Duo-Aktivitätsprotokolle erfassen

In diesem Dokument wird beschrieben, wie Sie Duo-Aktivitätslogs exportieren und in Google Security Operations aufnehmen, indem Sie das in Python geschriebene Aufnahmeskript als Cloud Run-Funktion bereitstellen. Außerdem wird beschrieben, wie Logfelder UDM-Feldern (Unified Data Model) von Google SecOps zugeordnet werden.

Weitere Informationen finden Sie unter Datenaufnahme in Google SecOps – Übersicht.

Eine typische Bereitstellung besteht aus Duo Activity und dem Erfassungsskript, das als Cloud Run-Funktionen bereitgestellt wird, um Logs an Google SecOps zu senden. Jede Kundenbereitstellung kann unterschiedlich sein und komplexer ausfallen.

Die Bereitstellung enthält die folgenden Komponenten:

• Duo-Aktivität: Die Plattform, von der Sie Logs erfassen.

• Cloud Run Functions: Das als Cloud Run Functions bereitgestellte Erfassungsskript zum Abrufen von Logs aus Duo-Aktivitäten und zum Erfassen in Google SecOps.

• Google SecOps: Behält die Logs bei und analysiert sie.

Hinweis:Mit einem Ingestion-Label wird der Parser identifiziert, der Rohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Label DUO_ACTIVITY.

Hinweise

• Sie benötigen Zugriff auf das Duo-Admin-Dashboard.
• Achten Sie darauf, dass Sie die Duo Admin API Version 2 oder höher verwenden.

Duo-Aktivitäten konfigurieren

1. Melden Sie sich als Administrator im Duo-Admin-Steuerfeld an. Weitere Informationen finden Sie unter Übersicht über die Duo-Verwaltung.
2. Klicken Sie auf Anwendungen > Anwendung schützen.
3. Klicken Sie in der Liste „Applications“ (Anwendungen) auf „Admin API“ > Protect (Schützen), um Ihren Integrationsschlüssel, Ihren geheimen Schlüssel und den API-Hostname zu erhalten.
4. Wählen Sie die erforderlichen Berechtigungen aus, die Sie der Admin API-Anwendung gewähren möchten. Weitere Informationen zu den erforderlichen Berechtigungen für die jeweiligen Vorgänge finden Sie unter Duo Admin API.

Logaufnahme für Google SecOps konfigurieren

1. Erstellen Sie ein Bereitstellungsverzeichnis zum Speichern der Dateien für die Cloud Run-Funktionen. Dieses Verzeichnis enthält alle für die Bereitstellung erforderlichen Dateien.
2. Kopieren Sie alle Dateien aus dem GitHub-Unterverzeichnis von Duo Activity im GitHub-Repository von Google SecOps in dieses Bereitstellungsverzeichnis.
3. Kopieren Sie den gemeinsamen Ordner und seinen gesamten Inhalt in das Bereitstellungsverzeichnis.
4. Bearbeiten Sie die Datei .env.yml, um alle erforderlichen Umgebungsvariablen hinzuzufügen.
5. Konfigurieren Sie die Umgebungsvariablen, die in Secret Manager als Secret gekennzeichnet sind. Weitere Informationen zum Erstellen von Secrets finden Sie unter Secrets erstellen und aufrufen.
6. Verwenden Sie den Ressourcennamen des Secrets als Wert für die Umgebungsvariablen.
7. Geben Sie den Wert DUO_ACTIVITY in die Umgebungsvariable CHRONICLE_NAMESPACE ein.
8. Wählen Sie im Feld Quellcode die Option ZIP-Datei hochladen aus.
9. Klicken Sie im Feld Ziel-Bucket auf Durchsuchen, um einen Cloud Storage-Bucket auszuwählen, in dem der Quellcode als Teil der Bereitstellung hochgeladen werden soll.
10. Klicken Sie im Feld ZIP-Datei auf Durchsuchen, um eine ZIP-Datei zum Hochladen aus Ihrem lokalen Dateisystem auszuwählen. Die Quelldateien Ihrer Funktion müssen sich im Stammverzeichnis der ZIP-Datei befinden.
11. Klicken Sie auf Bereitstellen.

Weitere Informationen finden Sie unter Aufnahmeskripts verwenden, die als Cloud Run Functions bereitgestellt werden.

Unterstützte Formate für Duo-Aktivitätsprotokolle

Der Duo-Aktivitätsparser unterstützt Logs im JSON-Format.

Beispiel-Logs für unterstützte Duo-Aktivitäten

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

Referenz zur Feldzuordnung

Feldzuordnung: Ereignis-ID zu Ereignistyp

In der folgenden Tabelle sind die DUO_ACTIVITY-Logtypen und die entsprechenden UDM-Ereignistypen aufgeführt.

Referenz zur Feldzuordnung: DUO_ACTIVITY

In der folgenden Tabelle sind die Logfelder des Logtyps DUO_ACTIVITY und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google SecOps

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten