Mengumpulkan log Telemetri Jamf Protect

Dokumen ini menjelaskan cara mengumpulkan log Telemetri Jamf Protect dengan menyiapkan feed Google Security Operations dan cara pemetaan kolom log ke kolom Model Data Terpadu (UDM) Google Security Operations. Dokumen ini juga mencantumkan versi Telemetri Jamf Protect yang didukung.

Untuk mengetahui informasi selengkapnya, lihat Penyerapan data ke Google Security Operations.

Deployment umum terdiri dari Telemetri Jamf Protect dan feed Google Security Operations yang dikonfigurasi untuk mengirim log ke Google Security Operations. Setiap deployment pelanggan dapat berbeda dan mungkin lebih kompleks.

Deployment berisi komponen berikut:

• Telemetri Jamf Protect. Platform Telemetri Jamf Protect tempat Anda mengumpulkan log.

• Feed Google Security Operations. Feed Google Security Operations yang mengambil log dari Telemetri Jamf Protect dan menulis log ke Google Security Operations.

• Google Security Operations. Google Security Operations menyimpan dan menganalisis log dari Telemetri Jamf Protect.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan JAMF_TELEMETRY.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Penyiapan Telemetri Jamf Protect
• Jamf Protect versi 4.0.0 atau yang lebih baru
• Semua sistem dalam arsitektur deployment dikonfigurasi dengan zona waktu UTC.

Menyiapkan feed dari Setelan SIEM > Feed

Anda dapat menggunakan Amazon S3 V2 atau webhook untuk menyiapkan feed penyerapan di Google Security Operations.

Menyiapkan feed penyerapan di Google SecOps menggunakan Amazon S3 V2

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik paket feed JAMF.
4. Cari jenis log Jamf Protect Telemetry.
5. Pilih Amazon S3 V2 sebagai Jenis sumber.

6. Tentukan nilai untuk kolom berikut:

   • URI S3: URI bucket.
     • s3://your-log-bucket-name/
       • Ganti your-log-bucket-name dengan nama sebenarnya bucket S3 Anda.
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.
   • ID Kunci Akses: Kunci akses pengguna dengan izin untuk membaca dari bucket S3.
   • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.
   • Kunci Akses Rahasia: Kunci rahasia pengguna dengan izin untuk membaca dari bucket S3.

   Opsi lanjutan

   • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

7. Klik Buat Feed.

Menyiapkan feed penyerapan di Google SecOps menggunakan webhook

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik paket feed JAMF.
4. Cari jenis log Jamf Protect Telemetry.
5. Dalam daftar Jenis sumber, pilih Webhook.
6. Tentukan nilai untuk kolom berikut:
   • Pembatas pemisahan: Pembatas yang digunakan untuk memisahkan baris log, seperti \n.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.
7. Klik Buat Feed.

Untuk mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Membuat kunci API untuk feed webhook

1. Buka konsol Google Cloud > Kredensial.

   Buka Kredensial

2. Klik Create credentials, lalu pilih API key.

3. Batasi akses kunci API ke Google Security Operations API.

Menyiapkan Telemetri Jamf Protect untuk feed webhook

1. Di aplikasi Telemetri Jamf Protect, buka Konfigurasi tindakan terkait.
2. Untuk menambahkan endpoint Data baru, klik Buat Tindakan.
3. Pilih HTTP sebagai protokol.
4. Masukkan URL HTTPS endpoint Google Security Operations API di kolom URL. (Ini adalah kolom Endpoint Information yang Anda salin dari penyiapan feed webhook. sudah dalam format yang diperlukan.)

5. Aktifkan autentikasi dengan menentukan Kunci API dan Kunci rahasia sebagai bagian dari header kustom dalam format berikut:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Rekomendasi: Tentukan kunci API sebagai header, bukan menentukannya di URL. Jika klien webhook Anda tidak mendukung header kustom, Anda dapat menentukan kunci API dan kunci rahasia menggunakan parameter kueri dalam format berikut:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ganti kode berikut:

   • ENDPOINT_URL: URL endpoint feed.
   • API_KEY: Kunci API untuk mengautentikasi ke Google Security Operations.
   • SECRET: Kunci rahasia yang Anda buat untuk mengautentikasi feed.

6. Di bagian Collect Logs, pilih Telemetry.

7. Klik Kirim.

Untuk mengetahui informasi selengkapnya tentang feed Google Security Operations, lihat dokumentasi feed Google Security Operations. Untuk mengetahui informasi tentang persyaratan untuk setiap jenis feed, lihat Konfigurasi feed menurut jenis.

Jika Anda mengalami masalah saat membuat feed, hubungi dukungan Operasi Keamanan Google.

Jenis log Telemetri Jamf Protect yang didukung

Parser Telemetri Jamf Protect mendukung jenis log berikut:

Format log Telemetri Jamf Protect yang didukung

Parser Telemetri Jamf Protect mendukung log dalam format JSON.

Log contoh Telemetri Jamf Protect yang didukung

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

Referensi pemetaan kolom

Bagian ini menjelaskan cara parser Google Security Operations memetakan kolom Telemetri Jamf Protect ke kolom Model Data Terpadu (UDM) Google Security Operations.

Referensi pemetaan kolom: ID Peristiwa ke Jenis Peristiwa

Tabel berikut mencantumkan jenis log JAMF_TELEMETRY dan jenis peristiwa UDM yang sesuai.

Referensi pemetaan kolom: JAMF_TELEMETRY

Tabel berikut mencantumkan kolom log jenis log JAMF_TELEMETRY dan kolom UDM yang sesuai.

Langkah berikutnya

• Penyerapan data ke Google Security Operations

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.