Jamf Protect-Telemetrieprotokolle erfassen

In diesem Dokument wird beschrieben, wie Sie Jamf Protect-Telemetrielogs erfassen, indem Sie einen Google Security Operations-Feed einrichten, und wie Logfelder UDM-Feldern (Unified Data Model) von Google Security Operations zugeordnet werden. In diesem Dokument wird auch die unterstützte Version von Jamf Protect Telemetry aufgeführt.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Eine typische Bereitstellung besteht aus Jamf Protect-Telemetrie und dem Google Security Operations-Feed, der so konfiguriert ist, dass Logs an Google Security Operations gesendet werden. Jede Kundenbereitstellung kann unterschiedlich sein und komplexer ausfallen.

Die Bereitstellung enthält die folgenden Komponenten:

• Jamf Protect-Telemetrie: Die Jamf Protect-Telemetrieplattform, von der Sie Protokolle erfassen.

• Google Security Operations-Feed. Der Google Security Operations-Feed, der Logs aus der Jamf Protect-Telemetrie abruft und in Google Security Operations schreibt.

• Google Security Operations. Google Security Operations speichert und analysiert die Logs aus der Jamf Protect-Telemetrie.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Aufnahme-Label JAMF_TELEMETRY.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Jamf Protect-Telemetrie ist eingerichtet.
• Jamf Protect-Version 4.0.0 oder höher
• Alle Systeme in der Bereitstellungsarchitektur sind mit der UTC-Zeitzone konfiguriert.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds
• Content Hub> Content-Pakete

Feeds über die SIEM-Einstellungen > „Feeds“ einrichten

Sie können entweder Amazon S3 oder einen Webhook verwenden, um einen Erfassungsfeed in Google Security Operations einzurichten. Wir empfehlen jedoch, Amazon S3 zu verwenden.

Aufnahmefeed in Google SecOps mit Amazon S3 einrichten

Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

So konfigurieren Sie einen einzelnen Feed:

1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Jamf Telemetry Logs (Jamf-Telemetrieprotokolle).
5. Wählen Sie Amazon S3 als Quelltyp aus.
6. Wenn Sie einen Feed für Jamf Protect-Telemetriedaten erstellen möchten, wählen Sie Jamf Protect Telemetry als Log type (Logtyp) aus.
7. Klicken Sie auf Weiter.
8. Speichern Sie den Feed und klicken Sie dann auf Senden.
9. Kopieren Sie die Feed ID (Feed-ID) aus dem Feed-Namen, um sie in Jamf Protect Telemetry (Jamf Protect-Telemetrie) zu verwenden.

Aufnahmefeed in Google SecOps mit einem Webhook einrichten

Nur für Unified-Kunden von Google Security Operations:
Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Mehrere Feeds konfigurieren.

Für alle Kunden:
So konfigurieren Sie einen einzelnen Feed:

1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren. Überspringen Sie diesen Schritt, wenn Sie die eigenständige Google SecOps SIEM-Plattform verwenden.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Jamf Telemetry Logs (Jamf-Telemetrieprotokolle).
5. Wählen Sie in der Liste Quelltyp die Option Webhook aus.
6. Wenn Sie einen Feed für Jamf Protect-Telemetriedaten erstellen möchten, wählen Sie Jamf Protect Telemetry als Log type (Logtyp) aus.
7. Klicken Sie auf Weiter.
8. Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
   • Trennzeichen für Aufteilung: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
11. Klicken Sie auf Geheimen Schlüssel generieren, um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
12. Kopieren und speichern Sie den geheimen Schlüssel. Sie können diesen geheimen Schlüssel nicht noch einmal aufrufen. Bei Bedarf können Sie einen neuen geheimen Schlüssel generieren. Dadurch wird der vorherige geheime Schlüssel jedoch ungültig.
13. Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie benötigen diese HTTPS-URL, um Ihre Jamf Protect Telemetry-Clientanwendung einzurichten.
14. Klicken Sie auf Fertig.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

• Region: Die Region, in der sich der Amazon S3-Bucket befindet.
• S3-URI: Der Bucket-URI.
  • s3://your-log-bucket-name/
    • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
• URI ist ein: Wählen Sie je nach Bucket-Struktur entweder Verzeichnis oder Verzeichnis mit Unterverzeichnissen aus.
• Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.

• Access Key ID (Zugriffsschlüssel-ID): Der Zugriffsschlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

• Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

Erweiterte Optionen

• Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
• Quelltyp: Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
• Asset-Namespace: Namespace, der dem Feed zugeordnet ist.
• Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

API-Schlüssel für einen Webhook-Feed erstellen

1. Rufen Sie die Google Cloud Console > Anmeldedaten auf.

   Zu den Anmeldedaten

2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.

3. Schränken Sie den API-Schlüsselzugriff auf die Google Security Operations API ein.

Jamf Protect-Telemetrie für einen Webhook-Feed einrichten

1. Rufen Sie in der Jamf Protect Telemetry-Anwendung die zugehörige Action configuration (Aktionskonfiguration) auf.
2. Wenn Sie einen neuen Datenendpunkt hinzufügen möchten, klicken Sie auf Aktionen erstellen.
3. Wählen Sie als Protokoll HTTP aus.
4. Geben Sie die HTTPS-URL des Google Security Operations API-Endpunkt in das Feld URL ein. Dies ist das Feld Endpoint Information (Endpunktinformationen), das Sie bei der Einrichtung des Webhook-Feeds kopiert haben. Sie ist bereits im erforderlichen Format.)

5. Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den Secret Key als Teil der benutzerdefinierten Kopfzeile im folgenden Format angeben:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Empfehlung: Geben Sie den API-Schlüssel als Header an, anstatt ihn in der URL anzugeben. Wenn Ihr Webhook-Client keine benutzerdefinierten Headern unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mit Suchparametern im folgenden Format angeben:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ersetzen Sie Folgendes:

   • ENDPOINT_URL: Die Feed-Endpunkt-URL.
   • API_KEY: Der API-Schlüssel für die Authentifizierung bei Google Security Operations.
   • SECRET: Der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.

6. Wählen Sie im Abschnitt Logs erfassen die Option Telemetrie aus.

7. Klicken Sie auf Senden.

Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ.

Wenn Sie Probleme beim Erstellen von Feeds haben, wenden Sie sich an den Google Security Operations-Support.

Unterstützte Jamf Protect-Telemetrielogtypen

Der Jamf Protect Telemetry-Parser unterstützt die folgenden Protokolltypen:

Unterstützte Jamf Protect-Telemetrielogformate

Der Jamf Protect-Telemetrieparser unterstützt Logs im JSON-Format.

Unterstützte Jamf Protect-Beispiellogs für Telemetrie

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

Referenz zur Feldzuordnung

In diesem Abschnitt wird beschrieben, wie der Google Security Operations-Parser Jamf Protect-Telemetriefelder UDM-Feldern (Unified Data Model) von Google Security Operations zuordnet.

Feldzuordnung: Ereignis-ID zu Ereignistyp

In der folgenden Tabelle sind die JAMF_TELEMETRY-Logtypen und die entsprechenden UDM-Ereignistypen aufgeführt.

Referenz zur Feldzuordnung: JAMF_TELEMETRY

In der folgenden Tabelle sind die Logfelder des Logtyps JAMF_TELEMETRY und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google Security Operations

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten