Jamf Pro 로그

Jamf Pro 로그를 Panther 콘솔에 연결

개요

Panther는 Amazon Web Services(AWS) S3를 통해 Jamf Pro 로그 수집을 다음과 같이 지원합니다. 데이터 전송.

A Jamf Premium Cloud 애드온 이 Jamf Pro 로그를 Panther에 연결하는 데 필요합니다.

Jamf Pro 로그를 Panther에 온보딩하는 방법

이 로그를 Panther에 연결하려면:

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. “Jamf Pro”를 검색한 다음 해당 타일을 클릭합니다.

   • 슬라이드아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운에는 다음이 미리 채워집니다 AWS S3 버킷 옵션.

4. 클릭합니다 설정 시작.

5. 다음을 따르세요: S3 소스 구성에 대한 Panther 문서.

6. JAMF Pro가 로그를 Data Transport 소스로 푸시하도록 구성합니다.

   • 참고 JAMF의 문서 Panther가 읽을 수 있는 S3 버킷으로 로그를 푸시하는 방법은

지원되는 로그 유형

Jamfpro.Login

Jamf Pro 자체에 대한 로그인 이벤트입니다.

참조: 이벤트 로그에 대한 Jamf 문서.

필드:
  - 이름: ipAddress
    유형: string
    설명: 요청을 시작한 IP 주소
    지표:
      - ip
  - 이름: username
    필수: true
    설명: 계정의 사용자 이름
    지표:
      - username
    유형: string
  - 이름: status
    필수: true
    유형: string
    설명: 로그인 요청의 상태
  - 이름: entryPoint
    필수: true
    유형: string
    설명: 로그인에 사용된 방법. Single Sign On, Universal API 또는 Unknown 중 하나
  - 이름: timestamp
    필수: true
    유형: timestamp
    설명: 로그인 타임스탬프
    이벤트 시간 여부: true
    timeFormat: '%Y-%m-%dT%H:%M:%S,%f'

Jamfpro.ComplianceReporter

이것은 Jamf Compliance Reporter 모니터링 도구의 이벤트 로그입니다. 자세한 내용은 Jamf Compliance Reporter 문서.

