Jamf Security Cloud-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Jamf Security Cloud-Logs mit Google Cloud Storage oder Amazon S3 in Google Security Operations aufnehmen. Die Jamf Security Cloud ist eine Plattform zur Abwehr von Bedrohungen für Mobilgeräte und zum Schutz von Endpunkten für Apple-Geräte. Es werden Ereignisprotokolle zur Bedrohungserkennung, Compliance und Gerätesicherheit generiert, die den Schutz auf DNS-Ebene, Phishing-Schutz, Inhaltsfilterung und Geräterisikobewertung abdecken. Jamf Security Cloud exportiert Protokolle mithilfe von Data Streams. Mit jeder Datenstreamkonfiguration wird genau ein Datentyp an ein Ziel gesendet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf das Jamf Security Cloud-Portal
• Für Methode 1: Privilegierter Zugriff auf Google Cloud (Google Cloud Storage, Cloud Run)
• Für Methode 2: Zugriff mit Berechtigungen auf AWS (S3, IAM)

Hinweis: Nur ein Super Admin kann die Datenstreams Netzwerkverkehr, Gerätedaten und App-Statistiken aktivieren. Wenn Data Streams in Ihrem Jamf Security Cloud-Portal nicht verfügbar ist, wenden Sie sich an den Jamf-Support, um die Funktion zu aktivieren.

Zu exportierende Datenstreamtypen auswählen

Der Jamf Security Cloud-Parser unterstützt alle sechs Datenstromtypen. Erstellen Sie für jeden Datentyp, den Sie erfassen möchten, eine separate Datenstreamkonfiguration:

• Bedrohungsereignisse: Erkannte Bedrohungsereignisse, einschließlich schädlicher Netzwerkkommunikation, Malware und riskanter Apps
• Netzwerkverkehr: Von der Netzwerkinfrastruktur von Jamf verarbeitete Netzwerkverkehrsprotokolle
• Zugriffsereignisse: Zulässige und abgelehnte Anfragen von Jamf Connect Zero Trust Network Access-Richtlinien (ZTNA)
• Gerätedaten: Informationen zu Geräten
• App-Statistiken: Informationen zu auf Geräten installierten Anwendungen
• Daten zu Sicherheitslücken: Details zu jeder entdeckten Sicherheitslücke und zum Gerät, auf dem sie gefunden wurde

Methode 1: Google Cloud Speicher

Jamf Security Cloud hat kein integriertes Google Cloud Speicherziel. Laut Jamf wird das direkte Senden von Daten an Google SecOps über die HTTP-Integration nicht unterstützt. Bei dieser Methode wird das Generic HTTP-Datastream-Ziel verwendet, um Ereignisse an eine Cloud Run-Funktion zu senden, die Ihnen gehört und die sie in einen Google Cloud Storage-Bucket schreibt. Google SecOps nimmt den Bucket dann über einen Google Cloud Storage V2-Feed auf.

Google Cloud Storage-Bucket erstellen

1. Rufen Sie die Google Cloud Console auf.
2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
4. Klicken Sie auf Bucket erstellen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Bucket benennen	Geben Sie einen global eindeutigen Namen ein, z. B. jamf-security-cloud-logs.
   Standorttyp	Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
   Standort	Wählen Sie den Standort aus, z. B. us-central1.
   Speicherklasse	Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
   Zugriffskontrolle	Einheitlich (empfohlen)
   Schutzmaßnahmen	Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren

6. Klicken Sie auf Erstellen.

Dienstkonto für die Cloud Run-Funktion erstellen

1. Wechseln Sie in der GCP Console zu IAM & Verwaltung > Dienstkonten.
2. Klicken Sie auf Dienstkonto erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie jamf-sc-receiver-sa ein.
   • Beschreibung des Dienstkontos: Geben Sie Service account for the Cloud Run function that receives Jamf Security Cloud events ein.
4. Klicken Sie auf Erstellen und fortfahren.
5. Klicken Sie auf Fertig.

Dienstkonto Zugriff auf den Bucket gewähren

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets.
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos ein (z. B. jamf-sc-receiver-sa@PROJECT_ID.iam.gserviceaccount.com).
   • Rollen zuweisen: Wählen Sie Storage-Objekt-Administrator aus.
6. Klicken Sie auf Speichern.

Cloud Run-Funktion zum Empfangen von Ereignissen erstellen

1. Generieren Sie ein starkes Authentifizierungstoken und speichern Sie es für die spätere Verwendung, z. B. durch Ausführen von openssl rand -hex 32. Jamf Security Cloud sendet dieses Token in einem Anfrageheader und die Funktion lehnt Anfragen ohne dieses Token ab.
2. Rufen Sie in der GCP Console Cloud Run auf.
3. Klicken Sie auf Dienst erstellen.
4. Wählen Sie Funktion aus, um eine Funktion mit einem Inline-Editor zu erstellen.

5. Geben Sie im Abschnitt Konfigurieren die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Dienstname	jamf-sc-receiver
   Region	Wählen Sie die Region aus, die Ihrem Cloud Storage-Bucket entspricht (z. B. us-central1).
   Laufzeit	Wählen Sie Python 3.12 oder höher aus.

6. Wählen Sie im Bereich Authentifizierung die Option Nicht authentifizierte Aufrufe zulassen aus.

   Hinweis :Jamf Security Cloud kann nicht mit Identity and Access Management (IAM) authentifiziert werden. Der Zugriff ist durch das Authentifizierungstoken geschützt, das die Funktion bei jeder Anfrage überprüft.

7. Maximieren Sie Container, Netzwerk, Sicherheit.

8. Rufen Sie den Tab Sicherheit auf:

   • Dienstkonto: Wählen Sie jamf-sc-receiver-sa aus.

9. Rufen Sie den Tab Container auf:

   1. Klicken Sie auf Variablen und Secrets.
   2. Klicken Sie für jede Umgebungsvariable auf + Variable hinzufügen:

   Variablenname	Beispielwert	Beschreibung
   GCS_BUCKET	jamf-security-cloud-logs	Name des Cloud Storage-Buckets
   GCS_PREFIX	jamf-security-cloud/	Präfix für Protokolldateien
   AUTH_TOKEN	<your-generated-token>	Token, das von Jamf Security Cloud im X-Auth-Token-Header gesendet wird

10. Klicken Sie auf Erstellen.

11. Warten Sie, bis der Dienst erstellt wurde. Nachdem der Dienst erstellt wurde, wird automatisch der Inline-Code-Editor geöffnet.

12. Geben Sie main in das Feld Einstiegspunkt ein.

13. Erstellen Sie im Inline-Codeeditor zwei Dateien:

    • Erste Datei: main.py

      import hashlib
      import os
      from datetime import datetime, timezone
      
      import functions_framework
      from google.cloud import storage
      
      BUCKET = os.environ["GCS_BUCKET"]
      PREFIX = os.environ.get("GCS_PREFIX", "jamf-security-cloud/")
      AUTH_TOKEN = os.environ["AUTH_TOKEN"]
      
      storage_client = storage.Client()
      
      @functions_framework.http
      def main(request):
              if request.headers.get("X-Auth-Token") != AUTH_TOKEN:
                      return ("Unauthorized", 401)
      
              body = request.get_data()
              if not body:
                      return ("OK", 200)
      
              now = datetime.now(timezone.utc)
              digest = hashlib.sha256(body).hexdigest()[:12]
              object_name = f"{PREFIX}{now:%Y/%m/%d}/{now:%Y%m%dT%H%M%S%f}_{digest}.json"
              storage_client.bucket(BUCKET).blob(object_name).upload_from_string(
                      body, content_type="application/json"
              )
              return ("OK", 200)
      

    • Zweite Datei: requirements.txt

      functions-framework==3.*
      google-cloud-storage==2.*
      

14. Klicken Sie auf Speichern und wieder bereitstellen.

15. Kopieren und speichern Sie die URL des Dienstes, z. B. https://jamf-sc-receiver-abc123-uc.a.run.app. Den Hostnamen benötigen Sie im nächsten Abschnitt.

