Recolha registos de atividade do Duo

Este documento descreve como exportar os registos de atividade do Duo e carregá-los no Google Security Operations implementando o script de carregamento escrito em Python como uma função do Cloud Run e como os campos de registo são mapeados para os campos do modelo de dados unificado (UDM) do Google SecOps.

Para mais informações, consulte o artigo Vista geral da ingestão de dados no Google SecOps.

Uma implementação típica consiste na atividade do Duo e no script de carregamento implementado como funções do Cloud Run para enviar registos para o Google SecOps. Cada implementação do cliente pode ser diferente e mais complexa.

A implementação contém os seguintes componentes:

• Atividade do Duo: a plataforma a partir da qual recolhe registos.

• Funções do Cloud Run: o script de carregamento implementado como funções do Cloud Run para obter registos da atividade do Duo e carregá-los no Google SecOps.

• Google SecOps: retém e analisa os registos.

Nota: uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento DUO_ACTIVITY.

Antes de começar

• Certifique-se de que tem acesso ao painel de administração do Duo.
• Certifique-se de que está a usar a versão 2 ou posterior da API Duo Admin.

Configure a Atividade do Duo

1. Inicie sessão no painel de administração do Duo como administrador. Para mais informações, consulte o artigo Vista geral do painel de administração do Duo Administration.
2. Clique em Aplicações > Proteger uma aplicação.
3. Na lista Applications (Aplicações), clique em Admin API > Protect para obter a chave de integração, a chave secreta e o nome do anfitrião da API.
4. Selecione as autorizações necessárias que quer conceder à aplicação da API Admin. Para mais informações acerca das autorizações necessárias para as respetivas operações, consulte a API Duo Admin.

Configure o carregamento de registos para o Google SecOps

1. Crie um diretório de implementação para armazenar os ficheiros das funções do Cloud Run. Este diretório vai conter todos os ficheiros necessários para a implementação.
2. Copie todos os ficheiros do subdiretório do GitHub da Atividade do Duo localizado no repositório do GitHub do Google SecOps para este diretório de implementação.
3. Copie a pasta comum e todo o respetivo conteúdo para o diretório de implementação.
4. Edite o ficheiro .env.yml para adicionar todas as variáveis de ambiente necessárias.
5. Configure as variáveis de ambiente marcadas como Secret no Secret Manager. Para mais informações sobre como criar segredos, consulte o artigo Criar e aceder a segredos.
6. Use o nome do recurso do segredo como o valor das variáveis de ambiente.
7. Introduza o valor DUO_ACTIVITY na variável de ambiente CHRONICLE_NAMESPACE.
8. No campo Código fonte, selecione Carregamento ZIP.
9. No campo Contentor de destino, clique em Procurar para selecionar um contentor do Cloud Storage para carregar o código fonte como parte da implementação.
10. No campo Ficheiro ZIP, clique em Procurar para selecionar um ficheiro ZIP a carregar a partir do sistema de ficheiros local. Os ficheiros de origem da função têm de estar localizados na raiz do ficheiro ZIP.
11. Clique em Implementar.

Para mais informações, consulte o artigo Use scripts de carregamento implementados como funções do Cloud Run.

Formatos de registo de atividade do Duo suportados

O analisador de atividade do Duo suporta registos em formatos JSON.

Registos de exemplo de atividade do Duo suportados

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

Referência de mapeamento de campos

Referência de mapeamento de campos: identificador do evento para tipo de evento

A tabela seguinte apresenta os DUO_ACTIVITY tipos de registos e os respetivos tipos de eventos da UDM.

Referência de mapeamento de campos: DUO_ACTIVITY

A tabela seguinte apresenta os campos de registo do DUO_ACTIVITY tipo de registo e os respetivos campos UDM.

O que se segue?

• Carregamento de dados para o Google SecOps

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.