カスタム Analytic は、標準の Jamf 管理 Analytic では対応できない固有のセキュリティニーズがある場合に役立ちます。カスタム Analytic を作成して展開し、特定のアクティビティやイベントを監視できます。Jamf Protect のカスタム Analytic は、述語ベースのフィルタを使用して、不審なアクティビティを特定しアラートを出します。
カスタム Analytic を使用する際、過剰なアラートを回避するために、以下の項目について考慮してください。
テレメトリ機能によって必要なデータが既に収集されているかどうかを評価してください。テレメトリによって収集される情報のタイプに関する詳細については、Jamf Protect データモデルドキュメント (Learning Hub へのログインが必要) を参照してください。
カスタム Analytic には、具体的で対象を絞ったルールを使用してください。
述語を本番環境へ展開する前に、ベータ環境で十分にテストしてください。
- リソースの制限に配慮し、システムに過度の負荷をかけないようにしてください。
開始点として展開して使用できるカスタム Analytic の例については、Jamf Protect の Jamf Protect オープンソース GitHub リポジトリを参照してください。jamf / jamfprotect (GitHub)。
macOS でのイベントやプロセスを評価するための
NSPredicateやNSExpressionのクラスなどのフィルタリングやソーティングのロジックについての理解。詳しくは、Apple Developer ウェブサイトの NSPredicate を参照してください。コンピュータで監視するイベントやプロセスの理解
- Analytic フィルタ (Analytic Filter) セクションで、Analytic のフィルタを作成します。
- Analytic の述語（Predicate）を記述します。
フィルタをビルドする フィルタクエリビルダービュー (Filter Query Builder View)、または NSPredicate 構文で述語を入力する フィルタテキストビュー (Filter Text View) のいずれかを使用できます。Analytic ドキュメント (Analytic Documentation) のヘルプページには、各センサータイプでサポートされている属性がリストされます。
例：ユーザがファイルをリムーバブルメディアへ書き込む際に検出したい場合は、ファイルイベントを監視し、以下の 3 つの条件を含むよう述語を記述します。「== 1」は、Boolean 演算式が true であることを表現するために使用されます。$event.isNew == 1 AND $event.path BEGINSWITH[cd] "/Volumes/" AND $event.file.onRemovableMedia == 1以下は、上記の述語の例が Jamf Protect で構成される方法の例です。
- Analytic の述語（Predicate）を記述します。
これでカスタム Analytic を解析セットに追加できます。