Generischen HTTP-Datenstrom in Jamf Security Cloud konfigurieren

1. Melden Sie sich im Jamf Security Cloud-Portal an.
2. Rufen Sie Integrationen > Datenstreams auf.
3. Klicken Sie auf Neue Konfiguration.
4. Wählen Sie den Datenstreamtyp aus, z. B. Bedrohungsereignisse.
5. Wählen Sie Generic HTTP als Zieltyp für den Datenstream aus.
6. Klicken Sie auf Weiter.
7. Geben Sie die folgenden Konfigurationsdetails an:
   • Protokoll: Wählen Sie https aus.
   • Server Hostname/IP (Server-Hostname/IP): Geben Sie den Hostnamen des Cloud Run-Dienstes ein (z. B. jamf-sc-receiver-abc123-uc.a.run.app).
   • Port: Geben Sie 443 ein.
   • Endpunkt: Geben Sie / ein.
   • Zusätzliche Header: Klicken Sie auf Header hinzufügen und geben Sie den Namen X-Auth-Token mit Ihrem generierten Token als Wert ein.
8. Klicken Sie auf Testkonfiguration und prüfen Sie, ob der Test erfolgreich war.
9. Klicken Sie auf den Schalter Konfiguration aktivieren, um den Datenstream zu aktivieren.
10. Klicken Sie auf Speichern.
11. Wiederholen Sie diese Schritte für jeden zusätzlichen Datenstreamtyp, den Sie exportieren möchten.

Hinweis :Nach der Aktivierung des Streams werden nur neue Ereignisse exportiert. Sie können keine bisherigen Ereignisse exportieren. Der Parser verwirft die Testnachricht, die von Jamf Security Cloud während der Konfigurationsvalidierung gesendet wird, sicher.

Google SecOps-Dienstkonto abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Feeds auf.
3. Klicken Sie auf Neuen Feed hinzufügen.
4. Klicken Sie auf Einzelnen Feed konfigurieren.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie JAMF Security Cloud als Logtyp aus.

7. Klicken Sie auf Dienstkonto abrufen. Es wird eine eindeutige E-Mail-Adresse für das Dienstkonto angezeigt, z. B.:

   [e-mail]
   

8. Kopieren Sie diese E-Mail-Adresse. Sie benötigen sie im nächsten Schritt.

   Hinweis :Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderer Dokumentation oder anderen Beispielen.

Google SecOps-Dienstkonto Zugriff auf den Bucket gewähren

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets.
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
   • Rollen zuweisen: Wählen Sie Storage-Objekt-Betrachter aus.

6. Klicken Sie auf Speichern.

   Hinweis :Wenn Sie die Löschoption verwenden möchten (übertragene Dateien löschen), weisen Sie die Rolle Storage-Objekt-Administrator anstelle von „Storage-Objekt-Betrachter“ zu.

Feed in Google SecOps konfigurieren, um Daten aus Google Cloud Storage aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Jamf Security Cloud logs.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie JAMF Security Cloud als Logtyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   Feld	Wert
   Storage-Bucket-URI	gs://jamf-security-cloud-logs/jamf-security-cloud/
   Option zum Löschen der Quelle	Wählen Sie die gewünschte Löschoption aus.
   Maximales Dateialter (Tage)	Standardwert ist 180 Tage
   Asset-Namespace	Der Asset-Namespace
   Labels für Datenaufnahme	Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

   • Ersetzen Sie jamf-security-cloud-logs durch den tatsächlichen Namen Ihres Buckets.
   • Fügen Sie immer einen Schrägstrich (/) am Ende des URI ein.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Methode 2: Amazon S3

Kundeneigenes AWS S3 ist das einzige Cloud-Speicherziel, das von Jamf Security Cloud Data Streams nativ unterstützt wird. Jamf Security Cloud schreibt Ereignisse direkt in Ihren S3-Bucket und Google SecOps nimmt sie über einen Amazon S3 V2-Feed auf.

Hinweis :Jamf empfiehlt Amazon S3 für Datenstreams mit geringem Traffic, z. B. für Bedrohungsereignisse, und unterstützt einen AWS-Bucket pro Kunde.

AWS S3-Bucket und IAM-Rolle für Jamf Security Cloud konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung unter Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. jamf-security-cloud-logs).

3. Erstellen Sie eine IAM-Rolle, die Jamf Security Cloud übernimmt, um Daten in den Bucket hochzuladen. Für die Rolle ist die Berechtigung s3:PutObject für den Bucket und das AWS-Konto von Jamf als vertrauenswürdige Identität erforderlich.

