收集 Jamf 威胁事件日志
支持的平台：
Google SecOps
SIEM
本文档介绍了如何通过设置 Google 安全运营 Feed 来收集 Jamf 威胁事件日志，以及日志字段如何映射到 Google SecOps 统一数据模型 (UDM) 字段。本文档还列出了受支持的 Jamf Threat Events 版本。
如需了解详情，请参阅将数据提取到 Google SecOps。
典型的部署包括 Jamf 威胁事件和配置为将日志发送到 Google SecOps 的 Google SecOps Feed。每个客户部署都可能不同，并且可能更复杂。
该部署包含以下组件：
Jamf Protect：使用 Jamf Security Cloud 配置的 Jamf Protect 平台，您可以在其中收集网络威胁日志。
Google SecOps Feed：用于从 Jamf Protect 提取日志并将日志写入 Google SecOps 的 Google SecOps Feed。
Google SecOps：Google SecOps 会保留和分析 Jamf Protect 的日志。
注入标签标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 JAMF_THREAT_EVENTS 注入标签的解析器。
准备工作
- 确保您已设置 Jamf Protect。
- 确保您使用的是 Jamf Protect 4.0.0 或更高版本。
- 确保部署架构中的所有系统都使用世界协调时间 (UTC) 时区进行配置。
在 Google SecOps 中配置 Feed 以提取 Jamf 威胁事件日志
您可以使用 Amazon S3 或 webhook 在 Google SecOps 中设置提取 Feed，但我们建议您使用 Amazon S3。
使用 Amazon S3 设置提取 Feed
- 在 Google SecOps 菜单中，依次选择设置 > Feed > 添加新 Feed。
- 选择 Amazon S3 作为来源类型。
- 如需为 Jamf 威胁事件创建 Feed，请选择 Jamf Protect Threat Events 作为日志类型。
- 点击下一步。
- 保存 Feed，然后提交。
- 从 Feed 名称中复制 Feed ID，以便在 Jamf 威胁事件中使用。
使用网络钩子设置提取 Feed
- 在 Google SecOps 菜单中，依次选择设置 > Feed > 添加新 Feed。
- 在Feed 名称字段中，输入 Feed 的名称。
- 在来源类型列表中，选择 Webhook。
- 如需为 Jamf 威胁事件创建 Feed，请选择 Jamf Protect Threat Events 作为日志类型。
- 点击下一步。
- 可选：为以下输入参数指定值：
- 分隔符：用于分隔日志行（例如
\n）的分隔符。 - 资源命名空间：资源命名空间。
- 提取标签：要应用于此 Feed 中的事件的标签。
- 分隔符：用于分隔日志行（例如
- 点击下一步。
- 在最终确定界面中查看新的 Feed 配置，然后点击提交。
- 点击生成 Secret 密钥，生成用于对此 Feed 进行身份验证的 Secret 密钥。
- 复制并存储 Secret 密钥，因为您将无法再次查看此 Secret。您可以重新生成新的密钥，但重新生成密钥会使之前的密钥过时。
- 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在 Jamf Threat Events 应用中指定此端点网址。
- 点击完成。
- 在 Jamf 威胁事件中指定端点网址。
为网络钩子 Feed 创建 API 密钥
依次前往 Google Cloud 控制台 > 凭据。
点击创建凭据，然后选择 API 密钥。
限制 API 密钥对 Google Security Operations API 的访问权限。
为 webhook Feed 设置 Jamf Security Cloud
- 在 Jamf Security Cloud 应用中，依次选择集成 > 数据流。
- 点击新建配置。
- 依次选择威胁事件 > 通用 HTTP > 继续。
- 在 HTTP 连接配置部分中，选择 https 作为默认协议。
- 在服务器主机名/IP 字段中输入服务器主机名，例如
us-chronicle.googleapis.com。 - 在 Port 字段中输入服务器端口，例如
443。 - 在端点字段中输入您的网站端点。（这是您从网站钩子 Feed 设置中复制的端点信息字段。它已经采用了所需的格式。）
在其他标头部分中，输入以下设置，其中每个标头都是您手动输入的区分大小写的自定义标头：
- 标头名称：X-goog-api-key，然后点击创建选项 X-goog-api-key
- Header 值插入：API_KEY（用于向 Google SecOps 进行身份验证的 API 密钥）。
- 标头名称：X-Webhook-Access-Key，然后点击创建选项 X-Webhook-Access-Key
- 标头值插入：SECRET（您为对 Feed 进行身份验证而生成的密钥）。
点击测试配置。
如果成功，请点击创建配置。
如需详细了解 Google SecOps Feed，请参阅使用 Feed 管理界面创建和管理 Feed。如需了解每种 Feed 类型的要求，请参阅 Feed 配置 API。
字段映射参考文档
下表说明了 Google SecOps 解析器如何将 Jamf 威胁事件日志字段映射到 Google SecOps 统一数据模型 (UDM) 字段。
字段映射参考信息：事件标识符到事件类型
下表列出了JAMF_THREAT_EVENTS 日志类型及其对应的 UDM 事件类型。
| Event Identifier | Event Type | Security Category |
|---|---|---|
MALICIOUS_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
