Duo Security 로그
Panther는 Duo에서 로그를 직접 가져오는 것을 지원합니다
마지막 업데이트
도움이 되었나요?
도움이 되었나요?
스키마: Duo.Administrator
파서:
네이티브:
이름: Duo.Administrator
설명: Duo 관리자 로그 이벤트.
참조 URL: https://duo.com/docs/adminapi#administrator-logs
필드:
- 이름: action
필수: true
설명: 수행된 변경 유형입니다.
유형: string
- 이름: description
설명: 변경된 내용을 자세히 설명하는 문자열입니다. 자유 형식 텍스트 또는 직렬화된 JSON일 수 있습니다.
유형: string
- 이름: description_json
설명: 'Description' 필드가 유효한 JSON이면 JSON 객체로 표시됩니다. 그렇지 않으면 null입니다.
유형: json
- 이름: isotimestamp
필수: true
설명: 이벤트의 ISO8601 타임스탬프입니다.
유형: timestamp
시간 형식: rfc3339
이벤트 시간 여부: true
- 이름: object
설명: '작업이 수행된 대상 객체입니다. 예: 사용자의 경우 "jsmith", 전화의 경우 "(555) 713-6275 x456", 토큰의 경우 "HOTP 8-digit 123456".'
유형: string
- 이름: timestamp
설명: 이벤트의 Unix 타임스탬프입니다.
유형: timestamp
시간 형식: unix
- 이름: username
필수: true
설명: 'Duo Admin Panel에서 작업을 수행한 관리자의 전체 이름입니다. 작업이 API로 수행된 경우 "API"가 됩니다. 비활성 사용자 삭제와 같은 자동 작업의 username은 "System"입니다. Directory Sync에서 동기화된 변경 사항의 username은 (예: "AD Sync: name of directory") 형식입니다.'
유형: string
지표:
- username스키마: Duo.Authentication
파서:
네이티브:
이름: Duo.Authentication
설명: Duo 인증 로그 이벤트(v2).
참조 URL: https://duo.com/docs/adminapi#authentication-logs
필드:
- 이름: access_device
설명: Duo로 보호되는 리소스에 액세스하는 데 사용된 엔드포인트의 브라우저, 플러그인 및 운영 체제 정보입니다. 값은 애플리케이션이 Duo의 인라인 브라우저 프롬프트 기능에 액세스한 경우에만 존재합니다.
유형: object
필드:
- 이름: browser
설명: 액세스에 사용된 웹 브라우저입니다.
유형: string
- 이름: browser_version
설명: 브라우저 버전입니다.
유형: string
- 이름: flash_version
설명: 사용된 Flash 플러그인 버전입니다. 있으면 표시하고, 없으면 "uninstalled"입니다.
유형: string
- 이름: hostname
설명: 호스트 이름입니다. 있으면 표시하고, 없으면 "null"입니다.
유형: string
지표:
- hostname
- 이름: ip
설명: 액세스 장치의 IP 주소입니다. 있으면 표시하고, 없으면 "null"입니다.
유형: string
지표:
- ip
- 이름: is_encryption_enabled
설명: Duo Device Health 앱이 디택션한 디스크 암호화 상태를 보고합니다. "true", "false", "unknown" 중 하나입니다.
유형: string
- 이름: is_firewall_enabled
설명: Duo Device Health 앱이 디택션한 방화벽 상태를 보고합니다. "true", "false", "unknown" 중 하나입니다.
유형: string
- 이름: is_password_set
설명: Duo Device Health 앱이 디택션한 시스템 비밀번호 상태를 보고합니다. "true", "false", "unknown" 중 하나입니다.
유형: string
- 이름: java_version
설명: 사용된 Java 플러그인 버전입니다. 있으면 표시하고, 없으면 "uninstalled"입니다.
유형: string
- 이름: location
설명: 가능하면 액세스 장치의 GeoIP 위치입니다. 응답에 모든 위치 매개변수가 포함되지 않을 수 있습니다.