   Hinweis: Jamf stellt die CloudFormation-Vorlage JamfDataCloudFormation.prod.yaml zur Verfügung, mit der der S3-Bucket und die IAM-Rolle automatisch erstellt werden. Sie können die Vorlage aus der Jamf-Dokumentation herunterladen.

4. Speichern Sie die IAM-Rolle ARN zur späteren Verwendung.

Kundeneigenen AWS S3-Datenstrom in Jamf Security Cloud konfigurieren

1. Melden Sie sich im Jamf Security Cloud-Portal an.
2. Rufen Sie Integrationen > Datenstreams auf.
3. Klicken Sie auf Neue Konfiguration.
4. Wählen Sie den Datenstreamtyp aus, z. B. Bedrohungsereignisse.
5. Wählen Sie AWS S3 im Besitz des Kunden als Zieltyp für den Datenstream aus.
6. Klicken Sie auf Weiter.
7. Geben Sie die folgenden Konfigurationsdetails an:
   • Amazon S3-Bucket-Name: Geben Sie den Bucket-Namen ein (z. B. jamf-security-cloud-logs).
   • Von Jamf übernommene IAM-Rolle: Geben Sie den ARN der IAM-Rolle ein, die Sie für Jamf Security Cloud erstellt haben.
   • Region: Wählen Sie die Region Ihres S3-Buckets aus.
8. Klicken Sie auf Konfiguration erstellen.

9. Optional: Wählen Sie unter Erweiterte Einstellungen das Nachrichtenformat JSON aus.

   Hinweis :JSON ist das Standardnachrichtenformat. Wählen Sie nicht CEF aus, da der Jamf Security Cloud-Parser nur JSON-Nachrichten verarbeitet. Schwachstellendaten werden immer als JSON gesendet.

10. Klicken Sie auf den Schalter Konfiguration aktivieren, um den Datenstream zu aktivieren.

11. Klicken Sie auf Speichern.

12. Wiederholen Sie diese Schritte für jeden zusätzlichen Datenstreamtyp, den Sie exportieren möchten.

Hinweis :Nach der Aktivierung des Streams werden nur neue Ereignisse exportiert. Sie können keine bisherigen Ereignisse exportieren.

IAM-Nutzer und Zugriffsschlüssel für Google SecOps erstellen

1. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
2. Wählen Sie den erstellten Nutzer aus.
3. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
4. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
5. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
6. Klicken Sie auf Weiter.
7. Optional: Fügen Sie ein Beschreibungstag hinzu.
8. Klicken Sie auf Zugriffsschlüssel erstellen.
9. Klicken Sie auf CSV-Datei herunterladen, um den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimer Zugriffsschlüssel) für die zukünftige Verwendung zu speichern.
10. Klicken Sie auf Fertig.
11. Wählen Sie den Tab Berechtigungen aus.
12. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
13. Wählen Sie Berechtigungen hinzufügen aus.
14. Wählen Sie Richtlinien direkt anhängen aus.
15. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
16. Wählen Sie die Richtlinie aus.
17. Klicken Sie auf Weiter.
18. Klicken Sie auf Berechtigungen hinzufügen.

Feed in Google SecOps für die Aufnahme von Daten aus Amazon S3 konfigurieren

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Jamf Security Cloud logs.
5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
6. Wählen Sie JAMF Security Cloud als Logtyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   Feld	Wert
   S3-URI	s3://jamf-security-cloud-logs/
   Option zum Löschen der Quelle	Wählen Sie die gewünschte Löschoption aus.
   Maximales Dateialter (Tage)	Standardwert ist 180 Tage
   Zugriffsschlüssel-ID	Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket
   Geheimer Zugriffsschlüssel	Geheimer Schlüssel des Nutzers mit Zugriff auf den S3-Bucket
   Asset-Namespace	Der Asset-Namespace
   Labels für Datenaufnahme	Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

   • Ersetzen Sie jamf-security-cloud-logs durch den Namen Ihres tatsächlichen S3-Buckets.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
accessPoint_label	additional.fields	Zusammengeführt
action_label	additional.fields	Zusammengeführt
activated_label	additional.fields	Zusammengeführt
alertId_label	additional.fields	Zusammengeführt
appName_label	additional.fields	Zusammengeführt
appRiskIndexThreshold_label	additional.fields	Zusammengeführt
appVersion_label	additional.fields	Zusammengeführt
app_id_label	additional.fields	Zusammengeführt
carrierName_label	additional.fields	Zusammengeführt
category_label	additional.fields	Zusammengeführt
deploymentState_label	additional.fields	Zusammengeführt
developer_label	additional.fields	Zusammengeführt
deviceId_label	additional.fields	Zusammengeführt
deviceModel_label	additional.fields	Zusammengeführt
deviceName_label	additional.fields	Zusammengeführt
deviceRiskIndex_label	additional.fields	Zusammengeführt
device_os_label	additional.fields	Zusammengeführt
device_user_name_label	additional.fields	Zusammengeführt
eventTimeUtcMs_label	additional.fields	Zusammengeführt
eventType_label	additional.fields	Zusammengeführt
hwPlatform_label	additional.fields	Zusammengeführt
imei_label	additional.fields	Zusammengeführt
installationTimeUtcMs_label	additional.fields	Zusammengeführt
installedBy_label	additional.fields	Zusammengeführt
isoCountryCode_label	additional.fields	Zusammengeführt
lastMdmCheckInUtcMs_label	additional.fields	Zusammengeführt
lastNetworkTrafficUtcMs_label	additional.fields	Zusammengeführt
lastUpdatedUtcMs_label	additional.fields	Zusammengeführt
loc_isoCountryCode_label	additional.fields	Zusammengeführt
mcc_label	additional.fields	Zusammengeführt
mdmId_label	additional.fields	Zusammengeführt
mnc_label	additional.fields	Zusammengeführt
osVersion_label	additional.fields	Zusammengeführt
packageName_label	additional.fields	Zusammengeführt
parentId_label	additional.fields	Zusammengeführt
parentId_label_1	additional.fields	Zusammengeführt
platform_label	additional.fields	Zusammengeführt
profileId_label	additional.fields	Zusammengeführt
profileName_label	additional.fields	Zusammengeführt
profileStatus_label	additional.fields	Zusammengeführt
recordType_label	additional.fields	Zusammengeführt
resellerId_label	additional.fields	Zusammengeführt
routeName_label	additional.fields	Zusammengeführt
signatureId_id_label	additional.fields	Zusammengeführt
signatureId_name_label	additional.fields	Zusammengeführt
softwareId_label	additional.fields	Zusammengeführt
softwareName_label	additional.fields	Zusammengeführt
softwareVersion_label	additional.fields	Zusammengeführt
ssid_label	additional.fields	Zusammengeführt
system_label	additional.fields	Zusammengeführt
threat_result_label	additional.fields	Zusammengeführt
triggerTimeUtcMs_label	additional.fields	Zusammengeführt
triggerType_label	additional.fields	Zusammengeführt
types_list	additional.fields	Zusammengeführt
userId_label	additional.fields	Zusammengeführt
user_tld_label	additional.fields	Zusammengeführt
vpnActive_label	additional.fields	Zusammengeführt
wanderaAppVersion_label	additional.fields	Zusammengeführt
wifiActive_label	additional.fields	Zusammengeführt
event_data.receiptTime	metadata.collected_timestamp	Direkt zugeordnet
event_data.cve.description	metadata.description	Direkt zugeordnet
event_data_event_dataType_description	metadata.description	Direkt zugeordnet
event_data.timestamp	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ss.SSSZ
has_principal	metadata.event_type	Zugeordnet: true → STATUS_UPDATE
has_user	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
event_data.md1.product	metadata.product_event_type	Direkt zugeordnet
md1.product	metadata.product_event_type	Direkt zugeordnet
event_data.device.externalId	metadata.product_log_id	Direkt zugeordnet
event_data.externalId	metadata.product_log_id	Direkt zugeordnet
md1.product	metadata.product_name	Direkt zugeordnet
event_data.md1.schemaVersion	metadata.product_version	Direkt zugeordnet
schemaVersion	metadata.product_version	Direkt zugeordnet
