Mengumpulkan log Peristiwa Ancaman Jamf

Dokumen ini menjelaskan cara mengumpulkan log Peristiwa Ancaman Jamf dengan menyiapkan feed Google Security Operations dan cara pemetaan kolom log ke kolom Model Data Terpadu (UDM) Google SecOps. Dokumen ini juga mencantumkan versi Jamf Threat Events yang didukung.

Untuk mengetahui informasi selengkapnya, lihat Penyerapan data ke Google SecOps.

Deployment umum terdiri dari Jamf Threat Events dan feed Google SecOps yang dikonfigurasi untuk mengirim log ke Google SecOps. Setiap deployment pelanggan dapat berbeda dan mungkin lebih kompleks.

Deployment berisi komponen berikut:

• Jamf Protect: Platform Jamf Protect, yang dikonfigurasi dengan Jamf Security Cloud, tempat Anda mengumpulkan log ancaman jaringan.

• Feed Google SecOps: Feed Google SecOps yang mengambil log dari Jamf Protect dan menulis log ke Google SecOps.

• Google SecOps: Google SecOps menyimpan dan menganalisis log dari Jamf Protect.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan JAMF_THREAT_EVENTS.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Penyiapan Telemetri Jamf Protect
• Jamf Protect versi 4.0.0 atau yang lebih baru
• Semua sistem dalam arsitektur deployment dikonfigurasi dengan zona waktu UTC.

Menyiapkan feed dari Setelan SIEM > Feed

Anda dapat menggunakan Amazon S3 V2 atau webhook untuk menyiapkan feed penyerapan di Google SecOps.

Menyiapkan feed penyerapan menggunakan Amazon S3 V2

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik paket feed JAMF.
4. Temukan feed Jamf Protect Threat Events.
5. Pilih Amazon S3 V2 sebagai Jenis Sumber.

6. Tentukan nilai untuk kolom berikut.

   • URI S3: URI bucket.
     • s3://your-log-bucket-name/
       • Ganti your-log-bucket-name dengan nama sebenarnya bucket S3 Anda.
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.
   • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.
   • ID Kunci Akses: Kunci akses pengguna dengan izin untuk membaca dari bucket S3.
   • Kunci Akses Rahasia: Kunci rahasia pengguna dengan izin untuk membaca dari bucket S3.

   Opsi lanjutan

   • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

7. Klik Buat Feed.

Menyiapkan feed penyerapan menggunakan webhook

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik paket feed JAMF.
4. Temukan feed Jamf Protect Threat Events.
5. Dalam daftar Jenis Sumber, pilih Webhook.
6. Tentukan nilai untuk kolom berikut
   • Pembatas pemisahan: Pembatas yang digunakan untuk memisahkan baris log, seperti \n.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.
7. Klik Buat Feed.

Untuk mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Membuat kunci API untuk feed webhook

1. Buka konsol Google Cloud > Kredensial.

   Buka Kredensial

2. Klik Create credentials, lalu pilih API key.

3. Batasi akses kunci API ke Google Security Operations API.

Menyiapkan Jamf Security Cloud untuk feed webhook

1. Di aplikasi Jamf Security Cloud, buka Integrations > Data Streams.
2. Klik New Configuration.
3. Pilih Peristiwa Ancaman > HTTP Generik > Lanjutkan.
4. Di bagian HTTP Connection Configuration, pilih https sebagai protokol default.
5. Masukkan nama host server Anda di kolom Server Hostname/IP, seperti us-chronicle.googleapis.com.
6. Masukkan port server Anda di kolom Port, seperti 443.
7. Masukkan endpoint web Anda di kolom Endpoint. (Ini adalah kolom Endpoint Information yang Anda salin dari penyiapan feed webhook. Sudah dalam format yang diperlukan.)

8. Di bagian Header tambahan, masukkan setelan berikut, dengan setiap header adalah header kustom peka huruf besar/kecil yang Anda masukkan secara manual:

   • Nama header: X-goog-api-key, lalu klik Create option X-goog-api-key
   • Penyisipan nilai header: API_KEY (Kunci API untuk melakukan autentikasi ke Google SecOps.)
   • Nama header: X-Webhook-Access-Key, lalu klik Create option X-Webhook-Access-Key
   • Penyisipan nilai header: SECRET (Kunci rahasia yang Anda buat untuk mengautentikasi feed.)

9. Klik Test Configuration.

10. Jika berhasil, klik Buat Konfigurasi.

Untuk mengetahui informasi selengkapnya tentang feed Google SecOps, lihat Membuat dan mengelola feed menggunakan UI pengelolaan feed. Untuk mengetahui informasi tentang persyaratan untuk setiap jenis feed, lihat Feed configuration API.

Format log Peristiwa Ancaman Jamf yang didukung

Parser Peristiwa Ancaman Jamf mendukung log dalam format JSON.

Contoh log Peristiwa Ancaman Jamf yang didukung

• JSON

  {
    "event": {
      "metadata": {
        "schemaVersion": "1.0",
        "vendor": "Jamf",
        "product": "Threat Events Stream"
      },
      "timestamp": "2023-01-11T13:10:40.410Z",
      "alertId": "debd2e4b-9da1-454e-952d-18a00b42ffce",
      "account": {
        "customerId": "dummycustomerid",
        "parentId": "dummyparentid",
        "name": "Jamf Internal Test Accounts (root) - Jamf - CE Security Team"
      },
      "device": {
        "deviceId": "e9671102-5ccf-4e66-a6b3-b117ba257d5f",
        "os": "UNKNOWN 13.2.1",
        "deviceName": "Mac (13.2.1)",
        "userDeviceName": "darrow",
        "externalId": "0c221ae4-50af-5e39-8275-4424cc87ab8e"
      },
      "eventType": {
        "id": "303",
        "description": "Risky Host/Domain - Malware",
        "name": "ACCESS_BAD_HOST"
      },
      "app": {
        "id": "ru.freeapps.calc",
        "name": "MyFreeCalculator",
        "version": "10.4",
        "sha1": "c3499c2729730a7f807efb8676a92dcb6f8a3f8f",
        "sha256": "50d858e0985ecc7f60418aaf0cc5ab587f42c2570a884095a9e8ccacd0f6545"
      },
      "destination": {
        "name": "dummy.domain.org",
        "ip": "0000:1111:2222:3333:4444:5",
        "port": "80"
      },
      "source": {
        "ip": "198.51.100.1",
        "port": "243"
      },
      "location": "GB",
      "accessPoint": null,
      "accessPointBssid": "23:8f:cf:00:9d:23",
      "severity": 8,
      "user": {
        "email": "test.user@domain.io",
        "name": "Test User"
      },
      "eventUrl": "dummy.domain.com",
      "action": "Blocked"
    }
  }
  

Referensi pemetaan kolom

Tabel berikut menjelaskan cara parser Google SecOps memetakan kolom log Peristiwa Ancaman Jamf ke kolom Model Data Terpadu (UDM) Google SecOps.

Referensi pemetaan kolom: ID Peristiwa ke Jenis Peristiwa

Tabel berikut mencantumkan jenis log JAMF_THREAT_EVENTS dan jenis peristiwa UDM yang sesuai.

Referensi pemetaan kolom: JAMF_THREAT_EVENTS

Tabel berikut mencantumkan kolom log jenis log JAMF_THREAT_EVENTS dan kolom UDM yang sesuai.

Langkah berikutnya

• Penyerapan data ke Google SecOps

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.