필드:
   - 이름: _event_score
      필수: true
      설명: 이벤트 점수.
      유형: bigint
    - 이름: app_metric_info
      설명: 애플리케이션 메트릭 정보. App metric 이벤트에만 존재합니다.
      유형: object
      필드:
        - 이름: cpu_percentage
          설명: 애플리케이션이 사용한 CPU 비율.
          유형: float
        - 이름: cpu_time_seconds
          설명: 애플리케이션이 사용한 CPU 시간.
          유형: float
        - 이름: interrupt_wakeups
          설명: 인터럽트 wakeup 수.
          유형: bigint
        - 이름: platform_idle_wakeups
          설명: 플랫폼 유휴 wakeup 수.
          유형: bigint
        - 이름: resident_memory_size_mb
          설명: 상주 메모리 크기(MB).
          유형: float
        - 이름: virtual_memory_size_mb
          설명: 가상 메모리 크기(MB).
          유형: float
    - 이름: arguments
      설명: 이벤트에 전달된 인수.
      유형: json
    - 이름: attributes
      설명: 이벤트와 연결된 속성 또는 메타데이터
      유형: json
    - 이름: audio_video_device_info
      유형: object
      필드:
        - 이름: audio_device_creator
          설명: 오디오 장치 생성자.
          유형: string
        - 이름: audio_device_hog_mode
          설명: 오디오 장치가 hog mode인지 여부.
          유형: bigint
        - 이름: audio_device_id
          설명: 오디오 장치의 ID.
          유형: string
        - 이름: audio_device_manufacturer
          설명: 오디오 장치 제조업체.
          유형: string
        - 이름: audio_device_running
          설명: 오디오 장치가 실행 중인지 여부.
          유형: bigint
        - 이름: audio_device_uuid
          설명: 오디오 장치의 UUID.
          유형: string
        - 이름: device_status
          설명: 장치 상태. "On" 또는 "Off".
          유형: string
    - 이름: audit_class_verification_info
      설명: 감사 클래스 검증 정보. AUDIT_CLASS_VERIFICATION_EVENT 이벤트에만 존재합니다.
      유형: object
      필드:
        - 이름: contents
          설명: 파일의 내용.
          유형: string
        - 이름: osversion
          설명: 운영 체제 버전.
          유형: string
        - 이름: restored_default
          설명: 파일이 기본값으로 복원되었는지 여부.
          유형: boolean
        - 이름: status
          설명: 파일 상태.
          유형: int
        - 이름: status_str
          설명: 파일 상태의 문자열 표현.
          유형: string
    - 이름: compliancereporter_license_info
      설명: Compliance Reporter 라이선스 정보. LICENSE_INFO_EVENT 이벤트에만 존재합니다.
      유형: object
      필드:
        - 이름: email
          유형: string
          지표:
            - email
        - 이름: expiration_date
          유형: timestamp
          시간 형식:
            - '%M/%d/%Y'
        - 이름: status
          유형: string
        - 이름: time_seconds_epoch
          유형: timestamp
          시간 형식:
            - unix
        - 이름: type
          유형: string
        - 이름: version
          유형: string
    - 이름: event_attributes
      설명: 이벤트와 연결된 추가 속성 또는 메타데이터.
      유형: json
    - 이름: exec_args
      설명: 이벤트에 전달된 실행 인수.
      유형: object
      필드:
        - 이름: args
          설명: 순차적 순서로 나열된 명령줄 인수 값.
          유형: json
        - 이름: args_compiled
          설명: 모든 명령줄 인수의 쉼표로 구분된 목록.
          유형: string
    - 이름: exec_chain
      설명: 동일한 원래 동작에서 비롯된 이벤트 체인.
      유형: json
    - 이름: exec_chain_child
      설명: 동일한 원래 동작에서 비롯된 이벤트 체인의 하위 이벤트.
      유형: object
      필드:
        - 이름: parent_path
          설명: 이 이벤트를 직접 발생시킨 바이너리 경로.
          유형: string
        - 이름: parent_pid
          설명: 이 이벤트를 직접 발생시킨 프로세스의 프로세스 ID.
          유형: string
        - 이름: parent_uuid
          설명: 실행 체인에서 직접 상위 항목의 GUID입니다. 상위 이벤트의 exec_chain_parent.uuid 필드와 대응됩니다.
          유형: string
    - 이름: exec_chain_parent
      설명: 동일한 원래 동작에서 비롯된 이벤트 체인의 상위 이벤트.
      유형: object
      필드:
        - name: uuid
          설명: 이 이벤트를 직접 상위로 주장하는 하위 프로세스의 GUID입니다. 상위 이벤트의 exec_chain_child.parent.uuid 필드와 대응됩니다.
          유형: string
    - 이름: exec_env
      설명: 이벤트의 실행 환경.
      유형: object
      필드:
        - 이름: env
          설명: 이벤트 컨텍스트의 환경 변수에 대한 키-값 쌍.
          유형: json
        - 이름: env_compiled
          설명: 이벤트 컨텍스트의 모든 환경 변수를 쉼표로 구분한 목록.
          유형: string
    - name: exit
      설명: 이벤트의 종료 정보. AUE_EXIT 이벤트에만 존재합니다.
      유형: object
      필드:
        - 이름: return_value
          설명: 이벤트의 반환 값.
          유형: bigint
        - 이름: status
          설명: 이벤트의 상태.
          유형: bigint
    - 이름: file_event_info
      설명: 파일 이벤트 정보. COMPLIANCEREPORTER_TAMPER_EVENT 이벤트에만 존재합니다.
      유형: object
      필드:
        - 이름: eventid_wrapped
          설명: 이벤트 ID가 래핑되었는지 여부.
          유형: boolean
        - 이름: 해시
          설명: 파일의 SHA1 해시.
          유형: string
          지표:
            - sha1
        - 이름: history_done
          설명: 기록이 완료되었는지 여부.
          유형: boolean
        - 이름: item_change_owner
          설명: 항목의 소유자가 변경되었는지 여부.
          유형: boolean
        - 이름: item_cloned
          설명: 항목이 복제되었는지 여부.
          유형: boolean
        - 이름: item_created
          설명: 항목이 생성되었는지 여부.
          유형: boolean
        - 이름: item_extended_attribute_modified
          설명: 항목의 확장 속성이 수정되었는지 여부.
          유형: boolean
        - 이름: item_finder_info_modified
          설명: 항목의 Finder 정보가 수정되었는지 여부.
          유형: boolean
        - 이름: item_inode_metadata_modified
          설명: 항목의 inode 메타데이터가 수정되었는지 여부.
          유형: boolean
        - 이름: item_is_directory
          설명: 항목이 디렉터리인지 여부.
          유형: boolean
        - 이름: item_is_file
          설명: 항목이 파일인지 여부.
          유형: boolean
        - 이름: item_is_hard_link
          설명: 항목이 하드 링크인지 여부.
          유형: boolean
        - 이름: item_is_last_hard_link
          설명: 항목이 마지막 하드 링크인지 여부.
          유형: boolean
        - 이름: item_is_sym_link
          설명: 항목이 심볼릭 링크인지 여부.
          유형: boolean
        - 이름: item_removed
          설명: 항목이 제거되었는지 여부.
          유형: boolean
        - 이름: item_renamed
          설명: 항목의 이름이 변경되었는지 여부.
          유형: boolean
        - 이름: item_updated
          설명: 항목이 업데이트되었는지 여부.
          유형: boolean
        - 이름: kernel_dropped
          설명: 커널이 이벤트를 드롭했는지 여부.
          유형: boolean
        - 이름: mount
          설명: 항목이 마운트되었는지 여부.
          유형: boolean
        - 이름: must_scan_sub_dir
          설명: 하위 디렉터리를 스캔해야 하는지 여부.
          유형: boolean
        - 이름: none
          설명: 항목이 수정되지 않았는지 여부.
          유형: boolean
        - 이름: own_event
          설명: 이벤트가 소유되었는지 여부.
          유형: boolean
        - 이름: path
          설명: 파일 경로.
          유형: string
        - 이름: root_changed
          설명: 루트가 변경되었는지 여부.
          유형: boolean
        - 이름: unmount
          설명: 항목이 마운트 해제되었는지 여부.
          유형: boolean
        - 이름: user_dropped
          설명: 사용자가 이벤트를 드롭했는지 여부.
          유형: boolean
    - 이름: hardware_event_info
      설명: 하드웨어 이벤트 정보. HARDWARE_EVENT 이벤트에만 존재합니다.
      유형: object
      필드:
        - 이름: device_attributes
          설명: 장치의 속성.
          유형: json
        - 이름: device_class
          설명: 장치의 클래스.
          유형: string
        - 이름: device_name
          설명: 장치 이름.
          유형: string
        - 이름: device_status
          설명: 장치 상태.
          유형: string
    - 이름: header
      필수: true
      설명: 이벤트의 헤더 정보. 이 필드에는 이벤트 이름, 타임스탬프, 버전을 포함한 필수 메타데이터가 들어 있습니다.
      유형: object
      필드:
        - 이름: action
          설명: 이벤트를 발생시킨 동작. PROHIBITED_APP_BLOCKED 이벤트에만 존재합니다.
          유형: string
        - name: event_id
          설명: 감사 이벤트의 유형을 식별하는 ID.
          유형: string
        - 이름: event_modifier
          설명: 이벤트의 수정자. 이 필드는 사용되지 않으며 항상 0입니다.
          유형: string
        - name: event_name
          필수: true
          설명: 감사 이벤트 유형의 이름.
          유형: string
        - 이름: time_seconds_epoch
          필수: true
          설명: 이벤트가 발생한 Unix epoch 시간.
          유형: timestamp
          시간 형식: unix
          이벤트 시간 여부: true
        - 이름: time_milliseconds_offset
