Jamf Protect Telemetry のログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Jamf Protect Telemetry のログを収集する方法と、ログフィールドが Google Security Operations の Unified Data Model（UDM）フィールドにマッピングされる方法について説明します。このドキュメントでは、サポートされている Jamf Protect Telemetry のバージョンも記載します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

一般的なデプロイは、Jamf Protect Telemetry と Google Security Operations にログを送信するように構成された Google Security Operations フィードで構成されます。お客様のデプロイはそれぞれ異なり、より複雑になる場合もあります。

デプロイには次のコンポーネントが含まれます。

• Jamf Protect Telemetry。ログの収集元となる Jamf Protect Telemetry プラットフォーム。

• Google Security Operations　フィードJamf Protect Telemetry からログを取得して Google Security Operations にログを書き込む Google Security Operations フィード。

• Google Security OperationsGoogle Security Operations は Jamf Protect Telemetry のログを保持して分析します。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル JAMF_TELEMETRY が付加されたパーサーに適用されます。

始める前に

次の前提条件を満たしていることを確認します。

• Jamf Protect Telemetry の設定
• Jamf Protect バージョン 4.0.0 以降
• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンで構成されている。

[SIEM 設定] > [フィード] でフィードを設定する

Amazon S3 V2 または Webhook を使用して、Google Security Operations で取り込みフィードを設定できます。

Amazon S3 V2 を使用して Google SecOps で取り込みフィードを設定する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [JAMF] フィードパックをクリックします。
4. [Jamf Protect Telemetry] ログタイプを見つけます。
5. [ソースタイプ] として [Amazon S3 V2] を選択します。

6. 次のフィールドに値を指定します。

   • S3 URI: バケット URI。
     • s3://your-log-bucket-name/
       • your-log-bucket-name は、実際の S3 バケットの名前に置き換えます。
   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。
   • アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。
   • ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
   • シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

   詳細オプション

   • フィード名: フィードを識別する事前入力された値。
   • Asset Namespace: フィードに関連付けられた名前空間。
   • Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

7. [フィードを作成] をクリックします。

Webhook を使用して Google SecOps で取り込みフィードを設定する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [JAMF] フィードパックをクリックします。
4. [Jamf Protect Telemetry] ログタイプを見つけます。
5. [ソースタイプ] リストで、[Webhook] を選択します。
6. 次のフィールドに値を指定します。
   • Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
7. [フィードを作成] をクリックします。

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

Webhook フィード用の API キーを作成する

1. Google Cloud コンソール > [認証情報] に移動します。

   [認証情報] に移動

2. [認証情報を作成] をクリックして [API キー] を選択します。

3. API キーのアクセスを Google Security Operations API に制限します。

Webhook フィード用に Jamf Protect Telemetry を設定する

1. Jamf Protect Telemetry アプリケーションで、関連するアクション構成に移動します。
2. 新しいデータ エンドポイントを追加するには、[アクションを作成] をクリックします。
3. プロトコルとして [HTTP] を選択します。
4. [URL] フィールドに、Google Security Operations API エンドポイントの HTTPS URL を入力します。（これは、Webhook フィードの設定からコピーした [エンドポイント情報] フィールドです。すでに必要な形式になっています。）

5. 次の形式でカスタム ヘッダーの一部として API キーと秘密鍵を指定して、認証を有効にします。

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   推奨事項: API キーは URL 内ではなくヘッダーとして指定してください。Webhook クライアントがカスタム ヘッダーをサポートしていない場合は、次の形式のクエリ パラメータを使用して API キーと秘密鍵を指定できます。

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   以下を置き換えます。

   • ENDPOINT_URL: フィード エンドポイントの URL。
   • API_KEY: Google Security Operations に対する認証に使用する API キー。
   • SECRET: フィードの認証用に生成した秘密鍵。

6. [ログの収集] セクションで、[テレメトリー] を選択します。

7. [送信] をクリックします。

Google Security Operations　フィードの詳細については、Google Security Operations　フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

フィードの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

サポートされている Jamf Protect Telemetry ログタイプ

Jamf Protect Telemetry パーサーは次のログタイプをサポートしています。

サポートされている Jamf Protect Telemetry のログ形式

Jamf Protect Telemetry パーサーは JSON 形式のログをサポートしています。

サポートされている Jamf Protect Telemetry のサンプルログ

• JSON

  {
    "exec_chain": {
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E"
    },
    "exec_chain_child": {
      "parent_path": "/sbin/launchd",
      "parent_pid": 1,
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02"
    },
    "header": {
      "time_seconds_epoch": 1657906179,
      "time_milliseconds_offset": 848,
      "version": 11,
      "event_modifier": 0,
      "event_id": 45018,
      "event_name": "AUE_add_to_group"
    },
    "host_info": {
      "serial_number": "C03WG0H4HDTS",
      "host_name": "Test_MacBook_Pro",
      "osversion": "Version 12.4 (Build 21F79)",
      "host_uuid": "8891C1E2-0AC0-4E4A-844B-EA491B14D115"
    },
    "identity": {
      "signer_id": "dummy.domain.opendirectoryd",
      "team_id_truncated": false,
      "signer_id_truncated": false,
      "cd_hash": "68d22bdec020f20010bfa9d27cd5f69d78427636",
      "team_id": "",
      "signer_type": 1
    },
    "key": "21E48D3B-4965-4072-81BF-83BE04A329C2",
    "return": {
      "error": 0,
      "description": "success",
      "return_value": 0
    },
    "subject": {
      "session_id": 100003,
      "group_id": 20,
      "process_name": "/System/Library/PreferencePanes/Accounts.prefPane/Contents/XPCServices/com.apple.preferences.users.remoteservice.xpc/Contents/MacOS/com.apple.preferences.users.remoteservice",
      "parent_pid": 1,
      "effective_user_name": "jamf",
      "user_id": 501,
      "group_name": "staff",
      "parent_uuid": "4AB281FE-6D4A-4E79-8508-E91FCA39BA02",
      "uuid": "F6095AEA-C5CB-4AAB-8FC7-70B9D454319E",
      "effective_group_id": 20,
      "process_hash": "507494616e05a5eb909794354fe69f29e432f2a7",
      "audit_id": 501,
      "responsible_process_id": 1391,
      "parent_path": "/sbin/launchd",
      "process_id": 1701,
      "effective_group_name": "staff",
      "audit_user_name": "jamf",
      "effective_user_id": 501,
      "terminal_id": {
        "type": 4,
        "ip_address": "198.51.100.0",
        "port": 4278
      },
      "responsible_process_name": "/System/Applications/System Preferences.app/Contents/MacOS/System Preferences",
      "user_name": "jamf"
    },
    "texts": [
      "Added Groups membership username to '_lpadmin' node '/Local/Default', value = 'baddie'"
    ]
  }
  

フィールド マッピング リファレンス

このセクションでは、Google Security Operations パーサーが Jamf Protect Telemetry フィールドを Google Security Operations の統合データモデル（UDM）フィールドにマッピングする方法について説明します。

フィールド マッピング リファレンス: イベント識別子からイベントタイプへ

次の表に、JAMF_TELEMETRY ログタイプと対応する UDM のイベントの種類を示します。

フィールド マッピング リファレンス: JAMF_TELEMETRY

次の表に、JAMF_TELEMETRY ログタイプのログ フィールドと、対応する UDM フィールドを示します。

次のステップ

• Google Security Operations へのデータの取り込み

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。