dns_answers	network.dns.answers	Zusammengeführt
dns_questions	network.dns.questions	Zusammengeführt
event_data.domain	principal.administrative_domain	Direkt zugeordnet
event_data.application	principal.application	Direkt zugeordnet
event_data.hostName	principal.asset.hostname	Direkt zugeordnet
event_data.source.ip	principal.asset.ip	Zusammengeführt
event_data.device.userDeviceName	principal.hostname	Direkt zugeordnet
event_data.hostName	principal.hostname	Direkt zugeordnet
event_data.source.ip	principal.ip	Zusammengeführt
event_data.source.port	principal.port	Umbenannt/zugeordnet
event_data_event_dataType_id	principal.process.pid	Direkt zugeordnet
event_data.cve.consoleUrl	principal.url	Direkt zugeordnet
event_data.event_dataUrl	principal.url	Direkt zugeordnet
device.user.email	principal.user.email_addresses	Zusammengeführt
event_data.user.userEmail	principal.user.email_addresses	Zusammengeführt
event_data.account.name	principal.user.user_display_name	Direkt zugeordnet
event_data.user.userName	principal.user.user_display_name	Direkt zugeordnet
customer.customerId	principal.user.userid	Direkt zugeordnet
customerId	principal.user.userid	Direkt zugeordnet
device.user.email	principal.user.userid	Direkt zugeordnet
event_data.account.customerId	principal.user.userid	Direkt zugeordnet
event_data.customerId	principal.user.userid	Direkt zugeordnet
actionforBlocked	security_result.action	Zusammengeführt
event_data_event_dataType_name	security_result.description	Direkt zugeordnet
attribution_label	security_result.detection_fields	Zusammengeführt
baseScore_label	security_result.detection_fields	Zusammengeführt
cve_id_label	security_result.detection_fields	Zusammengeführt
exploitAvailable_label	security_result.detection_fields	Zusammengeführt
permission_label	security_result.detection_fields	Zusammengeführt
threats_label	security_result.detection_fields	Zusammengeführt
event_data.cve.severity	security_result.severity	Direkt zugeordnet
event_data.blockReason	security_result.summary	Direkt zugeordnet
event_data.cve.cveDetailUrl	security_result.url_back_to_product	Direkt zugeordnet
event_data.device.deviceId	target.asset.asset_id	Direkt zugeordnet
event_data.destination.name	target.asset.hostname	Direkt zugeordnet
device.carrier.ipAddress	target.asset.ip	Zusammengeführt
device.network.assignedIp	target.asset.ip	Zusammengeführt
device.network.publicIp	target.asset.ip	Zusammengeführt
event_data.destination.ip	target.asset.ip	Zusammengeführt
event_data.destinationIp	target.asset.ip	Zusammengeführt
ip	target.asset.ip	Zusammengeführt
app_id_md5	target.file.md5	Direkt zugeordnet
app_id_sha1	target.file.sha1	Direkt zugeordnet
app_id_sha256	target.file.sha256	Direkt zugeordnet
event_data.destination.name	target.hostname	Direkt zugeordnet
device.carrier.ipAddress	target.ip	Zusammengeführt
device.network.assignedIp	target.ip	Zusammengeführt
device.network.publicIp	target.ip	Zusammengeführt
event_data.destination.ip	target.ip	Zusammengeführt
event_data.destinationIp	target.ip	Zusammengeführt
ip	target.ip	Zusammengeführt
device.location.countryName	target.location.country_or_region	Direkt zugeordnet
event_data.location	target.location.name	Direkt zugeordnet
device.hw.wifiMacAddress	target.mac	Zusammengeführt
device.network.bssid	target.mac	Zusammengeführt
event_data.accessPointBssid	target.mac	Zusammengeführt
event_data_device_os_osVersion	target.platform_version	Direkt zugeordnet
event_data.destination.port	target.port	Umbenannt/zugeordnet
event_data.device.deviceName	target.resource.name	Direkt zugeordnet
event_data.user.email	target.user.email_addresses	Zusammengeführt
event_data.user.email	target.user.userid	Direkt zugeordnet
event_data.user.name	target.user.userid	Direkt zugeordnet
–	metadata.event_type	Konstante: STATUS_UPDATE
–	metadata.product_name	Konstante: JAMF_SECURITY_CLOUD
–	metadata.vendor_name	Konstante: JAMF_SECURITY_CLOUD
–	security_result.severity	Konstante: INFORMATIONAL
–	target.platform	Konstante: WINDOWS

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten