Coletar registros de atividades do Duo

Este documento descreve como exportar registros de atividades do Duo e ingerir esses dados no Google Security Operations implantando o script de ingestão escrito em Python como uma função do Cloud Run. Também explica como os campos de registro são mapeados para os campos do Modelo Unificado de Dados (UDM, na sigla em inglês) do Google SecOps.

Para mais informações, consulte Visão geral da ingestão de dados no Google SecOps.

Uma implantação típica consiste na atividade do Duo e no script de ingestão implantado como funções do Cloud Run para enviar registros ao Google SecOps. Cada implantação de cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• Atividade do Duo: a plataforma de onde você coleta registros.

• Cloud Run functions: o script de ingestão implantado como funções do Cloud Run para buscar registros da atividade do Duo e ingerir no Google SecOps.

• Google SecOps: retém e analisa os registros.

Observação:um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão DUO_ACTIVITY.

Antes de começar

• Verifique se você tem acesso ao painel de administração do Duo.
• Verifique se você está usando a versão 2 ou mais recente da API Duo Admin.

Configurar a atividade do Duo

1. Faça login no painel de administrador do Duo como administrador. Para mais informações, consulte Visão geral do painel de administração do Duo.
2. Clique em Aplicativos > Proteger um aplicativo.
3. Na lista de aplicativos, clique em API Admin > Proteger para acessar a chave de integração, a chave secreta e o nome do host da API.
4. Selecione as permissões necessárias que você quer conceder ao aplicativo da API Admin. Para mais informações sobre as permissões necessárias para as respectivas operações, consulte API Duo Admin.

Configurar a ingestão de registros para o Google SecOps

1. Crie um diretório de implantação para armazenar os arquivos das funções do Cloud Run. Esse diretório vai conter todos os arquivos necessários para a implantação.
2. Copie todos os arquivos do subdiretório do GitHub da atividade do Duo, localizado no repositório do GitHub do Google SecOps, para esse diretório de implantação.
3. Copie a pasta comum e todo o conteúdo dela para o diretório de implantação.
4. Edite o arquivo .env.yml para adicionar todas as variáveis de ambiente necessárias.
5. Configure as variáveis de ambiente marcadas como Secret no Secret Manager. Para mais informações sobre como criar secrets, consulte Como criar e acessar secrets.
6. Use o nome do recurso do secret como valor das variáveis de ambiente.
7. Insira o valor DUO_ACTIVITY na variável de ambiente CHRONICLE_NAMESPACE.
8. No campo Código-fonte, selecione Upload do ZIP.
9. No campo Bucket de destino, clique em Procurar para selecionar um bucket do Cloud Storage em que fazer upload do código-fonte como parte da implantação.
10. No campo Arquivo ZIP, clique em Procurar para selecionar um arquivo ZIP para fazer upload do seu sistema de arquivos local. Os arquivos de origem da função precisam estar localizados na raiz do arquivo ZIP.
11. Clique em Implantar.

Para mais informações, consulte Usar scripts de ingestão implantados como funções do Cloud Run.

Formatos de registro de atividades do Duo aceitos

O analisador de atividades do Duo é compatível com registros em formatos JSON.

Registros de amostra de atividade do Duo compatíveis

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

Referência de mapeamento de campos

Referência de mapeamento de campos: identificador de evento para tipo de evento

A tabela a seguir lista os tipos de registros DUO_ACTIVITY e os tipos de eventos da UDM correspondentes.

Referência de mapeamento de campo: DUO_ACTIVITY

A tabela a seguir lista os campos de registro do tipo DUO_ACTIVITY e os campos correspondentes da UDM.

A seguir

• Ingestão de dados no Google SecOps

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.