Mengumpulkan log Aktivitas Duo

Dokumen ini menjelaskan cara mengekspor log Aktivitas Duo dan menyerapnya ke dalam Google Security Operations dengan men-deploy skrip penyerapan yang ditulis dalam Python sebagai fungsi Cloud Run dan cara pemetaan kolom log ke kolom Model Data Terpadu (UDM) Google SecOps.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan penyerapan data ke Google SecOps.

Deployment umum terdiri dari Aktivitas Duo dan skrip penyerapan yang di-deploy sebagai Cloud Run functions untuk mengirim log ke Google SecOps. Setiap deployment pelanggan dapat berbeda dan mungkin lebih kompleks.

Deployment berisi komponen berikut:

• Aktivitas Duo: Platform tempat Anda mengumpulkan log.

• Cloud Run functions: Skrip penyerapan yang di-deploy sebagai Cloud Run functions untuk mengambil log dari Aktivitas Duo dan menyerapnya ke Google SecOps.

• Google SecOps: Mempertahankan dan menganalisis log.

Catatan: Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan DUO_ACTIVITY.

Sebelum memulai

• Pastikan Anda memiliki akses ke panel Admin Duo.
• Pastikan Anda menggunakan Duo Admin API versi 2 atau yang lebih baru.

Mengonfigurasi Aktivitas Duo

1. Login ke panel Admin Duo sebagai administrator. Untuk mengetahui informasi selengkapnya, lihat Ringkasan Panel Admin Administrasi Duo.
2. Klik Aplikasi > Lindungi Aplikasi.
3. Di daftar Aplikasi, klik Admin API > Protect untuk mendapatkan kunci integrasi, kunci rahasia, dan nama host API Anda.
4. Pilih izin yang diperlukan yang ingin Anda berikan ke aplikasi Admin API. Untuk mengetahui informasi selengkapnya terkait izin yang diperlukan untuk masing-masing operasi, lihat Duo Admin API.

Mengonfigurasi penyerapan log untuk Google SecOps

1. Buat direktori deployment untuk menyimpan file fungsi Cloud Run. Direktori ini akan berisi semua file yang diperlukan untuk deployment.
2. Salin semua file dari subdirektori GitHub Duo Activity yang ada di repositori GitHub Google SecOps ke direktori deployment ini.
3. Salin folder umum dan semua isinya ke direktori deployment.
4. Edit file .env.yml untuk menambahkan semua variabel lingkungan yang diperlukan.
5. Konfigurasi variabel lingkungan yang ditandai sebagai Secret di Secret Manager. Untuk mengetahui informasi selengkapnya tentang cara membuat secret, lihat Membuat dan mengakses secret.
6. Gunakan nama resource secret sebagai nilai untuk variabel lingkungan.
7. Masukkan nilai DUO_ACTIVITY dalam variabel lingkungan CHRONICLE_NAMESPACE.
8. Di kolom Kode sumber, pilih Upload ZIP.
9. Di kolom Bucket tujuan, klik Telusuri untuk memilih bucket Cloud Storage yang akan menjadi tujuan upload kode sumber Anda sebagai bagian dari deployment.
10. Di kolom ZIP file, klik Telusuri untuk memilih file zip yang akan diupload dari sistem file lokal Anda. File sumber fungsi Anda harus berada di root file ZIP.
11. Klik Deploy.

Untuk mengetahui informasi selengkapnya, lihat Menggunakan skrip penyerapan yang di-deploy sebagai fungsi Cloud Run.

Format log Aktivitas Duo yang didukung

Parser Aktivitas Duo mendukung log dalam format JSON.

Log Contoh Aktivitas Duo yang Didukung

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

Referensi pemetaan kolom

Referensi pemetaan kolom: ID Peristiwa ke Jenis Peristiwa

Tabel berikut mencantumkan jenis log DUO_ACTIVITY dan jenis peristiwa UDM yang sesuai.

Referensi pemetaan kolom: DUO_ACTIVITY

Tabel berikut mencantumkan kolom log jenis log DUO_ACTIVITY dan kolom UDM yang sesuai.

Langkah berikutnya

• Penyerapan data ke Google SecOps

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.