유형: object
필드:
- 이름: city
설명: 도시 이름입니다.
유형: string
- 이름: country
설명: 국가 코드입니다.
유형: string
- 이름: state
설명: 주, 군, 도, 또는 현입니다.
유형: string
- 이름: os
설명: 장치 운영 체제 이름입니다.
유형: string
- 이름: os_version
설명: 장치 운영 체제 버전입니다.
유형: string
- 이름: security_agents
설명: Duo Device Health 앱이 디택션한 엔드포인트에 존재하는 보안 에이전트를 보고합니다.
유형: array
요소:
유형: json
- 이름: alias
설명: 로그인에 사용된 사용자 이름 별칭입니다. 사용자가 사용자 이름 별칭이 아니라 사용자 이름으로 로그인한 경우 값이 없습니다.
유형: string
지표:
- username
- 이름: application
설명: 액세스한 애플리케이션 정보입니다.
유형: object
필드:
- 이름: key
설명: 애플리케이션의 integration_key입니다.
유형: string
- 이름: name
설명: 애플리케이션 이름입니다.
유형: string
- 이름: auth_device
설명: 인증을 승인하거나 거부하는 데 사용된 장치에 대한 정보입니다.
유형: object
필드:
- 이름: ip
설명: 인증 장치의 IP 주소입니다.
유형: string
지표:
- ip
- 이름: location
설명: 가능하면 인증 장치의 GeoIP 위치입니다. 모든 위치 매개변수가 포함되지 않을 수 있습니다.
유형: object
필드:
- 이름: city
설명: 도시 이름입니다.
유형: string
- 이름: country
설명: 국가 코드입니다.
유형: string
- 이름: state
설명: 주, 군, 도, 또는 현입니다.
유형: string
- 이름: name
설명: 인증 장치의 이름입니다.
유형: string
- 이름: email
설명: Duo에 알려진 경우 사용자의 이메일 주소입니다. 그렇지 않으면 없음입니다.
유형: string
지표:
- email
- 이름: event_type
설명: '기록된 활동 유형입니다. "authentication" 또는 "enrollment" 중 하나입니다.'
유형: string
- 이름: factor
설명: '인증 요소입니다. "phone_call", "passcode", "yubikey_passcode", "digipass_go_7_token", "hardware_token", "duo_mobile_passcode", "bypass_code", "sms_passcode", "sms_refresh", "duo_push", "u2f_token", "remembered_device", 또는 "trusted_network" 중 하나입니다.'
유형: string
- 이름: isotimestamp
필수: true
설명: 이벤트의 ISO8601 타임스탬프입니다.
유형: timestamp
시간 형식: rfc3339
이벤트 시간 여부: true
- 이름: ood_software
설명: 인증이 오래된 소프트웨어 때문에 거부된 경우 해당 소프트웨어 이름, 즉 "Chrome", "Flash" 등을 표시합니다. 인증이 성공했거나 거부 사유가 오래된 소프트웨어가 아닌 경우 값이 없습니다.
유형: string
- 이름: reason
설명: '인증 시도 결과의 사유를 제공합니다. 결과가 "SUCCESS"이면 다음 중 하나입니다: "allow_unenrolled_user", "allowed_by_policy", "allow_unenrolled_user_on_trusted_network", "bypass_user", "remembered_device", "trusted_location", "trusted_network", "user_approved", "valid_passcode". 결과가 "FAILURE"이면 다음 중 하나입니다: "anonymous_ip", "anomalous_push", "could_not_determine_if_endpoint_was_trusted", "denied_by_policy", "denied_network", "deny_unenrolled_user", "endpoint_is_not_in_management_system", "endpoint_failed_google_verification", "endpoint_is_not_trusted", "factor_restricted", "invalid_management_certificate_collection_state", "invalid_device", "invalid_passcode", "invalid_referring_hostname_provided", "location_restricted", "locked_out", "no_activated_duo_mobile_account", "no_disk_encryption", "no_duo_certificate_present", "touchid_disabled", "no_referring_hostname_provided", "no_response", "no_screen_lock", "no_web_referer_match", "out_of_date", "platform_restricted", "rooted_device", "software_restricted", "user_cancelled", "user_disabled", "user_mistake", "user_not_in_permitted_group", "user_provided_invalid_certificate", 또는 "version_restricted"입니다. 결과가 "ERROR"이면 "error"입니다. 결과가 "FRAUD"이면 "user_marked_fraud"입니다.'
유형: string
- 이름: result
설명: '인증 시도 결과입니다. "SUCCESS", "FAILURE", "ERROR", 또는 "FRAUD" 중 하나입니다.'
유형: string
- 이름: timestamp
설명: 이벤트의 Unix 타임스탬프입니다.
유형: timestamp
시간 형식: unix
- 이름: txid
필수: true
설명: 이벤트의 트랜잭션 ID입니다.
유형: string
지표:
- trace_id
- 이름: user
설명: 인증하는 사용자 정보입니다.
유형: object
필드:
- 이름: groups
설명: 사용자에 대한 Duo 그룹 멤버십 정보입니다.
유형: array
요소:
유형: string
- 이름: key
설명: 사용자의 user_id입니다.
유형: string
- 이름: name
설명: 사용자의 username입니다.
유형: string
지표:
- username스키마: Duo.OfflineEnrollment
파서:
네이티브:
이름: Duo.OfflineEnrollment
설명: Duo Authentication for Windows Logon 오프라인 등록 이벤트입니다.
참조 URL: https://duo.com/docs/adminapi#offline-enrollment-logs
필드:
- 이름: action
필수: true
설명: 오프라인 등록 작업입니다. "o2fa_user_provisioned", "o2fa_user_deprovisioned", 또는 "o2fa_user_reenrolled" 중 하나입니다.
유형: string
- 이름: description
설명: 애플리케이션이 보고한 Duo Windows Logon 클라이언트 시스템에 대한 정보입니다.
유형: string
- 이름: description_json
설명: 'Description' 필드가 유효한 JSON이면 JSON 객체로 표시됩니다. 그렇지 않으면 null입니다.
유형: json
- 이름: isotimestamp
필수: true
설명: 이벤트의 ISO8601 타임스탬프입니다.
유형: timestamp
시간 형식: rfc3339
이벤트 시간 여부: true
- 이름: object
필수: true
설명: Duo Windows Logon 통합의 이름입니다.
유형: string
- 이름: timestamp
설명: 이벤트의 Unix 타임스탬프입니다.
유형: timestamp
시간 형식: unix
- 이름: username
필수: true
설명: Duo 사용자 이름입니다.
유형: string
지표:
- username스키마: Duo.Telephony
파서:
네이티브:
이름: Duo.Telephony
설명: Duo 전화 로그 이벤트입니다.
참조 URL: https://duo.com/docs/adminapi#telephony-logs
필드:
- 이름: context
설명: '이 전화 이벤트가 시작된 방식입니다. "administrator login", "authentication", "enrollment", 또는 "verify" 중 하나입니다.'
유형: string
- 이름: credits
설명: 이 이벤트에 사용된 전화 크레딧 수입니다.
유형: int
- 이름: isotimestamp
필수: true
설명: 이벤트의 ISO8601 타임스탬프입니다.
유형: timestamp
시간 형식: rfc3339
이벤트 시간 여부: true
- 이름: phone
필수: true
설명: 이 이벤트를 시작한 전화번호입니다.
유형: string
- 이름: timestamp
설명: 이벤트의 Unix 타임스탬프입니다.
유형: timestamp
시간 형식: unix
- 이름: type
필수: true
설명: 이벤트 유형입니다. "sms" 또는 "phone" 중 하나입니다.
유형: string