Raccogliere i log delle attività di Duo

Supportato in:

Questo documento descrive come esportare i log delle attività di Duo e importarli in Google Security Operations dispiegando lo script di importazione scritto in Python come funzione Cloud Run e come i campi dei log vengono mappati ai campi del modello di dati unificato (UDM) di Google Security Operations.

Per ulteriori informazioni, consulta la Panoramica dell'importazione dei dati in Google Security Operations.

Un deployment tipico è costituito da Duo Activity e dallo script di importazione di cui è stato eseguito il deployment come funzioni Cloud Run per inviare i log a Google Security Operations. Ogni implementazione del cliente può essere diversa e potrebbe essere più complessa.

Il deployment contiene i seguenti componenti:

  • Attività di Duo: la piattaforma da cui raccogli i log.

  • Funzioni Cloud Run: lo script di importazione di cui è stato eseguito il deployment come funzioni Cloud Run per recuperare i log da Attività di Duo e importarli in Google Security Operations.

  • Google Security Operations: conserva e analizza i log.

Un'etichetta di importazione identifica l'analizzatore sintattico che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione DUO_ACTIVITY.

Prima di iniziare

  • Assicurati di avere accesso al pannello di amministrazione di Duo.
  • Assicurati di utilizzare la versione 2 o successive dell'API Duo Admin.

Configurare Attività di Duo

  1. Accedi al pannello di amministrazione di Duo come amministratore.
  2. Fai clic su Applicazioni > Proteggi un'applicazione.
  3. Nell'elenco Applicazioni, fai clic su API Admin > Proteggi per ottenere la chiave di integrazione, la chiave segreta e l'hostname dell'API.

Configurare l'importazione dei log per Google Security Operations

  1. Crea una directory di deployment per archiviare i file per le funzioni Cloud Run. che conterrà tutti i file necessari per il deployment.
  2. Copia tutti i file dalla sottodirectory GitHub di Attività di Duo nel repository GitHub di Google Security Operations in questa directory di deployment.
  3. Copia la cartella comune e tutti i contenuti nella directory di deployment.
  4. Modifica il file .env.yml per aggiungere tutte le variabili di ambiente richieste.
  5. Configura le variabili di ambiente contrassegnate come Secret in Secret Manager. Per ulteriori informazioni su come creare i secret, consulta Creare e accedere ai secret.
  6. Utilizza il nome della risorsa del segreto come valore per le variabili di ambiente.
  7. Inserisci il valore DUO_ACTIVITY nella variabile di ambiente CHRONICLE_NAMESPACE.
  8. Nel campo Codice sorgente, seleziona Caricamento ZIP.
  9. Nel campo Bucket di destinazione, fai clic su Sfoglia per selezionare un bucket Cloud Storage su cui caricare il codice sorgente durante il deployment.
  10. Nel campo File ZIP, fai clic su Sfoglia per selezionare un file ZIP da caricare dal file system locale. I file di origine della funzione devono trovarsi nella directory principale del file ZIP.
  11. Fai clic su Esegui il deployment.

Per ulteriori informazioni, consulta Utilizzare gli script di importazione di cui è stato eseguito il deployment come funzioni Cloud Run.

Riferimento alla mappatura dei campi

Riferimento alla mappatura dei campi: identificatore evento a tipo di evento

La tabella seguente elenca i tipi di log DUO_ACTIVITY e i relativi tipi di eventi UDM corrispondenti.
Event Identifier Event Type Security Category
admin_activate_duo_push DEVICE_PROGRAM_DOWNLOAD
admin_factor_restrictions RESOURCE_PERMISSIONS_CHANGE
admin_login USER_UNCATEGORIZED
admin_rectivates_duo_push DEVICE_PROGRAM_DOWNLOAD
admin_reset_password USER_CHANGE_PASSWORD
admin_send_reset_password_email EMAIL_TRANSACTION
bypass_create RESOURCE_CREATION
bypass_delete RESOURCE_DELETION
bypass_view RESOURCE_READ
deregister_devices USER_RESOURCE_DELETION
device_change_enrollment_summary_notification_answered USER_COMMUNICATION
device_change_enrollment_summary_notification_answered_notify_admin USER_COMMUNICATION
device_change_enrollment_summary_notification_send USER_COMMUNICATION
device_change_notification_answered USER_COMMUNICATION
device_change_notification_answered_notify_admin USER_COMMUNICATION
device_change_notification_create RESOURCE_CREATION
device_change_notification_send USER_COMMUNICATION
group_create GROUP_CREATION
group_delete GROUP_DELETION
group_update GROUP_MODIFICATION
hardtoken_create RESOURCE_CREATION
hardtoken_delete RESOURCE_DELETION
hardtoken_resync RESOURCE_WRITTEN
hardtoken_update RESOURCE_WRITTEN
integration_create RESOURCE_CREATION
integration_delete RESOURCE_DELETION
integration_group_policy_add GROUP_UNCATEGORIZED
integration_group_policy_remove GROUP_UNCATEGORIZED
integration_policy_assign USER_UNCATEGORIZED
integration_policy_unassign USER_UNCATEGORIZED
integration_skey_bulk_view RESOURCE_READ
integration_skey_view RESOURCE_READ
integration_update RESOURCE_WRITTEN
log_export_start USER_UNCATEGORIZED
log_export_complete USER_UNCATEGORIZED
log_export_failure USER_UNCATEGORIZED
management_system_activate_device_cache DEVICE_CONFIG_UPDATE
management_system_active_device_cache_add_devices RESOURCE_CREATION
management_system_active_device_cache_delete_devices RESOURCE_DELETION
management_system_active_device_cache_edit_devices RESOURCE_WRITTEN
management_system_add_devices RESOURCE_CREATION
management_system_create RESOURCE_CREATION
management_system_delete RESOURCE_DELETION
management_system_delete_devices RESOURCE_DELETION
management_system_device_cache_add_devices RESOURCE_CREATION
management_system_device_cache_create RESOURCE_CREATION
management_system_device_cache_delete RESOURCE_DELETION
management_system_device_cache_delete_devices RESOURCE_DELETION
management_system_download_device_api_script DEVICE_PROGRAM_DOWNLOAD
management_system_pkcs12_enrollment RESOURCE_CREATION
management_system_sync_failure USER_UNCATEGORIZED
management_system_sync_success USER_UNCATEGORIZED
management_system_update USER_UNCATEGORIZED
management_system_view_password RESOURCE_READ
management_system_view_token RESOURCE_READ
phone_activation_code_regenerated RESOURCE_CREATION
phone_associate RESOURCE_CREATION
phone_create RESOURCE_CREATION
phone_delete RESOURCE_DELETION
phone_disassociate RESOURCE_DELETION
phone_new_sms_passcode RESOURCE_CREATION
phone_update RESOURCE_WRITTEN
policy_create RESOURCE_CREATION
policy_delete RESOURCE_DELETION
policy_update RESOURCE_WRITTEN
u2ftoken_create RESOURCE_CREATION
u2ftoken_delete RESOURCE_DELETION
user_not_enrolled_lockout USER_CHANGE_PERMISSIONS
user_adminapi_lockout USER_CHANGE_PERMISSIONS
user_lockout_cleared USER_CHANGE_PERMISSIONS
webauthncredential_create RESOURCE_CREATION
webauthncredential_delete RESOURCE_DELETION
webauthncredential_rename RESOURCE_WRITTEN

Riferimento alla mappatura dei campi: DUO_ACTIVITY

La tabella seguente elenca i campi del log del tipo di log DUO_ACTIVITY e i relativi campi UDM.

Log field UDM mapping Logic
principal.platform If the access_device.os log field value matches the regular expression pattern (?i)Win, then the principal.platform UDM field is set to WINDOWS.

Else, if the access_device.os log field value matches the regular expression pattern (?i)Lin, then the principal.platform UDM field is set to LINUX.

Else, if the access_device.os log field value matches the regular expression pattern (?i)Mac, then the principal.platform UDM field is set to MAC.

Else, if the access_device.os log field value matches the regular expression pattern (?i)ios, then the principal.platform UDM field is set to IOS.

Else, if the access_device.os log field value matches the regular expression pattern (?i)Chrome, then the principal.platform UDM field is set to CHROME_OS.

Else, if the access_device.os log field value matches the regular expression pattern (?i)Android, then the principal.platform UDM field is set to ANDROID.

Else, the principal.platform UDM field is set to UNKNOWN_PLATFORM.
access_device.os_version principal.platform_version
access_device.ip.address principal.ip
access_device.location.country principal.location.country_or_region
access_device.location.state principal.location.state
access_device.location.city principal.location.city
access_device.browser principal.asset.attribute.labels[access_device_browser]
access_device.browser_version principal.asset.attribute.labels[access_device_browser_version]
ts metadata.event_timestamp
activity_id metadata.product_log_id
akey principal.asset.product_object_id
outcome.result security_result.action_details
application.key principal.resource.product_object_id
application.name principal.application
application.type principal.resource.resource_subtype
action.details principal.user.attribute.labels[action_details]
action.name metadata.product_event_type
actor.key principal.user.userid
actor.name principal.user.user_display_name
actor.type principal.user.attribute.labels[actor_type]
target.key target.asset.attribute.labels[target_key]
target.name target.asset.hostname
target.type target.asset.category
target.details target.user.attribute.labels[target_details]
old_target.key about.asset.attribute.labels[old_target_key]
old_target.name about.asset.hostname
old_target.type about.asset.category
old_target.details about.user.attribute.labels[old_target_details]
actor.details.created principal.user.first_seen_time
actor.details.last_login principal.user.last_login_time
actor.details.status principal.user.attribute.labels[status]
actor.details.email principal.user.email_addresses
actor.details.group.key principal.user.attribute.labels[actor_details_group_key]
actor.details.group.name principal.user.attribute.labels[actor_details_group_name]

Passaggi successivi