Jamf Protect Telemetry V2 のログを収集する

以下でサポートされています。

このドキュメントでは、Webhook または Amazon S3 を使用して、Jamf Protect から Google Security Operations にテレメトリー V2 ログを送信するように構成する方法について説明します。

Jamf Protect の Mac エンドポイント テレメトリーは、Apple の Endpoint Security API を使用して、macOS コンピュータからシステム イベントとユーザー イベントのイベントログデータを収集します。テレメトリー データは、プロセス実行、ファイル操作、ユーザー認証、システム変更など、エンドポイント アクティビティの詳細な監査証跡を提供します。これにより、セキュリティ チームは脅威の検出、インシデントの調査、コンプライアンス要件の遵守が可能になります。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • 管理者権限で Jamf Protect macOS Security ポータルにアクセスできる
  • Chronicle API が有効になっている Google SecOps インスタンスで構成された Google Cloud プロジェクト
  • Google Cloud コンソール への特権アクセス（API キーの作成用）
  • Jamf Protect に登録され、Jamf Protect エージェントがデプロイされている macOS コンピュータ

Jamf Protect テレメトリーを構成する

Jamf Protect でテレメトリー構成を作成して、収集する macOS エンドポイント イベントを定義します。

  1. Jamf Protect macOS Security ポータルにログインします。
  2. [テレメトリー] をクリックします。
  3. [テレメトリーを作成] をクリックします。
  4. [名前] フィールドに、テレメトリー構成の名前を入力します（例: Google SecOps Telemetry）。
  5. [説明] フィールドに、説明を入力します（例: Telemetry configuration for Google Security Operations integration）。

  6. 構成に含めるイベント カテゴリを選択します。使用可能なカテゴリには、プロセス イベント、ファイル イベント、ユーザー イベント、システム イベントがあります。

  7. （省略可）[ファイル ハッシュ] を選択すると、プロセス実行可能ファイルのファイル ハッシュの計算とレポート作成を有効にできます。

  8. [保存] をクリックします。

Google SecOps で Webhook フィードを作成する

フィードを作成する

  1. [SIEM 設定] > [フィード] に移動します。
  2. [新しいフィードを追加] をクリックします。
  3. 次のページで [単一のフィードを構成] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Jamf Protect Telemetry V2）。
  5. [ソースタイプ] として [Webhook] を選択します。
  6. [ログタイプ] として [Jamf Telemetry v2] を選択します。
  7. [次へ] をクリックします。
  8. 次の入力パラメータの値を指定します。
    • 分割区切り文字: \nと入力します。
    • アセットの名前空間: アセットの名前空間
    • 取り込みラベル: このフィードのイベントに適用されるラベル
  9. [次へ] をクリックします。
  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

秘密鍵を生成して保存する

フィードを作成したら、認証用の秘密鍵を生成する必要があります。

  1. フィードの詳細ページで、[秘密鍵を生成する] をクリックします。
  2. ダイアログに秘密鍵が表示されます。
  3. 秘密鍵をコピーして安全に保存 します。

重要: 秘密鍵は一度しか表示されず、後で取得することはできません。秘密鍵を紛失した場合は、新しい秘密鍵を生成する必要があります。

フィード エンドポイントの URL を取得する

  1. フィードの [詳細] タブに移動します。
  2. [エンドポイント情報] セクションで、フィード エンドポイントの URL をコピーします。

  3. URL の形式は次のとおりです。

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

  4. 次の手順で使用するため、この URL を保存します。

  5. [完了] をクリックします。

Google Cloud API キーを作成する

API キーを作成する

  1. [Google Cloud コンソール認証情報] ページに移動します。
  2. プロジェクト（Google SecOps インスタンスに関連付けられているプロジェクト）を選択します。
  3. [認証情報を作成] > [API キー] をクリックします。
  4. API キーが作成され、ダイアログに表示されます。
  5. [API キーを編集] をクリックして、キーを制限します。

API キーを制限する

  1. [API キー] 設定ページで、次の操作を行います。
    • 名前: わかりやすい名前を入力します（例: Jamf Protect Webhook API Key）
  2. [API の制限]:
    1. [キーを制限] を選択します。
    2. [API の選択] プルダウンで [Google SecOps API] を検索して選択します。
  3. [保存] をクリックします。
  4. ページ上部の [API キー] フィールドから API キーの値をコピー します。

