Recopila registros de actividad de Duo

En este documento, se describe cómo exportar los registros de actividad de Duo y transferirlos a Google Security Operations implementando la secuencia de comandos de transferencia escrita en Python como una función de Cloud Run, y cómo los campos de registro se asignan a los campos del Modelo de datos unificado (UDM) de Google SecOps.

Para obtener más información, consulta Descripción general de la transferencia de datos a Google SecOps.

Una implementación típica consta de la actividad de Duo y la secuencia de comandos de transferencia implementadas como funciones de Cloud Run para enviar registros a Google SecOps. Cada implementación para el cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• Actividad de Duo: Es la plataforma desde la que recopilas registros.

• Cloud Run Functions: Es la secuencia de comandos de transferencia implementada como Cloud Run Functions para recuperar registros de la actividad de Duo y transferirlos a Google SecOps.

• Google SecOps: Conserva y analiza los registros.

Nota: Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia DUO_ACTIVITY.

Antes de comenzar

• Asegúrate de tener acceso al panel de administración de Duo.
• Asegúrate de usar la versión 2 o una posterior de la API de Duo Admin.

Cómo configurar la actividad en Duo

1. Accede al panel de administración de Duo como administrador. Para obtener más información, consulta Descripción general del panel de administración de Duo Administration.
2. Haz clic en Aplicaciones > Proteger una aplicación.
3. En la lista de aplicaciones, haz clic en API de Admin > Protect para obtener tu clave de integración, clave secreta y nombre de host de la API.
4. Selecciona los permisos necesarios que deseas otorgar a la aplicación de la API de Admin. Para obtener más información sobre los permisos necesarios para las operaciones respectivas, consulta la API de Duo Admin.

Configura la transferencia de registros para Google SecOps

1. Crea un directorio de implementación para almacenar los archivos de las funciones de Cloud Run. Este directorio contendrá todos los archivos necesarios para la implementación.
2. Copia todos los archivos del subdirectorio de GitHub de Duo Activity ubicado en el repositorio de GitHub de Google SecOps en este directorio de implementación.
3. Copia la carpeta común y todo su contenido en el directorio de implementación.
4. Edita el archivo .env.yml para agregar todas las variables de entorno necesarias.
5. Configura las variables de entorno marcadas como Secret en Secret Manager. Para obtener más información sobre cómo crear secretos, consulta Crea y accede a secretos.
6. Usa el nombre del recurso del secreto como el valor de las variables de entorno.
7. Ingresa el valor DUO_ACTIVITY en la variable de entorno CHRONICLE_NAMESPACE.
8. En el campo Código fuente, selecciona Carga de ZIP.
9. En el campo Bucket de destino, haz clic en Explorar para seleccionar un bucket de Cloud Storage al que subir tu código fuente como parte de la implementación.
10. En el campo Archivo ZIP, haz clic en Explorar para seleccionar un archivo ZIP para subirlo desde tu sistema de archivos local. Los archivos fuente de tu función deben estar ubicados en la raíz del archivo zip.
11. Haz clic en Implementar.

Para obtener más información, consulta Usa secuencias de comandos de transferencia implementadas como Cloud Run Functions.

Formatos admitidos del registro de actividad de Duo

El analizador de actividad de Duo admite registros en formatos JSON.

Registros de muestras de actividad de Duo admitidos

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

Referencia de la asignación de campos

Referencia de asignación de campos: Del identificador de evento al tipo de evento

En la siguiente tabla, se enumeran los tipos de registros de DUO_ACTIVITY y sus tipos de eventos de UDM correspondientes.

Referencia de asignación de campos: DUO_ACTIVITY

En la siguiente tabla, se enumeran los campos de registro del tipo de registro DUO_ACTIVITY y sus campos de UDM correspondientes.

¿Qué sigue?

• Ingesta de datos en Google SecOps

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.