Jamf ProtectEjemplos de búsqueda y visualización de

Documentación de Jamf Protect
Solution
Application
Content Type
Documentación técnica
Utilities & Services
ft:locale
es-ES

Este apartado incluye ejemplos de pares de búsqueda y visualización que pueden utilizarse como punto de partida para mostrar sus datos en un tablero.

Los siguientes ejemplos utilizan búsquedas basadas en datos obtenidos de Jamf Protect para Splunk.

Puede consultar más información sobre los tableros de Splunk en Dashboards and Visualizations (Tableros y visualizaciones) de Splunk.

Registros y alertas por tipos de evento

BuscarVisualización
eventtype="jamf_protect" input.host.hostname="*" severity_id>0
| dedup id
| stats count by event_name
| rename
    event_name AS "Event",
    count AS "Count"
| replace 
    "GPDownloadEvent" with "Download Event", 
    "GPFSEvent" with "File System Event", 
    "GPGatekeeperEvent" with "Gatekeeper Event", 
    "GPPreventedExecutionEvent" with "Custom Prevention", 
    "GPProcessEvent" with "Process Event", 
    "GPThreatMatchExecEvent" with "Threat Prevention", 
    "auth-mount" with "Device Controls" , 
    "GPClickEvent" with "Synthetic Click Event",
    "GPUSBEvent" with "USB Event"
    in Event

Recuento analítico detectado

BuscarVisualización
source = "http:Jamf Protect" | stats count by input.eventType, input.match.facts{}.name | rename input.eventType AS "Event Type", input.match.facts{}.name AS "Event", count AS "Count" | sort Count desc | head 10

Desglose de los 10 tipos de evento principales

BuscarVisualización
 eventtype=jamf_protect_alerts input.host.hostname="*" event_name!="GPUnifiedLogEvent"
| dedup id
| stats count by event_name, detection_name
| rename
    event_name AS "Event Type",
    detection_name AS "Event",
    count AS "Count" 
| sort Count desc 
| head 10

Ejecutables bloqueados por Gatekeeper

BuscarVisualización
source = "http:Jamf Protect" input.eventType="GPGatekeeperEvent" | stats count by input.match.facts{}.name, input.match.event.path | rename input.match.facts{}.name AS "Block Type", input.match.event.path AS "Executable" | head 10