Raccogliere i log di telemetria di Jamf Protect

Questo documento descrive come raccogliere i log di telemetria di Jamf Protect configurando un feed di Google Security Operations e come i campi dei log vengono mappati ai campi del modello unificato dei dati (UDM) di Google Security Operations. Questo documento elenca anche la versione di Jamf Protect Telemetry supportata.

Per ulteriori informazioni, consulta Importazione dei dati in Google Security Operations.

Un deployment tipico è costituito dalla telemetria di Jamf Protect e dal feed di Google Security Operations configurato per inviare i log a Google Security Operations. Ogni implementazione del cliente può variare ed essere più complessa.

Il deployment contiene i seguenti componenti:

• Jamf Protect Telemetry. La piattaforma di telemetria Jamf Protect da cui raccogli i log.

• Feed Google Security Operations. Il feed Google Security Operations che recupera i log dalla telemetria di Jamf Protect e li scrive in Google Security Operations.

• Google Security Operations. Google Security Operations conserva e analizza i log della telemetria di Jamf Protect.

Un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione JAMF_TELEMETRY.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Una configurazione di Jamf Protect Telemetry
• Jamf Protect versione 4.0.0 o successive
• Tutti i sistemi nell'architettura di deployment sono configurati con il fuso orario UTC.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Hub dei contenuti > Pacchetti di contenuti

Configurare i feed da Impostazioni SIEM > Feed

Puoi utilizzare Amazon S3 o un webhook per configurare un feed di importazione in Google Security Operations, ma ti consigliamo di utilizzare Amazon S3.

Configurare un feed di importazione in Google SecOps utilizzando Amazon S3

Per configurare più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare i feed per prodotto.

Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Log di telemetria Jamf.
5. Seleziona Amazon S3 come Tipo di origine.
6. Per creare un feed per Jamf Protect Telemetry, seleziona Jamf Protect Telemetry come Tipo di log.
7. Fai clic su Avanti.
8. Salva il feed, quindi fai clic su Invia.
9. Copia l'ID feed dal nome del feed da utilizzare in Jamf Protect Telemetry.

Configura un feed di importazione in Google SecOps utilizzando un webhook

Solo per i clienti unificati di Google Security Operations:
Per configurare più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare più feed.

Per tutti i clienti:
Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed. Ignora questo passaggio se utilizzi la piattaforma autonoma Google SecOps SIEM.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Log di telemetria Jamf.
5. Nell'elenco Tipo di origine, seleziona Webhook.
6. Per creare un feed per Jamf Protect Telemetry, seleziona Jamf Protect Telemetry come Tipo di log.
7. Fai clic su Avanti.
8. (Facoltativo) Specifica i valori per i seguenti parametri di input:
   • Delimitatore di suddivisione: il delimitatore utilizzato per separare le righe di log, ad esempio \n.
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
9. Fai clic su Avanti.
10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
11. Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.
12. Copia e memorizza la chiave segreta. Non puoi visualizzare di nuovo questa chiave segreta. Se necessario, puoi rigenerare una nuova chiave segreta, ma questa azione rende obsoleta la chiave segreta precedente.
13. Nella scheda Dettagli, copia l'URL dell'endpoint del feed dal campo Informazioni sull'endpoint. Avrai bisogno di questo URL HTTPS per configurare l'applicazione client Jamf Protect Telemetry.
14. Fai clic su Fine.

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

• Region (Regione): la regione in cui si trova il bucket Amazon S3.
• URI S3: l'URI del bucket.
  • s3://your-log-bucket-name/
    • Sostituisci your-log-bucket-name con il nome effettivo del tuo bucket S3.
• L'URI è un: seleziona Directory o Directory che include sottodirectory, a seconda della struttura del bucket.
• Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

• ID chiave di accesso: la chiave di accesso dell'utente con autorizzazioni di lettura dal bucket S3.

• Chiave di accesso segreta: la chiave segreta dell'utente con le autorizzazioni per leggere dal bucket S3.

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
• Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Crea una chiave API per un feed webhook

1. Vai alla consoleGoogle Cloud > Credenziali.

   Vai a credenziali

2. Fai clic su Crea credenziali e poi seleziona Chiave API.

3. Limita l'accesso della chiave API all'API Google Security Operations.

Configurare la telemetria di Jamf Protect per un feed webhook

1. Nell'applicazione Jamf Protect Telemetry, vai alla configurazione dell'azione correlata.
2. Per aggiungere un nuovo endpoint dati, fai clic su Crea azioni.
3. Seleziona HTTP come protocollo.
4. Inserisci l'URL HTTPS dell'endpoint API Google Security Operations nel campo URL. Si tratta del campo Endpoint Information (Informazioni sull'endpoint) che hai copiato dalla configurazione del feed webhook. È già nel formato richiesto.)

5. Attiva l'autenticazione specificando la chiave API e la chiave segreta come parte dell'intestazione personalizzata nel seguente formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Consiglio: specifica la chiave API come intestazione anziché nell'URL. Se il client webhook non supporta le intestazioni personalizzate, puoi specificare la chiave API e la chiave segreta utilizzando parametri di ricerca nel seguente formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Sostituisci quanto segue:

   • ENDPOINT_URL: l'URL dell'endpoint del feed.
   • API_KEY: la chiave API per l'autenticazione a Google Security Operations.
   • SECRET: la chiave segreta che hai generato per autenticare il feed.

6. Nella sezione Raccogli log, seleziona Telemetria.

7. Fai clic su Invia.

Per saperne di più sui feed di Google Security Operations, consulta la documentazione sui feed di Google Security Operations. Per informazioni sui requisiti per ciascun tipo di feed, consulta Configurazione dei feed per tipo.

Se riscontri problemi durante la creazione dei feed, contatta l'assistenza Google Security Operations.

Tipi di log di telemetria di Jamf Protect supportati

Il parser di telemetria di Jamf Protect supporta i seguenti tipi di log:

Formati dei log di telemetria Jamf Protect supportati

Il parser di Jamf Protect Telemetry supporta i log in formato JSON.

Log di esempio di telemetria Jamf Protect supportati

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

Riferimento alla mappatura dei campi

Questa sezione spiega come il parser di Google Security Operations mappa i campi di telemetria di Jamf Protect ai campi del modello unificato dei dati (UDM) di Google Security Operations.

Riferimento alla mappatura dei campi: identificatore evento e tipo di evento

La tabella seguente elenca i tipi di log JAMF_TELEMETRY e i relativi tipi di eventi UDM.

Riferimento per la mappatura dei campi: JAMF_TELEMETRY

La tabella seguente elenca i campi di log del tipo di log JAMF_TELEMETRY e i relativi campi UDM.

Passaggi successivi

• Importazione dei dati in Google Security Operations

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.