Veel middelgrote tot grote organisaties gebruiken een SIEM en/of XDR om digitale gebeurtenissen en activiteiten gegenereerd door zoveel mogelijk eindpunten te correleren. Hoe meer gegevens, hoe groter de kans om patronen te identificeren die kunnen wijzen op een lopende aanval. Dit staat losjes bekend als threat hunting.
Dankzij de aard van Jamf's agent- en cloudgebaseerde beveiligingsproducten verkrijgen deze producten een rijke set gegevens die zowel on-device als in-network signalen omvat. Deze gegevens zijn beschikbaar ongeacht de fysieke locatie of het netwerkgebruik van het apparaat.
Beveiligingsgebeurtenissen
Jamf-beveiligingsproducten genereren beveiligingsgebeurtenissen wanneer activiteit wordt gedetecteerd die een dreigingsbeleid of -analyse schendt. Deze gebeurtenissen kunnen worden gestreamd naar een luisterende SIEM/XDR/SOAR-service voor opname en analyse.
Afhankelijk van de implementatie bevatten deze gegevensstromen het volgende:
Jamf Protect voor macOS gegevensdoorvoer
- macOS-eindpunt dreigingsactiviteit
- Waarschuwingen en logs woordenboek
Jamf Threat Defense Threat Events Stream
- iOS/iPadOS- en Android-eindpunt gebeurtenisactiviteit
- macOS-, iOS/iPadOS-, Android- en Windows-netwerk gebeurtenisactiviteit
Systeemactiviteit
Jamf Protect voor macOS kan verschillende systeem- en gebruikersniveau-activiteiten verkrijgen voor het verrijken van uw beveiligingsoverzicht. Er zijn twee native functies van de Jamf Protect macOS-agent die moeten worden geconfigureerd om deze gebeurtenissen te verzamelen voordat ze naar uw SIEM/SOAR/XDR-backend worden verzonden.
- Jamf Protect Telemetrie voor macOS
- macOS-eindpunt systeem- en gebruikersgebeurtenissen
- Jamf Protect Unified Logging voor macOS
- macOS-eindpunt unified log streaming
Netwerkactiviteit
Jamf kan een ruwe feed van alle DNS- of HTTP-gebaseerde netwerkactiviteit (afhankelijk van de implementatie) gegenereerd door zakelijk beheerde of BYO-apparaten (alleen werk-/beheerde apps) doorsturen naar een externe gegevensrepository.
Deze gegevensstroom is uiterst waardevol voor organisaties om de volgorde van gebeurtenissen op het netwerk op te bouwen over een groot aantal apparaten die mogelijk tot een aanval hebben geleid. Het kan ook worden gebruikt om Shadow IT-gebruik in de organisatie te detecteren en te signaleren.
- Jamf Network Traffic Stream
- Netwerkactiviteit voor alle platforms met DNS- of HTTP Proxy-vectoring geïmplementeerd.
- Jamf Connect ZTNA Access-stream is nu beschikbaar. Lees meer