Jamf-Bedrohungsereignisprotokolle erfassen

In diesem Dokument wird beschrieben, wie Sie Jamf-Bedrohungsereignis-Logs erfassen, indem Sie einen Google Security Operations-Feed einrichten, und wie Logfelder UDM-Feldern (Unified Data Model) von Google SecOps zugeordnet werden. In diesem Dokument wird auch die unterstützte Version von Jamf Threat Events aufgeführt.

Weitere Informationen finden Sie unter Datenaufnahme in Google SecOps.

Eine typische Bereitstellung besteht aus Jamf Threat Events und dem Google SecOps-Feed, der so konfiguriert ist, dass Protokolle an Google SecOps gesendet werden. Jede Kundenbereitstellung kann sich unterscheiden und komplexer sein.

Die Bereitstellung enthält die folgenden Komponenten:

• Jamf Protect: Die mit Jamf Security Cloud konfigurierte Jamf Protect-Plattform, auf der Sie Logs zu Netzwerkbedrohungen erfassen.

• Google SecOps-Feed: Der Google SecOps-Feed, mit dem Protokolle aus Jamf Protect abgerufen und in Google SecOps geschrieben werden.

• Google SecOps: In Google SecOps werden die Logs von Jamf Protect aufbewahrt und analysiert.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Aufnahme-Label JAMF_THREAT_EVENTS.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Jamf Protect-Telemetrie ist eingerichtet.
• Jamf Protect-Version 4.0.0 oder höher
• Alle Systeme in der Bereitstellungsarchitektur sind mit der UTC-Zeitzone konfiguriert.

Feeds über die SIEM-Einstellungen > „Feeds“ einrichten

Sie können entweder Amazon S3 V2 oder einen Webhook verwenden, um einen Ingestion-Feed in Google SecOps einzurichten.

Aufnahme-Feed mit Amazon S3 V2 einrichten

1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf das JAMF-Feedpaket.
4. Suchen Sie nach dem Feed Jamf Protect Threat Events (Jamf Protect-Bedrohungsereignisse).
5. Wählen Sie Amazon S3 V2 als Quelltyp aus.

6. Geben Sie die Werte für die folgenden Felder an.

   • S3-URI: Der Bucket-URI.
     • s3://your-log-bucket-name/
       • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
   • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.
   • Maximales Dateialter: Enthält Dateien, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
   • Access Key ID (Zugriffsschlüssel-ID): Der Zugriffsschlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.
   • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

   Erweiterte Optionen

   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
   • Asset-Namespace: Namespace, der dem Feed zugeordnet ist.
   • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

7. Klicken Sie auf Feed erstellen.

Aufnahme-Feed mit einem Webhook einrichten

1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf das JAMF-Feedpaket.
4. Suchen Sie nach dem Feed Jamf Protect Threat Events (Jamf Protect-Bedrohungsereignisse).
5. Wählen Sie in der Liste Quelltyp die Option Webhook aus.
6. Geben Sie Werte für die folgenden Felder an:
   • Trennzeichen für Aufteilung: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
7. Klicken Sie auf Feed erstellen.

Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

API-Schlüssel für einen Webhook-Feed erstellen

1. Rufen Sie die Google Cloud Console > Anmeldedaten auf.

   Zu den Anmeldedaten

2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.

3. Schränken Sie den API-Schlüsselzugriff auf die Google Security Operations API ein.

Jamf Security Cloud für einen Webhook-Feed einrichten

1. Rufen Sie in der Jamf Security Cloud-Anwendung Integrationen > Datenstreams auf.
2. Klicken Sie auf Neue Konfiguration.
3. Wählen Sie Threat Events > Generic HTTP > Continue aus.
4. Wählen Sie im Abschnitt HTTP-Verbindung konfigurieren https als Standardprotokoll aus.
5. Geben Sie den Hostnamen Ihres Servers in das Feld Server Hostname/IP (Hostname/IP des Servers) ein, z. B. us-chronicle.googleapis.com.
6. Geben Sie Ihren Serverport in das Feld Port ein, z. B. 443.
7. Geben Sie Ihren Webendpunkt in das Feld Endpunkt ein. Dies ist das Feld Endpoint Information (Endpunktinformationen), das Sie bei der Einrichtung des Webhook-Feeds kopiert haben. Sie ist bereits im erforderlichen Format.)

