下表列出 Jamf Protect 剖析器支援的記錄類型：

事件類型	顯示名稱
GPClickEvent	綜合點擊事件
GPDownloadEvent	下載活動
GPFSEvent	檔案系統事件
GPGatekeeperEvent	把關事件
GPKeylogRegisterEvent	鍵盤側錄程式事件
GPMRTEvent	監控事件
GPPreventedExecutionEvent	自訂禁止清單事件
GPProcessEvent	處理事件
GPThreatMatchExecEvent	威脅防護事件
GPUSBEvent	USB Events
GPUnifiedLogEvent	統一記錄事件
Auth-mount	裝置控制事件

支援的 Jamf Protect 記錄格式

Jamf Protect 剖析器支援 JSON 格式的記錄。

支援的 Jamf Protect 記錄檔範例

• JSON

  {
    "input": {
      "match": {
        "custom": false,
        "facts": [
          {
            "actions": [
              {
                "name": "CacheFile",
                "parameters": {}
              },
              {
                "name": "Report",
                "parameters": {}
              }
            ],
            "human": "Login Hook created for persistence",
            "context": [
              {
                "name": "ItemBinary",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "Binary"
              },
              {
                "name": "Itemname",
                "value": "\\/path\\/to\\/suspiciousfile.sh",
                "valueType": "String"
              }
            ],
            "uuid": "dummyuuid",
            "version": 2,
            "severity": 0,
            "tags": [
              "MITREattack",
              "T1037.002",
              "BootOrLogonAutostartExecution",
              "Persistence"
            ],
            "name": "LoginHook"
          }
        ],
        "event": {
          "timestamp": 1676994504.698714,
          "uid": 0,
          "eventID": 9141,
          "prevFile": "\\/private\\/var\\/folders\\/zz\\/zyxvpxvq6csfxvn_n0000000000000\\/T\\/TemporaryItems\\/com.apple.loginwindow.plist.X0YcxtR",
          "iNode": 62898,
          "dev": 16777220,
          "uuid": "AE7F101A-09AA-4CD6-940F-15EC2073E476",
          "path": "\\/var\\/root\\/Library\\/Preferences\\/com.dummy.path.plist",
          "type": 3,
          "gid": 0,
          "pid": 148
        },
        "uuid": "1263F6F0-6891-4105-993F-6889AB3A3555",
        "context": [
          {
            "name": "ItemBinary",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "Binary"
          },
          {
            "name": "Itemname",
            "value": "\\/path\\/to\\/suspiciousfile.sh",
            "valueType": "String"
          }
        ],
        "severity": 0,
        "tags": [
          "T1037.002",
          "Persistence",
          "BootOrLogonAutostartExecution",
          "MITREattack"
        ],
        "actions": [
          {
            "name": "CacheFile",
            "parameters": {}
          },
          {
            "name": "Report",
            "parameters": {}
          }
        ]
      },
      "host": {
        "ips": [
          "192.51.100.1"
        ],
        "provisioningUDID": "8AD54CA5-F0DC-5434-8147-26D1D8A426CD",
        "hostname": "dummy-hostname",
        "serial": "dummyserial"
      },
      "eventType": "GPFSEvent",
      "related": {
        "users": [
          {
            "uid": 0,
            "name": "root",
            "uuid": "dummyuid"
          }
        ],
        "files": [
          {
            "xattrs": [],
            "sha256hex": "67fc9bde97641361d3b521a01f8b907269a4d6434f2db10e163a71b70178b3d1",
            "modified": 1676985886,
            "uid": 0,
            "changed": 1676985886,
            "sha1hex": "e3bc8f9c241f86e7138ba6cfb0e0e206b131a7e3",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/var\\/root\\/Library\\/Preferences\\/com.apple.loginwindow.plist",
            "size": 42,
            "gid": 0,
            "inode": 62898,
            "mode": 33152,
            "isDownload": false,
            "created": 1676985886,
            "accessed": 1676985886,
            "fsid": 16777220,
            "signingInfo": {
              "status": -67062,
              "authorities": [],
              "teamid": "",
              "signerType": 4,
              "statusMessage": "code object is not signed at all",
              "entitlements": [],
              "appid": ""
            },
            "isDirectory": false
          }
        ],
        "binaries": [
          {
            "xattrs": [],
            "sha256hex": "9a282c0623110b57953bb74238f02704f729eb9779381eef851b2ebe7626f890",
            "modified": 1675935593,
            "uid": 0,
            "changed": 1675935593,
            "sha1hex": "454634df6b7cd32a4dcca9d346eb3efb34dc780d",
            "isAppBundle": false,
            "isScreenShot": false,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "size": 200608,
            "gid": 0,
            "inode": 1152921500312430765,
            "mode": 33261,
            "isDownload": false,
            "created": 1675935593,
            "accessed": 1675935593,
            "fsid": 16777220,
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "isDirectory": false
          }
        ],
        "groups": [
          {
            "gid": 0,
            "name": "wheel",
            "uuid": "FVFZQ5FDLYWG0"
          }
        ],
        "processes": [
          {
            "originalParentPID": 1,
            "uuid": "06D1425D-082A-4E11-81E4-75A9E3F2B8EF",
            "ruid": 0,
            "uid": 0,
            "startTimestamp": 1676976036,
            "ppid": 1,
            "path": "\\/usr\\/sbin\\/cfprefsd",
            "gid": 0,
            "rgid": 0,
            "args": [
              "\\/usr\\/sbin\\/cfprefsd",
              "daemon"
            ],
            "signingInfo": {
              "status": 0,
              "cdhash": "SXboWMc7MOtMM0K3pOxRjqR59w0=",
              "authorities": [
                "Software Signing",
                "Apple Code Signing Certification Authority",
                "Apple Root CA"
              ],
              "teamid": "",
              "signerType": 0,
              "statusMessage": "No error.",
              "entitlements": [],
              "appid": "com.dummy.domain"
            },
            "pid": 148,
            "name": "dummyhostname",
            "pgid": 148
          }
        ]
      }
    },
    "caid": "a2afe04d1360c01a0758ad3319c9af305f794801917b0c04648e4d7a9d7d746b",
    "certid": "05f5b0fa822a2f5e9a29f018853e8f2d99b94c8af38f40268a9479f2e6038e6b"
  }
  

欄位對應參考資料

本節說明 Google Security Operations 剖析器如何將 Jamf Protect 欄位對應至 Google Security Operations Unified Data Model (UDM) 欄位。

欄位對應參照：事件 ID 對應至事件類型

下表列出 JAMF_PROTECT 記錄類型及其對應的 UDM 事件類型。

欄位對應參考資料：JAMF_PROTECT

下表列出 JAMF_PROTECT 記錄類型的記錄欄位，以及對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google Security Operations

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。