macOS セキュリティのアクション構成設定リファレンス

Jamf Protect ドキュメント

Solution

Application

Content Type

テクニカル資料

Utilities & Services

ft:locale

ja-JP

アクション構成の詳細

Name (名称) —アクション構成の名前。Jamf では、ご使用の環境全体で標準の命名規則を使用することをお勧めしています。
Description (説明) —所属する組織でのアクション構成の目的の概要。

HTTP データエンドポイント設定


設定	タイプ	説明
URL	ストリング	SIEM ソリューションなどのデータエンドポイントのエンドポイント URL
ヘッダー	アレイ	HTTP ヘッダー名と値の配列。期待値はベンダーによって異なります。

追加の設定については、HTTP エンドポイントの macOS セキュリティデータバッチ処理を参照してください。

ログファイルエンドポイント設定


設定	タイプ	説明
パス	ストリング	ログファイルを保存するローカル macOS ディレクトリ。/var/log/JamfProtect.log がデフォルトで使用されます。
オーナーシップ	ストリング	ファイルオーナーシップ (`user:group` フォーマット)。`root:wheel` がデフォルトで使用されます。
権限 (Permissions)	ストリング	数値による POSIX 権限。`0640` がデフォルトで使用されます。
最大ファイルサイズ (MB)	整数	ローテーション前の最大ファイルサイズ (バイト単位)。`100` がデフォルトで使用されます。
バックアップの最大数	整数	保持する履歴ログファイルの数。`10` がデフォルトで使用されます。

データエンドポイント設定


設定	タイプ	説明
ホスト	ストリング	syslog サーバのホスト名または IP アドレス (例：`syslog.YOUR_DOMAIN.com` または `192.0.2.1`)
ポート	整数	選択したプロトコルのサーバのポート番号。`6514` がデフォルトで使用されます。
プロトコル	文字列 (列挙型)	ログ転送用のトランスポートプロトコル： Transport Layer Security (TLS) —サーバの受信者を検証し、第三者による傍受を防ぐために暗号化を追加した TCP メッセージングを使用した配信。TLS では認証に証明書が必要であり、追加のリソースが必要になります。TLS は、TCP で使用される検証および再送信方法を維持します。TLS はパブリックインターネット接続で使用するのが最適です。伝送制御プロトコル (TCP) —検証および再送信方法を使用して、ネットワーク接続による損失なしに順番に配信される信頼性の高いログトランスポートを使用した配信。TCP はデフォルトではトランスポートセキュリティを利用しないため、リソースの使用量が少なくて済みます。TCP はプライベートネットワーク上で使用するのが最適です。

Kafka エンドポイント設定


設定	タイプ	説明
ホスト	ストリング	Kafka ブローカーのホスト名または IP アドレス (`kafka.YOUR_DOMAIN.com` や `192.0.2.1` など)
ポート	整数	ブローカーのポート番号。`9093` がデフォルトで使用されます。
トピック	ストリング	データストリームの Kafka トピック名
サーバ証明書のコモンネーム (CN)	ストリング	サーバ証明書のコモンネーム Note:サーバ証明書のコモンネームフィールドに `no_verify` を入力すると、サーバ証明書の検証を上書きできます。
クライアント証明書のコモンネーム (CN)	ストリング	証明書はホストコンピュータのシステムキーチェーンにインストールする必要があります。MDM ソリューションを使用して、証明書バンドルをコンピュータ構成プロファイルとして配布し、以下のペイロード設定が含まれていることを確認します。すべての App にアクセスを許可キーチェーンからのエクスポートを許可

データ収集設定

各データエンドポイントでは、収集するデータタイプを選択できます。

アラート

アラートは、脅威防御、解析、リムーバブルストレージコントロールイベントのデータを含みます。

詳しくは、macOS セキュリティのアラートを参照してください。

テレメトリ

テレメトリ構成からのイベントが含まれます。

詳しくは、macOS 向けテレメトリを参照してください。

ユニファイドログ

ユニファイドログフィルタからのイベントが含まれます。

詳しくは、macOS のユニファイドロギングを参照してください。

アラートデータの収集のオプション

さまざまなアラートイベントタイプについてすべてのデータ収集の冗長性レベルを制御できます。

すべて —利用可能なすべてのデータ属性を収集（デフォルト）
最小限 —Jamf Threat Labs によってキュレーションされたデータ属性を除く
Custom (カスタム) —組織に合わせて、データの種類を含める、または除外する

組織が大量のイベントを分析のために別のシステムに送信すると、一部のデータ属性の収集に追加コストが発生する場合があります。例えば、すべてのファイル作成イベントをリモートでログに記録する Analytic を作成し、展開した場合、すべてのファイルの署名情報を収集すると、データエンドポイントの運用コストが高くなります。