ADWARE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
BANKER_MALWARE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
POTENTIALLY_UNWANTED_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
RANSOMWARE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
ROOTING_MALWARE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
SMS_MALWARE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
SPYWARE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
TROJAN_MALWARE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
THIRD_PARTY_APP_STORES_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
ADMIN_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
SIDE_LOADED_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
VULNERABLE_APP_IN_INVENTORY |
SCAN_UNCATEGORIZED |
SOFTWARE_MALICIOUS, SOFTWARE_PUA |
SSL_TRUST_COMPROMISE |
SCAN_NETWORK |
NETWORK_SUSPICIOUS |
JAILBREAK |
SCAN_UNCATEGORIZED |
EXPLOIT |
IOS_PROFILE |
SCAN_UNCATEGORIZED |
|
OUTDATED_OS |
SCAN_VULN_HOST |
SOFTWARE_MALICIOUS |
OUTDATED_OS_LOW |
SCAN_VULN_HOST |
SOFTWARE_MALICIOUS |
OUT_OF_DATE_OS |
SCAN_UNCATEGORIZED |
|
LOCK_SCREEN_DISABLED |
SCAN_UNCATEGORIZED |
|
STORAGE_ENCRYPTION_DISABLED |
SCAN_UNCATEGORIZED |
|
UNKNOWN_SOURCES_ENABLED |
SCAN_UNCATEGORIZED |
|
DEVELOPER_MODE_ENABLED |
SCAN_UNCATEGORIZED |
|
USB_DEBUGGING_ENABLED |
SCAN_UNCATEGORIZED |
|
USB_APP_VERIFICATION_DISABLED |
SCAN_UNCATEGORIZED |
|
FIREWALL_DISABLED |
SCAN_UNCATEGORIZED |
POLICY_VIOLATION |
USER_PASSWORD_DISABLED |
SCAN_UNCATEGORIZED |
|
ANTIVIRUS_DISABLED |
SCAN_UNCATEGORIZED |
|
APP_INACTIVITY |
SCAN_UNCATEGORIZED |
|
MISSING_ANDROID_SECURITY_PATCHES |
SCAN_UNCATEGORIZED |
|
ACCESS_SPAM_HOST |
SCAN_HOST |
NETWORK_SUSPICIOUS |
ACCESS_PHISHING_HOST |
SCAN_HOST |
PHISHING |
ACCESS_BAD_HOST |
SCAN_HOST |
NETWORK_MALICIOUS |
RISKY_APP_DOWNLOAD |
SCAN_UNCATEGORIZED |
SOFTWARE_SUSPICIOUS |
ACCESS_CRYPTOJACKING_HOST |
SCAN_HOST |
NETWORK_SUSPICIOUS |
SSL_MITM_TRUSTED_VALID_CERT |
SCAN_NETWORK |
NETWORK_SUSPICIOUS |
SSL_MITM_UNTRUSTED_VALID_CERT |
SCAN_NETWORK |
NETWORK_SUSPICIOUS |
SSL_STRIP_MITM |
SCAN_NETWORK |
NETWORK_MALICIOUS |
SSL_MITM_UNTRUSTED_INVALID_CERT |
SCAN_NETWORK |
NETWORK_MALICIOUS |
SSL_MITM_TRUSTED_INVALID_CERT |
SCAN_NETWORK |
NETWORK_MALICIOUS |
LEAK_CREDIT_CARD |
SCAN_UNCATEGORIZED |
ACL_VIOLATION |
LEAK_PASSWORD |
SCAN_UNCATEGORIZED |
ACL_VIOLATION |
LEAK_EMAIL |
SCAN_UNCATEGORIZED |
ACL_VIOLATION |
LEAK_USERID |
SCAN_UNCATEGORIZED |
ACL_VIOLATION |
LEAK_LOCATION |
SCAN_UNCATEGORIZED |
ACL_VIOLATION |
字段映射参考信息：JAMF_THREAT_EVENTS
下表列出了JAMF_THREAT_EVENTS 日志类型的日志字段及其对应的 UDM 字段。
