Recoger registros de actividad de Duo

En este documento se describe cómo exportar los registros de actividad de Duo e insertarlos en Google Security Operations implementando la secuencia de comandos de inserción escrita en Python como una función de Cloud Run, así como la asignación de los campos de registro a los campos del modelo de datos unificado (UDM) de Google SecOps.

Para obtener más información, consulta el artículo Descripción general de la ingesta de datos en Google SecOps.

Una implementación típica consta de la actividad de Duo y de la secuencia de comandos de ingestión desplegada como funciones de Cloud Run para enviar registros a Google SecOps. Cada implementación de cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• Actividad de Duo: la plataforma de la que recoges los registros.

• Cloud Run Functions: la secuencia de comandos de ingesta se ha desplegado como Cloud Run Functions para obtener registros de la actividad de Duo e insertarlos en Google SecOps.

• Google SecOps: conserva y analiza los registros.

Nota: Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión DUO_ACTIVITY.

Antes de empezar

• Asegúrate de que tienes acceso al panel de administración de Duo.
• Asegúrate de que estás usando la versión 2 o una posterior de la API Duo Admin.

Configurar la actividad de Duo

1. Inicia sesión en el panel de administración de Duo como administrador. Para obtener más información, consulta el artículo Descripción general del panel de administración de Duo.
2. Haz clic en Aplicaciones > Proteger una aplicación.
3. En la lista Aplicaciones, haz clic en API Admin > Proteger para obtener tu clave de integración, tu clave secreta y el nombre de host de la API.
4. Selecciona los permisos necesarios que quieras conceder a la aplicación de la API Admin. Para obtener más información sobre los permisos necesarios para las operaciones correspondientes, consulta la API Duo Admin.

Configurar la ingesta de registros para Google SecOps

1. Crea un directorio de implementación para almacenar los archivos de las funciones de Cloud Run. Este directorio contendrá todos los archivos necesarios para la implementación.
2. Copia todos los archivos del subdirectorio de GitHub de la actividad de Duo, que se encuentra en el repositorio de GitHub de Google SecOps, en este directorio de implementación.
3. Copia la carpeta común y todo su contenido en el directorio de implementación.
4. Edita el archivo .env.yml para añadir todas las variables de entorno necesarias.
5. Configura las variables de entorno marcadas como Secreto en Secret Manager. Para obtener más información sobre cómo crear secretos, consulta Crear y acceder a secretos.
6. Usa el nombre del recurso del secreto como valor de las variables de entorno.
7. Introduce el valor DUO_ACTIVITY en la variable de entorno CHRONICLE_NAMESPACE.
8. En el campo Código fuente, seleccione Subida de ZIP.
9. En el campo Segmento de destino, haz clic en Examinar para seleccionar un segmento de Cloud Storage al que subir el código fuente como parte de la implementación.
10. En el campo Archivo ZIP, haga clic en Examinar para seleccionar un archivo ZIP que quiera subir desde su sistema de archivos local. Los archivos de origen de la función deben estar en la raíz del archivo ZIP.
11. Haz clic en Desplegar.

Para obtener más información, consulta Usar secuencias de comandos de ingestión implementadas como funciones de Cloud Run.

Formatos admitidos del registro de actividad de Duo

El analizador de actividad de Duo admite registros en formato JSON.

Registros de ejemplo de actividad de Duo admitidos

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

Referencia de asignación de campos

Referencia de asignación de campos: identificador de evento a tipo de evento

En la siguiente tabla se enumeran los DUO_ACTIVITY tipos de registros y sus tipos de eventos de UDM correspondientes.

Referencia de asignación de campos: DUO_ACTIVITY

En la siguiente tabla se enumeran los campos de registro del tipo de registro DUO_ACTIVITY y sus campos de UDM correspondientes.

Siguientes pasos

• Ingestión de datos en Google SecOps

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.