Duo アクティビティ ログを収集する

このドキュメントでは、Python で記述された取り込みスクリプトを Cloud Run 関数としてデプロイして Duo アクティビティ ログをエクスポートし、Google Security Operations に取り込む方法と、ログフィールドが Google SecOps 統合データモデル（UDM）フィールドにマッピングされる方法について説明します。

詳細については、Google SecOps へのデータの取り込みの概要をご覧ください。

一般的なデプロイは、Duo Activity と、Google SecOps にログを送信するために Cloud Run functions としてデプロイされた取り込みスクリプトで構成されます。お客様のデプロイはそれぞれ異なり、より複雑になる場合もあります。

デプロイには次のコンポーネントが含まれます。

• Duo Activity: ログを収集するプラットフォーム。

• Cloud Run functions: Duo アクティビティからログを取得して Google SecOps に取り込むために Cloud Run functions としてデプロイされた取り込みスクリプト。

• Google SecOps: ログを保持して分析します。

注: 取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル DUO_ACTIVITY が付加されたパーサーに適用されます。

始める前に

• Duo 管理パネルにアクセスできることを確認します。
• Duo Admin API バージョン 2 以降を使用していることを確認します。

Duo アクティビティを構成する

1. 管理者として Duo 管理パネルにログインします。詳細については、Duo Administration 管理パネルの概要をご覧ください。
2. [Applications] > [Protect an Application] をクリックします。
3. [Applications] リストで、[Admin API] > [Protect] をクリックして、統合キー、シークレット キー、API ホスト名を取得します。
4. Admin API アプリケーションに付与する必要な権限を選択します。各オペレーションに必要な権限の詳細については、Duo Admin API をご覧ください。

Google SecOps のログ取り込みを構成する

1. Cloud Run functions のファイルを保存するデプロイ ディレクトリを作成します。このディレクトリには、デプロイに必要なすべてのファイルが含まれます。
2. Google SecOps の GitHub リポジトリにある Duo アクティビティの GitHub サブディレクトリから、このデプロイ ディレクトリにすべてのファイルをコピーします。
3. 共通フォルダとそのすべてのコンテンツをデプロイ ディレクトリにコピーします。
4. .env.yml ファイルを編集して、必要な環境変数をすべて追加します。
5. Secret Manager で Secret としてマークされた環境変数を構成します。シークレットの作成方法については、シークレットの作成とアクセスをご覧ください。
6. シークレットのリソース名を環境変数の値として使用します。
7. CHRONICLE_NAMESPACE 環境変数に値 DUO_ACTIVITY を入力します。
8. [ソースコード] フィールドで [ZIP アップロード] を選択します。
9. [転送先バケット] フィールドで [参照] をクリックして、デプロイでソースコードをアップロードする Cloud Storage バケットを選択します。
10. [ZIP ファイル] フィールドで [参照] をクリックして、ローカル ファイル システムからアップロードする zip ファイルを選択します。関数のソースファイルは ZIP ファイルのルートに置く必要があります。
11. [デプロイ] をクリックします。

詳細については、Cloud Run functions としてデプロイされた取り込みスクリプトを使用するをご覧ください。

サポートされている Duo アクティビティ ログの形式

Duo アクティビティ パーサーは、JSON 形式のログをサポートしています。

サポートされている Duo アクティビティのサンプルログ

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

フィールド マッピング リファレンス

フィールド マッピング リファレンス: イベント識別子からイベントタイプへ

次の表に、DUO_ACTIVITY ログタイプと対応する UDM のイベントの種類を示します。

フィールド マッピング リファレンス: DUO_ACTIVITY

次の表に、DUO_ACTIVITY ログタイプのログ フィールドと、対応する UDM フィールドを示します。

次のステップ

• Google SecOps へのデータ取り込み

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。