Recopila registros de telemetría de Jamf Protect

En este documento, se describe cómo puedes recopilar registros de telemetría de Jamf Protect configurando un feed de Google Security Operations y cómo los campos de registro se asignan a los campos del Modelo de datos unificado (UDM) de Google Security Operations. En este documento, también se indica la versión compatible de la telemetría de Jamf Protect.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una implementación típica consta de la telemetría de Jamf Protect y el feed de Google Security Operations configurado para enviar registros a Google Security Operations. Cada implementación para el cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• Telemetría de Jamf Protect Plataforma de telemetría de Jamf Protect desde la que recopilas registros.

• Feed de Google Security Operations Es el feed de Google Security Operations que recupera registros de la telemetría de Jamf Protect y los escribe en Google Security Operations.

• Google Security Operations. Google Security Operations retiene y analiza los registros de la telemetría de Jamf Protect.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia JAMF_TELEMETRY.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Configuración de Jamf Protect Telemetry
• Jamf Protect, versión 4.0.0 o posterior
• Todos los sistemas de la arquitectura de implementación están configurados con la zona horaria UTC.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

• Configuración de SIEM > Feeds
• Centro de contenido > Paquetes de contenido

Configura feeds desde Configuración del SIEM > Feeds

Puedes usar Amazon S3 o un webhook para configurar un feed de transferencia en Google Security Operations, pero te recomendamos que uses Amazon S3.

Configura un feed de transferencia en Google SecOps con Amazon S3

Para configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Cómo configurar feeds por producto.

Para configurar un solo feed, sigue estos pasos:

1. Ve a SIEM Settings > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo, Registros de telemetría de Jamf.
5. Selecciona Amazon S3 como el Tipo de fuente.
6. Para crear un feed para la telemetría de Jamf Protect, selecciona Jamf Protect Telemetry como el Tipo de registro.
7. Haz clic en Siguiente.
8. Guarda el feed y, luego, haz clic en Enviar.
9. Copia el ID del feed del nombre del feed para usarlo en Jamf Protect Telemetry.

Configura un feed de transferencia en Google SecOps con un webhook

Solo para clientes unificados de Google Security Operations:
Para configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Cómo configurar varios feeds.

Para todos los clientes:
Para configurar un solo feed, sigue estos pasos:

1. Ve a SIEM Settings > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed. Omite este paso si usas la plataforma independiente de SIEM de Google SecOps.
4. En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo, Registros de telemetría de Jamf.
5. En la lista Tipo de fuente, selecciona Webhook.
6. Para crear un feed para la telemetría de Jamf Protect, selecciona Jamf Protect Telemetry como el Tipo de registro.
7. Haz clic en Siguiente.
8. Opcional: Especifica valores para los siguientes parámetros de entrada:
   • Delimitador de división: Es el delimitador que se usa para separar las líneas de registro, como \n.
   • Espacio de nombres del recurso: Es el espacio de nombres del recurso.
   • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.
9. Haz clic en Siguiente.
10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.
11. Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.
12. Copia y almacena la clave secreta. No podrás volver a ver esta clave secreta. Si es necesario, puedes regenerar una clave secreta nueva, pero esta acción hace que la clave secreta anterior quede obsoleta.
13. En la pestaña Detalles, copia la URL del extremo del feed del campo Información del extremo. Necesitarás esta URL HTTPS para configurar tu aplicación cliente de telemetría de Jamf Protect.
14. Haz clic en Listo.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

• Región: Es la región en la que se encuentra el bucket de Amazon S3.
• URI de S3: Es el URI del bucket.
  • s3://your-log-bucket-name/
    • Reemplaza your-log-bucket-name por el nombre real de tu bucket de S3.
• El URI es un: Selecciona Directorio o Directorio que incluye subdirectorios, según la estructura de tu bucket.
• Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tus preferencias de transferencia.

• ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

• Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

Opciones avanzadas

• Nombre del feed: Es un valor completado previamente que identifica el feed.
• Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
• Espacio de nombres del recurso: Espacio de nombres asociado al feed.
• Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

Crea una clave de API para un feed de webhook

1. Ve a Google Cloud consola > Credenciales.

   Ir a Credenciales

2. Haz clic en Crear credenciales y selecciona Clave de API.

3. Restringe el acceso a la clave de API a la API de Google Security Operations.

Cómo configurar la telemetría de Jamf Protect para un feed de webhook

1. En la aplicación Jamf Protect Telemetry, navega a la configuración de acción relacionada.
2. Para agregar un extremo de datos nuevo, haz clic en Create Actions.
3. Selecciona HTTP como el protocolo.
4. Ingresa la URL HTTPS del extremo de API de Google Security Operations en el campo URL. (Este es el campo Endpoint Information que copiaste de la configuración del feed de webhook. Ya está en el formato requerido.

5. Para habilitar la autenticación, especifica la clave de API y la clave secreta como parte del encabezado personalizado en el siguiente formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendación: Especifica la clave de API como un encabezado en lugar de hacerlo en la URL. Si tu cliente de webhook no admite encabezados personalizados, puedes especificar la clave de API y la clave secreta con parámetros de búsqueda en el siguiente formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Reemplaza lo siguiente:

   • ENDPOINT_URL: Es la URL del extremo del feed.
   • API_KEY: Es la clave de API para autenticarse en Google Security Operations.
   • SECRET: Es la clave secreta que generaste para autenticar el feed.

6. En la sección Collect Logs, selecciona Telemetry.

7. Haz clic en Enviar.

Para obtener más información sobre los feeds de Google Security Operations, consulta la documentación de los feeds de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de feed, consulta Configuración de feeds por tipo.

Si tienes problemas para crear feeds, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Tipos de registros de telemetría de Jamf Protect admitidos

El analizador de telemetría de Jamf Protect admite los siguientes tipos de registros:

Formatos de registro de telemetría de Jamf Protect admitidos

El analizador de telemetría de Jamf Protect admite registros en formato JSON.

Registros de muestra de telemetría de Jamf Protect admitidos

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

Referencia de la asignación de campos

En esta sección, se explica cómo el analizador de Google Security Operations asigna los campos de telemetría de Jamf Protect a los campos del modelo de datos unificado (UDM) de Google Security Operations.

Referencia de asignación de campos: Del identificador de evento al tipo de evento

En la siguiente tabla, se enumeran los tipos de registros de JAMF_TELEMETRY y sus tipos de eventos de UDM correspondientes.

Referencia de asignación de campos: JAMF_TELEMETRY

En la siguiente tabla, se enumeran los campos de registro del tipo de registro JAMF_TELEMETRY y sus campos de UDM correspondientes.

¿Qué sigue?

• Transferencia de datos a Google Security Operations

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.