          설명: time_seconds_epoch 필드에 대한 밀리초 오프셋.
          유형: bigint
        - 이름: version
          설명: 헤더 형식의 버전.
          유형: string
    - 이름: host_info
      필수: true
      설명: 이벤트가 발생한 호스트에 대한 정보.
      유형: object
      필드:
        - 이름: host_name
          설명: 컴퓨터의 네트워크 호스트 이름.
          유형: string
        - 이름: host_uuid
          설명: 로직 보드의 하드웨어 UUID.
          유형: string
        - 이름: osversion
          설명: 운영 체제 버전.
          유형: string
        - 이름: primary_mac_address
          설명: 보고하는 컴퓨터의 기본 MAC 주소.
          유형: string
          지표:
            - mac
        - 이름: serial_number
          설명: 보고하는 컴퓨터의 일련번호.
          유형: string
    - 이름: identity
      설명: 이벤트의 식별 정보.
      유형: object
      필드:
        - 이름: cd_hash
          설명: 작업을 수행하는 애플리케이션 또는 바이너리의 Cd bundle 해시.
          유형: string
          지표:
            - sha1
        - 이름: signer_id
          설명: 작업을 수행하는 애플리케이션 또는 바이너리의 서명자 ID.
          유형: string
        - 이름: signer_id_truncated
          설명: 서명자 ID가 잘렸는지 여부.
          유형: boolean
        - 이름: signer_type
          설명: 작업을 수행하는 애플리케이션 또는 바이너리의 서명자 유형.
          유형: int
        - name: team_id
          설명: 작업을 수행하는 애플리케이션 또는 바이너리의 팀 ID.
          유형: string
        - 이름: team_id_truncated
          설명: 팀 ID가 잘렸는지 여부.
          유형: boolean
    - 이름: path
      설명: 이벤트와 관련된 파일 경로.
      유형: array
      요소:
        유형: string
    - 이름: process
      설명: 작업을 수행한 프로세스에 대한 정보.
      유형: object
      필드:
        - 이름: audit_id
          설명: auditd가 이벤트를 귀속시키는 사용자 ID.
          유형: string
          지표:
            - actor_id
        - 이름: audit_user_name
          설명: auditd가 이벤트를 귀속시키는 사용자의 이름.
          유형: string
          지표:
            - username
        - 이름: effective_group_id
          설명: 이벤트가 실행될 때 사용된 그룹 권한의 ID.
          유형: string
        - 이름: effective_group_name
          설명: 이벤트가 실행될 때 사용된 그룹 권한의 이름.
          유형: string
        - 이름: effective_user_id
          설명: 이벤트가 실행될 때 사용된 사용자 권한의 ID.
          유형: string
          지표:
            - actor_id
        - 이름: effective_user_name
          설명: 이벤트가 실행될 때 사용된 사용자 권한의 이름.
          유형: string
          지표:
            - username
        - 이름: group_id
          설명: 이 이벤트를 발생시킨 그룹의 ID.
          유형: string
        - 이름: group_name
          설명: 이 이벤트를 발생시킨 그룹의 이름.
          유형: string
        - 이름: process_hash
          설명: 실행된 바이너리 파일의 SHA1 해시.
          유형: string
          지표:
            - sha1
        - 이름: process_id
          설명: 기록된 작업을 수행하는 프로세스의 ID.
          유형: string
        - 이름: process_name
          설명: 기록된 작업을 수행하는 프로세스의 경로.
          유형: string
        - 이름: process_information
          설명: 작업을 수행한 프로세스에 대한 정보.
          유형: json
        - 이름: responsible_process_id
          설명: 이 이벤트를 발생시킨 프로세스의 ID.
          유형: string
        - 이름: responsible_process_name
          설명: 프로세스 체인의 시작에서 이 이벤트를 발생시킨 프로세스의 이름.
          유형: string
        - 이름: session_id
          설명: 이벤트가 시작된 세션 ID 번호.
          유형: string
          지표:
            - trace_id
        - 이름: terminal_id
          설명: 이벤트가 시작된 터미널에 대한 정보.
          유형: object
          필드:
            - 이름: addr
              설명: 터미널의 네트워크 주소 정보.
              유형: array
              요소:
                유형: bigint
            - 이름: ip_address
              설명: 제어하는 컴퓨터의 IP 주소.
              유형: string
              지표:
                - ip
            - 이름: port
              설명: 프로세스가 연결하는 포트 번호.
              유형: bigint
            - 이름: type
              설명: 연결 유형(4 = IPv4, 6 = IPv6).
              유형: bigint
        - 이름: user_id
          설명: 이 이벤트를 시작한 사용자의 ID.
          유형: string
          지표:
            - actor_id
        - name: user_name
