Recopilar registros de telemetría de Jamf Protect

En este documento se describe cómo puede recoger registros de telemetría de Jamf Protect configurando un feed de Google Security Operations y cómo se asignan los campos de registro a los campos del modelo de datos unificado (UDM) de Google Security Operations. En este documento también se indica la versión de telemetría de Jamf Protect compatible.

Para obtener más información, consulta Ingestión de datos en Google Security Operations.

Una implementación típica consta de la telemetría de Jamf Protect y el feed de Google Security Operations configurado para enviar registros a Google Security Operations. Cada implementación de cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• Telemetría de Jamf Protect. La plataforma de telemetría de Jamf Protect desde la que recoges los registros.

• Feed de Google Security Operations. El feed de Google Security Operations que obtiene registros de la telemetría de Jamf Protect y escribe registros en Google Security Operations.

• Google Security Operations. Google Security Operations conserva y analiza los registros de la telemetría de Jamf Protect.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión JAMF_TELEMETRY.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Una configuración de telemetría de Jamf Protect
• Jamf Protect 4.0.0 o una versión posterior
• Todos los sistemas de la arquitectura de implementación están configurados con la zona horaria UTC.

Configurar feeds desde Configuración de SIEM > Feeds

Puedes usar Amazon S3 V2 o un webhook para configurar un feed de ingestión en Google Security Operations.

Configurar un feed de ingestión en Google SecOps con Amazon S3 V2

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. Haga clic en el paquete de feeds JAMF.
4. Busca el tipo de registro Telemetría de Jamf Protect.
5. Selecciona Amazon S3 V2 como Tipo de fuente.

6. Especifique los valores de los siguientes campos:

   • URI de S3: el URI del segmento.
     • s3://your-log-bucket-name/
       • Sustituye your-log-bucket-name por el nombre real de tu segmento de S3.
   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras según tus preferencias de ingesta.
   • ID de clave de acceso: clave de acceso del usuario con permisos para leer del segmento de S3.
   • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
   • Clave de acceso secreta: clave secreta del usuario con permisos para leer del segmento de S3.

   Opciones avanzadas

   • Nombre del feed: un valor rellenado automáticamente que identifica el feed.
   • Espacio de nombres de recursos: espacio de nombres asociado al feed.
   • Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

7. Haga clic en Crear feed.

Configurar un feed de ingesta en Google SecOps mediante un webhook

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. Haga clic en el paquete de feeds JAMF.
4. Busca el tipo de registro Telemetría de Jamf Protect.
5. En la lista Tipo de fuente, selecciona Webhook.
6. Especifique los valores de los siguientes campos:
   • Delimitador de división: el delimitador que se usa para separar las líneas de registro, como \n.
   • Espacio de nombres de recursos: el espacio de nombres de recursos.
   • Etiquetas de ingestión: etiqueta que se aplicará a los eventos de este feed.
7. Haga clic en Crear feed.

Para configurar varios feeds de distintos tipos de registro en esta familia de productos, consulte Configurar feeds por producto.

Crear una clave de API para un feed de webhook

1. Ve a la Google Cloud consola > Credenciales.

   Ir a Credenciales

2. Haz clic en Crear credenciales y, a continuación, selecciona Clave de API.

3. Restringe el acceso de la clave de API a la API Google Security Operations.

Configurar la telemetría de Jamf Protect para un feed de webhook

1. En la aplicación Telemetría de Jamf Protect, vaya a la configuración de la acción relacionada.
2. Para añadir un nuevo endpoint de datos, haga clic en Crear acciones.
3. Selecciona HTTP como protocolo.
4. Introduce la URL HTTPS del endpoint de la API de Google Security Operations en el campo URL. Este es el campo Información del endpoint que has copiado de la configuración del feed de webhook. Ya tiene el formato necesario.

5. Para habilitar la autenticación, especifica la clave de API y la clave secreta como parte del encabezado personalizado con el siguiente formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendación: Especifica la clave de API como encabezado en lugar de hacerlo en la URL. Si tu cliente de webhook no admite encabezados personalizados, puedes especificar la clave de API y la clave secreta mediante parámetros de consulta con el siguiente formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Haz los cambios siguientes:

   • ENDPOINT_URL: URL del endpoint del feed.
   • API_KEY: la clave de API para autenticarte en Google Security Operations.
   • SECRET: la clave secreta que has generado para autenticar el feed.

6. En la sección Recoger registros, selecciona Telemetría.

7. Haz clic en Enviar.

Para obtener más información sobre los feeds de Google Security Operations, consulta la documentación de los feeds de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de feed, consulta el artículo Configuración de feeds por tipo.

Si tienes problemas al crear feeds, ponte en contacto con el equipo de Asistencia de Google Security Operations.

Tipos de registros de telemetría de Jamf Protect admitidos

El analizador de telemetría de Jamf Protect admite los siguientes tipos de registros:

Formatos de registro de telemetría admitidos de Jamf Protect

El analizador de telemetría de Jamf Protect admite registros en formato JSON.

Registros de ejemplo de telemetría de Jamf Protect admitidos

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

Referencia de asignación de campos

En esta sección se explica cómo asigna el analizador de Google Security Operations los campos de telemetría de Jamf Protect a los campos del modelo de datos unificado (UDM) de Google Security Operations.

Referencia de asignación de campos: identificador de evento a tipo de evento

En la siguiente tabla se enumeran los JAMF_TELEMETRY tipos de registros y sus tipos de eventos de UDM correspondientes.

Referencia de asignación de campos: JAMF_TELEMETRY

En la siguiente tabla se enumeran los campos de registro del tipo de registro JAMF_TELEMETRY y sus campos de UDM correspondientes.

Siguientes pasos

• Ingestión de datos en Google Security Operations

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.