  5. API キーを安全に保存します。

Webhook 用に Jamf Protect アクション構成を構成する

Jamf Protect でアクション構成を作成または更新して、テレメトリー データを Google SecOps Webhook フィードに送信します。

  1. [Jamf Protect] で [アクション] をクリックします。
  2. [アクションを作成] をクリックして新しいアクション構成を作成するか、既存のアクション構成を選択して [編集] をクリックします。
  3. アクション構成の名前 を入力します（例: Google SecOps Webhook）。
  4. 説明 を入力します（例: Sends telemetry data to Google Security Operations via webhook）。
  5. [**データ エンドポイント**] で [**\+ 追加**] をクリックします。
  6. [HTTP] を選択します。
  7. [URL] フィールドに、Google SecOps のフィード エンドポイントの URL を入力します。
    8. [+ HTTP ヘッダーを追加] をクリックして、次のヘッダーを入力します。
    • 最初のヘッダー:
      • 名前: API_KEY
      • 値: Google Cloud コンソールで作成した API キー
    • 2 つ目のヘッダー:
      • 名前: SECRET
      • 値: Google SecOps フィードから生成した秘密鍵
  9. [アラートを収集] で、収集するアラートレベルを選択します。
  10. [ログを収集] で、[テレメトリー] と、収集する追加の macOS セキュリティ データタイプを選択します。
  11. [保存] をクリックします。

アクション構成をプランに割り当てる

  1. [Jamf Protect] で [プラン] をクリックします。
  2. 既存のプランを選択して [編集] をクリックするか、[プランを作成] をクリックして新しいプランを作成します。
  3. [テレメトリー] ポップアップ メニューから、作成したテレメトリー構成（例: Google SecOps Telemetry）を選択します。
  4. [アクション] ポップアップ メニューから、作成したアクション構成（例: Google SecOps Webhook）を選択します。
  5. [保存] をクリックします。

このプランに割り当てられたコンピュータは、Google SecOps にテレメトリー データの送信を開始します。

（代替）Amazon S3 を使用して取り込みを構成する

Jamf Protect Cloud から Amazon S3 へのデータ転送を使用して、Jamf Protect テレメトリー データを Google SecOps に送信することもできます。

Jamf Protect から Amazon S3 へのデータ転送を構成する

  1. Jamf Protect で [管理 > データ] をクリックします。
  2. [Amazon S3 転送] スイッチを使用して、データ転送を有効にします。
  3. [転送されたデータを暗号化する] チェックボックスをオンにして、Jamf Protect Cloud から転送されるすべてのデータが暗号化されるようにします。
  4. データを送信するAmazon S3 バケット の名前を入力します。
  5. （省略可）転送されるすべての Jamf Protect データ オブジェクトに使用する接頭辞名 を入力します。

  6. Jamf Protect が Amazon S3 バケットにデータを転送するときに想定するIAM ロール を入力します。この値は、Amazon リソース名（ARN）形式にする必要があります。

    arn:aws:iam::123456789012:role/S3Access

  7. [保存] をクリックします。

  8. アクション構成にデータ エンドポイントとして Jamf Protect Cloud が含まれており、[ログを収集] で [テレメトリー] が選択されていることを確認します。

Amazon S3 からログを取り込むように Google SecOps でフィードを構成する

  1. [SIEM 設定] > [フィード] に移動します。
  2. [新しいフィードを追加] をクリックします。
  3. 次のページで [単一のフィードを構成] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Jamf Protect Telemetry V2 S3）。
  5. [ソースタイプ] として [Amazon S3 V2] を選択します。
  6. [ログタイプ] として [Jamf Telemetry v2] を選択します。
  7. [次へ] をクリックしてから、[送信] をクリックします。

  8. 次のフィールドの値を指定します。

    • S3 URI: s3://<your-bucket-name>/<prefix>/
    • ソース削除オプション: 必要に応じて削除オプションを選択します。
    • ファイルの最大経過時間: 過去数日以内に変更されたファイルを含めます（デフォルトは 180 日）。
    • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー
    • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー
    • アセットの名前空間: アセットの名前空間
    • 取り込みラベル: このフィードのイベントに適用されるラベル

  9. [次へ] をクリックしてから、[送信] をクリックします。

Webhook の上限とおすすめの方法

リクエストに関する上限

上限 値
リクエストの最大サイズ 4 MB
最大 QPS（秒間クエリ数） 15,000
リクエストのタイムアウト 30 秒
再試行の動作 指数バックオフによる自動

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。