Jamf Protect-Telemetrieprotokolle erfassen

In diesem Dokument wird beschrieben, wie Sie Jamf Protect-Telemetrielogs erfassen, indem Sie einen Google Security Operations-Feed einrichten, und wie Logfelder UDM-Feldern (Unified Data Model) von Google Security Operations zugeordnet werden. In diesem Dokument wird auch die unterstützte Version von Jamf Protect Telemetry aufgeführt.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Eine typische Bereitstellung besteht aus Jamf Protect-Telemetrie und dem Google Security Operations-Feed, der so konfiguriert ist, dass Logs an Google Security Operations gesendet werden. Jede Kundenbereitstellung kann unterschiedlich sein und komplexer ausfallen.

Die Bereitstellung enthält die folgenden Komponenten:

• Jamf Protect-Telemetrie: Die Jamf Protect-Telemetrieplattform, von der Sie Protokolle erfassen.

• Google Security Operations-Feed. Der Google Security Operations-Feed, der Logs aus der Jamf Protect-Telemetrie abruft und in Google Security Operations schreibt.

• Google Security Operations. Google Security Operations speichert und analysiert die Logs aus der Jamf Protect-Telemetrie.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Aufnahme-Label JAMF_TELEMETRY.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Jamf Protect-Telemetrie ist eingerichtet.
• Jamf Protect-Version 4.0.0 oder höher
• Alle Systeme in der Bereitstellungsarchitektur sind mit der UTC-Zeitzone konfiguriert.

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

Sie können entweder Amazon S3 V2 oder einen Webhook verwenden, um einen Ingestion-Feed in Google Security Operations einzurichten.

Aufnahmefeed in Google SecOps mit Amazon S3 V2 einrichten

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf das JAMF-Feedpaket.
4. Suchen Sie nach dem Logtyp Jamf Protect Telemetry.
5. Wählen Sie Amazon S3 V2 als Quelltyp aus.

6. Geben Sie Werte für die folgenden Felder an:

   • S3-URI: Der Bucket-URI.
     • s3://your-log-bucket-name/
       • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
   • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.
   • Access Key ID (Zugriffsschlüssel-ID): Der Zugriffsschlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.
   • Maximales Dateialter: Enthält Dateien, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
   • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

   Erweiterte Optionen

   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
   • Asset-Namespace: Namespace, der dem Feed zugeordnet ist.
   • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

7. Klicken Sie auf Feed erstellen.

Aufnahmefeed in Google SecOps mit einem Webhook einrichten

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf das JAMF-Feedpaket.
4. Suchen Sie nach dem Logtyp Jamf Protect Telemetry.
5. Wählen Sie in der Liste Quelltyp die Option Webhook aus.
6. Geben Sie Werte für die folgenden Felder an:
   • Trennzeichen für Aufteilung: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
7. Klicken Sie auf Feed erstellen.

Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

API-Schlüssel für einen Webhook-Feed erstellen

1. Rufen Sie die Google Cloud Konsole > Anmeldedaten auf.

   Zu den Anmeldedaten

2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.

3. Schränken Sie den API-Schlüsselzugriff auf die Google Security Operations API ein.

Jamf Protect-Telemetrie für einen Webhook-Feed einrichten

1. Rufen Sie in der Jamf Protect Telemetry-Anwendung die zugehörige Action configuration (Aktionskonfiguration) auf.
2. Wenn Sie einen neuen Datenendpunkt hinzufügen möchten, klicken Sie auf Aktionen erstellen.
3. Wählen Sie als Protokoll HTTP aus.
4. Geben Sie die HTTPS-URL des Google Security Operations API-Endpunkt in das Feld URL ein. Dies ist das Feld Endpoint Information (Endpunktinformationen), das Sie bei der Einrichtung des Webhook-Feeds kopiert haben. Sie ist bereits im erforderlichen Format.)

5. Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den Secret Key als Teil der benutzerdefinierten Kopfzeile im folgenden Format angeben:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Empfehlung: Geben Sie den API-Schlüssel als Header an, anstatt ihn in der URL anzugeben. Wenn Ihr Webhook-Client keine benutzerdefinierten Headern unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mit Suchparametern im folgenden Format angeben:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ersetzen Sie Folgendes:

   • ENDPOINT_URL: Die Feed-Endpunkt-URL.
   • API_KEY: Der API-Schlüssel für die Authentifizierung bei Google Security Operations.
   • SECRET: Der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.

6. Wählen Sie im Abschnitt Logs erfassen die Option Telemetrie aus.

7. Klicken Sie auf Senden.

Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ.

Wenn Sie Probleme beim Erstellen von Feeds haben, wenden Sie sich an den Google Security Operations-Support.

Unterstützte Jamf Protect-Telemetrielogtypen

Der Jamf Protect Telemetry-Parser unterstützt die folgenden Protokolltypen:

Unterstützte Jamf Protect-Telemetrielogformate

Der Jamf Protect-Telemetrieparser unterstützt Logs im JSON-Format.

Unterstützte Jamf Protect-Beispiellogs für Telemetrie

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

Referenz zur Feldzuordnung

In diesem Abschnitt wird beschrieben, wie der Google Security Operations-Parser Jamf Protect-Telemetriefelder UDM-Feldern (Unified Data Model) von Google Security Operations zuordnet.

Feldzuordnung: Ereignis-ID zu Ereignistyp

In der folgenden Tabelle sind die JAMF_TELEMETRY-Logtypen und die entsprechenden UDM-Ereignistypen aufgeführt.

Referenz zur Feldzuordnung: JAMF_TELEMETRY

In der folgenden Tabelle sind die Logfelder des Logtyps JAMF_TELEMETRY und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google Security Operations

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten