收集 Duo 活動記錄

本文說明如何部署以 Python 編寫的擷取指令碼做為 Cloud Run 函式，藉此匯出 Duo 活動記錄並擷取至 Google Security Operations，以及如何將記錄欄位對應至 Google SecOps 統一資料模型 (UDM) 欄位。

詳情請參閱「將資料擷取至 Google SecOps 總覽」。

一般部署作業包含 Duo 活動和擷取指令碼，這些指令碼會以 Cloud Run 函式形式部署，將記錄傳送至 Google SecOps。每個客戶的部署作業可能有所不同，也可能更複雜。

部署作業包含下列元件：

• Duo 活動：收集記錄的平台。

• Cloud Run 函式：部署為 Cloud Run 函式的擷取指令碼，可從 Duo 活動擷取記錄，並擷取至 Google SecOps。

• Google SecOps：保留及分析記錄檔。

注意：擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 DUO_ACTIVITY 攝入標籤的剖析器。

事前準備

• 確認您有權存取 Duo 管理員面板。
• 確認您使用的是 Duo 管理 API 2 以上版本。

設定 Duo 活動

1. 以管理員身分登入 Duo 管理面板。詳情請參閱「Duo 管理管理面板總覽」。
2. 依序點選「應用程式」 >「保護應用程式」。
3. 在「應用程式」清單中，依序點選「Admin API」>「保護」，即可取得整合金鑰、密鑰和 API 主機名稱。
4. 選取要授予 Admin API 應用程式的必要權限。如要進一步瞭解各項作業所需的權限，請參閱 Duo Admin API。

設定 Google SecOps 的記錄擷取功能

1. 建立部署目錄，用來儲存 Cloud Run 函式的檔案。這個目錄會包含部署作業所需的所有檔案。
2. 將 Google SecOps GitHub 存放區中 Duo 活動的 GitHub 子目錄內所有檔案，複製到這個部署目錄。
3. 將 common 資料夾和所有內容複製到部署目錄。
4. 編輯 .env.yml 檔案，加入所有必要的環境變數。
5. 在 Secret Manager 中，設定標示為「Secret」的環境變數。如要進一步瞭解如何建立密鑰，請參閱「建立及存取密鑰」。
6. 將密鑰的資源名稱做為環境變數的值。
7. 在 CHRONICLE_NAMESPACE 環境變數中輸入 DUO_ACTIVITY 值。
8. 在「Source code」(原始碼) 欄位中，選取「ZIP Upload」(上傳 ZIP 檔)。
9. 在「Destination bucket」(目的地值區) 欄位中，按一下「Browse」(瀏覽)，選取要上傳原始碼的 Cloud Storage 值區，做為部署作業的一部分。
10. 在「ZIP 檔案」欄位中，按一下「瀏覽」，從本機檔案系統選取要上傳的 ZIP 檔。函式來源檔案必須位於 zip 檔案的根目錄。
11. 按一下 [Deploy] (部署)。

詳情請參閱「使用部署為 Cloud Run 函式的擷取指令碼」。

支援的 Duo 活動記錄格式

Duo 活動剖析器支援 JSON 格式的記錄。

支援的 Duo 活動記錄範例

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

欄位對應參考資料

欄位對應參照：事件 ID 對應至事件類型

下表列出 DUO_ACTIVITY 記錄類型及其對應的 UDM 事件類型。

欄位對應參考資料：DUO_ACTIVITY

下表列出 DUO_ACTIVITY 記錄類型的記錄欄位，以及對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google SecOps

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。