Collecter les journaux de télémétrie Jamf Protect

Ce document explique comment collecter les journaux de télémétrie Jamf Protect en configurant un flux Google Security Operations, et comment les champs de journaux sont mappés aux champs du modèle de données unifié (UDM) Google Security Operations. Ce document liste également la version de télémétrie Jamf Protect compatible.

Pour en savoir plus, consultez Ingestion de données dans Google Security Operations.

Un déploiement type se compose de la télémétrie Jamf Protect et du flux Google Security Operations configuré pour envoyer des journaux à Google Security Operations. Chaque déploiement client peut être différent et plus complexe.

Le déploiement contient les composants suivants :

• Télémétrie Jamf Protect. Plate-forme de télémétrie Jamf Protect à partir de laquelle vous collectez les journaux.

• Flux Google Security Operations Flux Google Security Operations qui récupère les journaux de la télémétrie Jamf Protect et les écrit dans Google Security Operations.

• Google Security Operations Google Security Operations conserve et analyse les journaux de télémétrie Jamf Protect.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion JAMF_TELEMETRY.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une télémétrie Jamf Protect configurée
• Jamf Protect version 4.0.0 ou ultérieure
• Tous les systèmes de l'architecture de déploiement sont configurés avec le fuseau horaire UTC.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Vous pouvez utiliser Amazon S3 ou un webhook pour configurer un flux d'ingestion dans Google Security Operations, mais nous vous recommandons d'utiliser Amazon S3.

Configurer un flux d'ingestion dans Google SecOps à l'aide d'Amazon S3

Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Pour configurer un seul flux :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux de télémétrie Jamf).
5. Sélectionnez Amazon S3 comme Type de source.
6. Pour créer un flux pour la télémétrie Jamf Protect, sélectionnez Télémétrie Jamf Protect comme Type de journal.
7. Cliquez sur Suivant.
8. Enregistrez le flux, puis cliquez sur Envoyer.
9. Copiez l'ID du flux à partir du nom du flux à utiliser dans Jamf Protect Telemetry.

Configurer un flux d'ingestion dans Google SecOps à l'aide d'un webhook

Pour les clients Google Security Operations Unified uniquement :
Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer plusieurs flux.

Pour tous les clients :
Pour configurer un seul flux, procédez comme suit :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux. Ignorez cette étape si vous utilisez la plate-forme autonome Google SecOps SIEM.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux de télémétrie Jamf).
5. Dans la liste Type de source, sélectionnez Webhook.
6. Pour créer un flux pour la télémétrie Jamf Protect, sélectionnez Télémétrie Jamf Protect comme Type de journal.
7. Cliquez sur Suivant.
8. Facultatif : Spécifiez les valeurs des paramètres d'entrée suivants :
   • Délimiteur de fractionnement : délimiteur utilisé pour séparer les lignes de journaux, tel que \n.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.
9. Cliquez sur Suivant.
10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.
11. Cliquez sur Générer une clé secrète pour générer une clé secrète permettant d'authentifier ce flux.
12. Copiez et stockez la clé secrète. Vous ne pourrez plus afficher cette clé secrète. Si nécessaire, vous pouvez générer une nouvelle clé secrète, mais l'ancienne deviendra obsolète.
13. Dans l'onglet Détails, copiez l'URL du point de terminaison du flux à partir du champ Informations sur le point de terminaison. Vous aurez besoin de cette URL HTTPS pour configurer votre application cliente Jamf Protect Telemetry.
14. Cliquez sur OK.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• Région : région dans laquelle se trouve le bucket Amazon S3.
• URI S3 : URI du bucket.
  • s3://your-log-bucket-name/
    • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.
• L'URI est : sélectionnez Répertoire ou Répertoire incluant les sous-répertoires, selon la structure de votre bucket.
• Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

• ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

• Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Créer une clé API pour un flux de webhook

1. Accédez à la consoleGoogle Cloud  > Identifiants.

   Accéder à "Identifiants"

2. Cliquez sur Créer des identifiants, puis sélectionnez Clé API.

3. Restreignez l'accès à la clé API à l'API Google Security Operations.

Configurer la télémétrie Jamf Protect pour un flux de webhook

1. Dans l'application Jamf Protect Telemetry, accédez à la configuration de l'action associée.
2. Pour ajouter un point de terminaison de données, cliquez sur Créer des actions.
3. Sélectionnez HTTP comme protocole.
4. Saisissez l'URL HTTPS du point de terminaison de l'API Google Security Operations dans le champ URL. (Il s'agit du champ Informations sur le point de terminaison que vous avez copié lors de la configuration du flux de webhook.) Il est déjà au format requis.)

5. Activez l'authentification en spécifiant la clé API et la clé secrète dans l'en-tête personnalisé au format suivant :

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recommandation : Spécifiez la clé API en tant qu'en-tête au lieu de la spécifier dans l'URL. Si votre client de webhook n'accepte pas les en-têtes personnalisés, vous pouvez spécifier la clé API et la clé secrète à l'aide de paramètres de requête au format suivant :

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Remplacez les éléments suivants :

   • ENDPOINT_URL : URL du point de terminaison du flux.
   • API_KEY : clé API pour s'authentifier auprès de Google Security Operations.
   • SECRET : clé secrète que vous avez générée pour authentifier le flux.

6. Dans la section Collect Logs (Collecter des journaux), sélectionnez Telemetry (Télémétrie).

7. Cliquez sur Envoyer.

Pour en savoir plus sur les flux Google Security Operations, consultez la documentation sur les flux Google Security Operations. Pour en savoir plus sur les exigences de chaque type de flux, consultez Configuration des flux par type.

Si vous rencontrez des problèmes lors de la création de flux, contactez l'assistance Google Security Operations.

Types de journaux de télémétrie Jamf Protect acceptés

L'analyseur de télémétrie Jamf Protect est compatible avec les types de journaux suivants :

Formats de journaux de télémétrie Jamf Protect acceptés

L'analyseur de télémétrie Jamf Protect est compatible avec les journaux au format JSON.

Exemples de journaux de télémétrie Jamf Protect compatibles

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

Référence du mappage de champs

Cette section explique comment l'analyseur Google Security Operations mappe les champs de télémétrie Jamf Protect aux champs du modèle de données unifié (UDM) Google Security Operations.

Référence du mappage des champs : identifiant d'événement vers type d'événement

Le tableau suivant liste les types de journaux JAMF_TELEMETRY et les types d'événements UDM correspondants.

Référence du mappage de champ : JAMF_TELEMETRY

Le tableau suivant liste les champs de journaux du type de journal JAMF_TELEMETRY et les champs UDM correspondants.

Étapes suivantes

• Ingestion de données dans Google Security Operations

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.