Jamf Threat Events のログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Jamf Threat Events のログを収集する方法と、ログフィールドが Google SecOps の統合データモデル（UDM）フィールドにマッピングされる方法について説明します。このドキュメントでは、サポートされている Jamf Threat Events のバージョンも記載します。

詳細については、Google SecOps へのデータの取り込みをご覧ください。

一般的なデプロイは、Jamf Threat Events と、Google SecOps にログを送信するように構成された Google SecOps フィードで構成されます。お客様のデプロイはそれぞれ異なり、より複雑になる場合もあります。

デプロイには次のコンポーネントが含まれます。

• Jamf Protect: Jamf Security Cloud で構成された Jamf Protect プラットフォーム。ネットワーク脅威ログを収集します。

• Google SecOps フィード: Jamf Protect からログを取得して Google SecOps にログを書き込む Google SecOps フィード。

• Google SecOps: Google SecOps は Jamf Protect のログを保持して分析します。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル JAMF_THREAT_EVENTS が付加されたパーサーに適用されます。

始める前に

次の前提条件を満たしていることを確認します。

• Jamf Protect Telemetry の設定
• Jamf Protect バージョン 4.0.0 以降
• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンで構成されている。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

Amazon S3 または Webhook を使用して Google SecOps で取り込みフィードを設定できますが、Amazon S3 を使用することをおすすめします。

Amazon S3 を使用して取り込みフィードを設定する

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Jamf Threat Events Logs）。
5. [ソースタイプ] として [Amazon S3] を選択します。
6. Jamf Threat Events のフィードを作成するには、[ログタイプ] として [Jamf Protect Threat Events] を選択します。
7. [次へ] をクリックします。
8. フィードを保存し、[送信] をクリックします。
9. Jamf Threat Events で使用するフィード名から フィード ID をコピーします。

Webhook を使用して取り込みフィードを設定する

Google Security Operations 統合のお客様のみ:
このプロダクト ファミリー内の異なるログタイプに複数のフィードを構成するには、複数のフィードを構成するをご覧ください。

すべてのお客様:
単一のフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。Google SecOps SIEM スタンドアロン プラットフォームを使用している場合は、この手順をスキップします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Jamf Threat Events Logs）。
5. [ソースタイプ] リストで、[Webhook] を選択します。
6. Jamf Threat Events のフィードを作成するには、[ログタイプ] として [Jamf Protect Threat Events] を選択します。
7. [次へ] をクリックします。
8. 省略可: 次の入力パラメータの値を指定します。
   • Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
9. [次へ] をクリックします。
10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。
11. [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。
12. このシークレットは再び表示できないため、秘密鍵をコピーして保存します。新しいシークレット キーを再度生成できますが、シークレット キーを再生成すると、以前のシークレット キーは無効になります。
13. [詳細] タブで、[エンドポイント情報] フィールドから、フィードのエンドポイント URL をコピーします。このエンドポイント URL は、Jamf Threat Events アプリケーションで指定する必要があります。
14. [完了] をクリックします。
15. Jamf Threat Events でエンドポイント URL を指定します。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• リージョン: Amazon S3 バケットが配置されているリージョン。
• S3 URI: バケット URI。
  • s3://your-log-bucket-name/
    • your-log-bucket-name は、実際の S3 バケットの名前に置き換えます。
• URI is a: バケット構造に応じて、[ディレクトリ] または [サブディレクトリを含むディレクトリ] を選択します。
• Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

• アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。

• シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset Namespace: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

Webhook フィード用の API キーを作成する

1. Google Cloud コンソール > [認証情報] に移動します。

   [認証情報] に移動

2. [認証情報を作成] をクリックして [API キー] を選択します。

3. API キーのアクセスを Google Security Operations API に制限します。

Webhook フィード用に Jamf Security Cloud を設定する

1. Jamf Security Cloud アプリケーションで、[Integrations] > [Data Streams] に移動します。
2. [新しい構成] をクリックします。
3. [脅威イベント] > [汎用 HTTP] > [続行] を選択します。
4. [HTTP 接続構成] セクションで、デフォルトのプロトコルとして [https] を選択します。
5. [Server Hostname/IP] フィールドに、サーバーのホスト名（us-chronicle.googleapis.com など）を入力します。
6. [ポート] フィールドに、サーバーポート（443 など）を入力します。
7. [エンドポイント] フィールドにウェブ エンドポイントを入力します。（これは、Webhook フィードの設定からコピーした [エンドポイント情報] フィールドです。すでに必要な形式になっています。）

8. [追加のヘッダー] セクションで、次の設定を入力します。各ヘッダーは、手動で入力するカスタムの大文字と小文字が区別されるヘッダーです。

   • ヘッダー名: X-goog-api-key を入力し、[X-goog-api-key オプションを作成] をクリックします。
   • ヘッダー値の挿入: API_KEY（Google SecOps の認証に使用する API キー）。
   • ヘッダー名: X-Webhook-Access-Key を入力し、[Create option X-Webhook-Access-Key] をクリックします。
   • ヘッダー値の挿入: SECRET（フィードの認証用に生成した秘密鍵）。

9. [Test Configuration] をクリックします。

10. 成功したら、[構成を作成] をクリックします。

Google SecOps フィードの詳細については、フィード管理 UI を使用してフィードを作成および管理するをご覧ください。各フィードタイプの要件については、フィード構成 API をご覧ください。

サポートされている Jamf Threat Events のログ形式

Jamf Threat Events パーサーは JSON 形式のログをサポートしています。

サポートされている Jamf Threat Events のサンプルログ

• JSON

  {
    "event": {
      "metadata": {
        "schemaVersion": "1.0",
        "vendor": "Jamf",
        "product": "Threat Events Stream"
      },
      "timestamp": "2023-01-11T13:10:40.410Z",
      "alertId": "debd2e4b-9da1-454e-952d-18a00b42ffce",
      "account": {
        "customerId": "dummycustomerid",
        "parentId": "dummyparentid",
        "name": "Jamf Internal Test Accounts (root) - Jamf - CE Security Team"
      },
      "device": {
        "deviceId": "e9671102-5ccf-4e66-a6b3-b117ba257d5f",
        "os": "UNKNOWN 13.2.1",
        "deviceName": "Mac (13.2.1)",
        "userDeviceName": "darrow",
        "externalId": "0c221ae4-50af-5e39-8275-4424cc87ab8e"
      },
      "eventType": {
        "id": "303",
        "description": "Risky Host/Domain - Malware",
        "name": "ACCESS_BAD_HOST"
      },
      "app": {
        "id": "ru.freeapps.calc",
        "name": "MyFreeCalculator",
        "version": "10.4",
        "sha1": "c3499c2729730a7f807efb8676a92dcb6f8a3f8f",
        "sha256": "50d858e0985ecc7f60418aaf0cc5ab587f42c2570a884095a9e8ccacd0f6545"
      },
      "destination": {
        "name": "dummy.domain.org",
        "ip": "0000:1111:2222:3333:4444:5",
        "port": "80"
      },
      "source": {
        "ip": "198.51.100.1",
        "port": "243"
      },
      "location": "GB",
      "accessPoint": null,
      "accessPointBssid": "23:8f:cf:00:9d:23",
      "severity": 8,
      "user": {
        "email": "test.user@domain.io",
        "name": "Test User"
      },
      "eventUrl": "dummy.domain.com",
      "action": "Blocked"
    }
  }
  

フィールド マッピング リファレンス

次の表は、Google SecOps パーサーが Jamf Threat Events ログフィールドを Google SecOps Unified Data Model（UDM）フィールドにマッピングする方法を示しています。

フィールド マッピング リファレンス: イベント識別子からイベントタイプへ

次の表に、JAMF_THREAT_EVENTS ログタイプと対応する UDM のイベントの種類を示します。

フィールド マッピング リファレンス: JAMF_THREAT_EVENTS

次の表に、JAMF_THREAT_EVENTS ログタイプのログ フィールドと、対応する UDM フィールドを示します。

次のステップ

• Google SecOps へのデータ取り込み

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。