8. Geben Sie im Abschnitt Zusätzliche Header die folgenden Einstellungen ein. Jeder Header ist ein benutzerdefinierter, berücksichtigungsfähiger Header, den Sie manuell eingeben:

   • Header-Name: X-goog-api-key. Klicken Sie auf Option „X-goog-api-key“ erstellen.
   • Header-Wert einfügen: API_KEY (Der API-Schlüssel zur Authentifizierung bei Google SecOps.)
   • Headername: X-Webhook-Access-Key. Klicken Sie auf Option „X-Webhook-Access-Key“ erstellen.
   • Header-Wert einfügen: SECRET (der geheime Schlüssel, den Sie zum Authentifizieren des Feeds generiert haben)

9. Klicken Sie auf Testkonfiguration.

10. Klicken Sie bei Erfolg auf Konfiguration erstellen.

Weitere Informationen zu Google SecOps-Feeds finden Sie unter Feeds über die Benutzeroberfläche für die Feedverwaltung erstellen und verwalten. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feed Configuration API.

Unterstützte Protokollformate für Jamf-Bedrohungsereignisse

Der Jamf Threat Events-Parser unterstützt Protokolle im JSON-Format.

Beispielprotokolle für unterstützte Jamf-Bedrohungsereignisse

• JSON

  {
    "event": {
      "metadata": {
        "schemaVersion": "1.0",
        "vendor": "Jamf",
        "product": "Threat Events Stream"
      },
      "timestamp": "2023-01-11T13:10:40.410Z",
      "alertId": "debd2e4b-9da1-454e-952d-18a00b42ffce",
      "account": {
        "customerId": "dummycustomerid",
        "parentId": "dummyparentid",
        "name": "Jamf Internal Test Accounts (root) - Jamf - CE Security Team"
      },
      "device": {
        "deviceId": "e9671102-5ccf-4e66-a6b3-b117ba257d5f",
        "os": "UNKNOWN 13.2.1",
        "deviceName": "Mac (13.2.1)",
        "userDeviceName": "darrow",
        "externalId": "0c221ae4-50af-5e39-8275-4424cc87ab8e"
      },
      "eventType": {
        "id": "303",
        "description": "Risky Host/Domain - Malware",
        "name": "ACCESS_BAD_HOST"
      },
      "app": {
        "id": "ru.freeapps.calc",
        "name": "MyFreeCalculator",
        "version": "10.4",
        "sha1": "c3499c2729730a7f807efb8676a92dcb6f8a3f8f",
        "sha256": "50d858e0985ecc7f60418aaf0cc5ab587f42c2570a884095a9e8ccacd0f6545"
      },
      "destination": {
        "name": "dummy.domain.org",
        "ip": "0000:1111:2222:3333:4444:5",
        "port": "80"
      },
      "source": {
        "ip": "198.51.100.1",
        "port": "243"
      },
      "location": "GB",
      "accessPoint": null,
      "accessPointBssid": "23:8f:cf:00:9d:23",
      "severity": 8,
      "user": {
        "email": "test.user@domain.io",
        "name": "Test User"
      },
      "eventUrl": "dummy.domain.com",
      "action": "Blocked"
    }
  }
  

Referenz zur Feldzuordnung

In der folgenden Tabelle wird erläutert, wie der Google SecOps-Parser Felder aus Jamf Threat Events-Logs Feldern des Google SecOps Unified Data Model (UDM) zuordnet.

Feldzuordnung: Ereignis-ID zu Ereignistyp

In der folgenden Tabelle sind die JAMF_THREAT_EVENTS-Logtypen und die entsprechenden UDM-Ereignistypen aufgeführt.

Referenz zur Feldzuordnung: JAMF_THREAT_EVENTS

In der folgenden Tabelle sind die Logfelder des Logtyps JAMF_THREAT_EVENTS und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google SecOps

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten