Jamf ProtectExemples de recherches et de vues

Document technique : Intégration de Splunk à Jamf Pro et Jamf Protect
Solution
Application
Content Type
Documentation technique
Utilities & Services
ft:locale
fr-FR

Cette section contient des exemples de paires recherche-vue qui peuvent être utilisés comme point de départ pour afficher vos données dans un tableau de bord.

Les exemples suivants utilisent des recherches reposant sur les données collectées auprès du module complémentaire Jamf Protect pour Splunk.

Pour plus d’informations sur les tableaux de bord Splunk, consultez l’article Dashboards and Visualizations (Tableaux de bord et visualisations) de Splunk.

Journaux et alertes par types d’événements

RechercheVue
eventtype="jamf_protect" input.host.hostname="*" severity_id>0
| dedup id
| stats count by event_name
| rename
    event_name AS "Event",
    count AS "Count"
| replace 
    "GPDownloadEvent" with "Download Event", 
    "GPFSEvent" with "File System Event", 
    "GPGatekeeperEvent" with "Gatekeeper Event", 
    "GPPreventedExecutionEvent" with "Custom Prevention", 
    "GPProcessEvent" with "Process Event", 
    "GPThreatMatchExecEvent" with "Threat Prevention", 
    "auth-mount" with "Device Controls" , 
    "GPClickEvent" with "Synthetic Click Event",
    "GPUSBEvent" with "USB Event"
    in Event

Nombre d’analyses détectées

RechercheVue
source = "http:Jamf Protect" | stats count by input.eventType, input.match.facts{}.name | rename input.eventType AS "Event Type", input.match.facts{}.name AS "Event", count AS "Count" | sort Count desc | head 10

Répartition des 10 principaux types d’événement

RechercheVue
 eventtype=jamf_protect_alerts input.host.hostname="*" event_name!="GPUnifiedLogEvent"
| dedup id
| stats count by event_name, detection_name
| rename
    event_name AS "Event Type",
    detection_name AS "Event",
    count AS "Count" 
| sort Count desc 
| head 10

Exécutables bloqués par Gatekeeper

RechercheVue
source = "http:Jamf Protect" input.eventType="GPGatekeeperEvent" | stats count by input.match.facts{}.name, input.match.event.path | rename input.match.facts{}.name AS "Block Type", input.match.event.path AS "Executable" | head 10