La fonctionnalité de télémétrie de Jamf Protect pour macOS collecte les données des journaux des évènements système et utilisateur et les envoie à une solution de gestion des informations et des évènements de sécurité (SIEM). Les données du journal de télémétrie aident les administrateurs et les spécialistes de la sécurité informatique à surveiller et à détecter de manière proactive les menaces sur les ordinateurs macOS de leurs environnements. Les données du journal de télémétrie facilitent également les enquêtes sur l’activité des utilisateurs ou les évènements malveillants en fournissant le contexte lié aux divers évènements qui se produisent sur chaque appareil. Les données de télémétrie sont envoyées au format JSON aux options de collecte de données que vous avez configurées.
Créez une configuration d’action pour collecter les données du journal de télémétrie. Vous pouvez choisir parmi les types de points de terminaison de données suivants :
Jamf Protect Cloud vous permet d’envoyer des données de télémétrie à une solution de stockage tierce.
Les points de terminaison HTTP vous permettent d’envoyer des données directement à une solution SIEM.
- La configuration du fichier journal vous permet de collecter les données du journal local.Remarque :
Vous ne pouvez réaliser qu’une seule configuration du fichier journal local pour chaque configuration d’action.
La configuration des points de terminaison Kafka vous permet d’envoyer des données à un courtier Kafka.
La configuration des points de terminaison Syslog vous permet d’envoyer des données à un serveur Syslog.
Les ensembles d’exceptions vous permettent d’ajouter la règle Ignorer pour la télémétrie pour exclure des données de télémétrie certains processus ou évènements. Cela permet de s’assurer que la surveillance du système et la collecte des données de télémétrie sont adaptées à votre environnement. Pour plus d’informations sur l’utilisation des ensembles d’exceptions avec la télémétrie, consultez la section Règles d’exception concernant la télémétrie.
Les exceptions de journalisation réseau dans les configurations de télémétrie dépendent des informations sur le processus à l’origine de l’évènement qui sont envoyées à Jamf Protect.
Si une version obsolète de la télémétrie est activée dans un plan, Jamf Protect créera une sauvegarde du fichier
/etc/security/audit_controlet modifiera le fichier pour configurer les règles adaptées. Si la télémétrie est désactivée, le fichier de sauvegardeaudit_controlsera restauré.