          설명: 이 이벤트를 시작한 사용자의 이름.
          유형: string
          지표:
            - username
    - 이름: return
      설명: 이벤트 출력 정보.
      유형: object
      필드:
        - 이름: description
          설명: 이벤트 출력에 대한 설명.
          유형: string
        - 이름: error
          설명: 이벤트 결과 오류 코드.
          유형: int
        - 이름: return_value
          설명: 반환된 이벤트 결과 반환값(있는 경우).
          유형: int
    - 이름: signal_event_info
      설명: 신호 이벤트 정보. SIGNAL_EVENT 이벤트에만 존재합니다.
      유형: object
      필드:
        - 이름: signal
          설명: 신호 번호.
          유형: int
    - 이름: socket_inet
      설명: 인터넷 소켓 정보.
      유형: object
      필드:
        - 이름: addr
          설명: 소켓의 네트워크 주소 정보.
          유형: array
          요소:
            유형: bigint
        - name: family
          설명: 소켓의 주소 계열.
          유형: string
        - 이름: id
          설명: 소켓의 ID.
          유형: string
        - 이름: ip_address
          설명: 소켓의 IP 주소.
          유형: string
          지표:
            - ip
        - 이름: port
          설명: 프로세스가 연결하는 포트 번호.
          유형: bigint
    - 이름: socket_unix
      설명: Unix 소켓 정보.
      유형: object
      필드:
        - name: family
          설명: 소켓의 주소 계열.
          유형: string
        - 이름: path
          설명: 소켓의 경로.
          유형: string
    - 이름: subject
      설명: 이벤트의 주체 정보.
      유형: object
      필드:
        - 이름: audit_id
          설명: auditd가 이벤트를 귀속시키는 사용자 ID.
          유형: string
          지표:
            - actor_id
        - 이름: audit_user_name
          설명: auditd가 이벤트를 귀속시키는 사용자의 이름.
          유형: string
          지표:
            - username
        - 이름: effective_group_id
          설명: 이벤트가 실행될 때 사용된 그룹 권한의 ID.
          유형: string
        - 이름: effective_group_name
          설명: 이벤트가 실행될 때 사용된 그룹 권한의 이름.
          유형: string
        - 이름: effective_user_id
          설명: 이벤트가 실행될 때 사용된 사용자 권한의 ID.
          유형: string
          지표:
            - actor_id
        - 이름: effective_user_name
          설명: 이벤트가 실행될 때 사용된 사용자 권한의 이름.
          유형: string
          지표:
            - username
        - 이름: group_id
          설명: 이 이벤트를 발생시킨 그룹의 ID.
          유형: string
        - 이름: group_name
          설명: 이 이벤트를 발생시킨 그룹의 이름.
          유형: string
        - 이름: process_hash
          설명: 실행된 바이너리 파일의 SHA1 해시.
          유형: string
          지표:
            - sha1
        - 이름: process_id
          설명: 기록된 작업을 수행하는 프로세스의 ID.
          유형: string
        - 이름: process_name
          설명: 기록된 작업을 수행하는 프로세스의 경로.
          유형: string
        - 이름: process_information
          설명: 작업을 수행한 프로세스에 대한 정보.
          유형: json
        - 이름: responsible_process_id
          설명: 이 이벤트를 발생시킨 프로세스의 ID.
          유형: string
        - 이름: responsible_process_name
          설명: 프로세스 체인의 시작에서 이 이벤트를 발생시킨 프로세스의 이름.
          유형: string
        - 이름: session_id
          설명: 이벤트가 시작된 세션 ID 번호.
          유형: string
          지표:
            - trace_id
        - 이름: terminal_id
          설명: 이벤트가 시작된 터미널에 대한 정보.
          유형: object
          필드:
            - 이름: addr
              설명: 터미널의 네트워크 주소 정보.
              유형: array
              요소:
                유형: bigint
            - 이름: ip_address
              설명: 제어하는 컴퓨터의 IP 주소.
              유형: string
              지표:
                - ip
            - 이름: port
              설명: 프로세스가 연결하는 포트 번호.
              유형: bigint
            - 이름: type
              설명: 연결 유형(4 = IPv4, 6 = IPv6).
              유형: bigint
        - 이름: user_id
          설명: 이 이벤트를 시작한 사용자의 ID.
          유형: string
          지표:
            - actor_id
        - name: user_name
          설명: 이 이벤트를 시작한 사용자의 이름.
          유형: string
          지표:
            - username
    - 이름: texts
      설명: 이벤트의 설명.
      유형: array
      요소:
        유형: string