| Log field | UDM mapping | Logic |
|---|---|---|
event.account.parentId |
about.resource_ancestors.product_object_id |
|
event.account.name |
about.resource.name |
|
event.account.customerId |
about.resource.product_object_id |
|
|
is_alert |
The is_alert UDM field is set to TRUE. |
event.timestamp |
metadata.event_timestamp |
|
event.eventType.name |
metadata.product_event_type |
|
event.alertId |
metadata.product_log_id |
|
event.metadata.product |
metadata.product_name |
|
event.metadata.vendor |
metadata.vendor_name |
|
event.source.port |
princiap.port |
|
event.device.deviceName |
principal.asset.assetid |
|
event.location |
principal.asset.location.country_or_region |
|
|
principal.asset.platform_software.platform |
The platform_name is extracted from the event.device.deviceName log field using a Grok pattern.If the platform_name value is equal to Mac, then the principal.asset.platform_software.platform UDM field is set to MAC.
|
event.device.os |
principal.asset.platform_software.platform_version |
|
event.device.deviceId |
principal.asset.product_object_id |
|
event.source.ip |
principal.ip |
|
event.accessPointBssid |
principal.mac |
|
event.user.email |
principal.user.email_addresses |
|
event.user.name |
principal.user.user_display_name |
|
sourceUserName |
principal.user.user_display_name |
|
event.device.externalId |
principal.asset.attribute.labels [event_device_externalId] |
|
event.device.userDeviceName |
principal.asset.attribute.labels [event_device_userDeviceName] |
|
event.accessPoint |
principal.labels [event_accessPoint] |
|
event.action |
security_result.action |
The security_result.action UDM field is set to one of the following values:
|
event.action |
security_result.action_details |
|
event.eventType.name |
security_result.category_details |
|
event.eventType.description |
security_result.description |
|
event.severity |
security_result.severity_details |
|
event.eventType.id |
security_result.threat_id |
|
event.eventType.name |
security_result.threat_name |
|
event.eventUrl |
security_result.url_back_to_product |
|
event.destination.port |
target.port |
|
event.app.name |
target.application |
|
event.app.name |
target.file.full_path |
|
event.app.sha1 |
target.file.sha1 |
|
event.app.sha256 |
target.file.sha256 |
|
event.destination.ip |
target.ip |
|
event.destination.name |
target.url |
|
event.app.version |
target.labels [event_app_version] |
|
event.app.id |
target.labels [event_app_id] |
|
event.metadata.schemaVersion |
about.labels [event_metadata_schemaVersion] |
后续步骤
需要更多帮助？向社区成员和 Google SecOps 专业人士寻求解答。