Duo Security 로그

Panther는 Duo에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음 Duo 로그를 다음을 통해 수집할 수 있습니다. Duo API:

• 인증 로그(v2)

• 관리자 로그

• 전화 로그

• 오프라인 등록 로그

Panther에 Duo 로그를 온보딩하는 방법

Panther에 Duo 로그를 온보딩하려면 아래 단계를 따르세요. 또한 다음을 볼 수도 있습니다: 데이터 수집 동영상 개요 Duo 로그 온보딩을 빠르게 살펴보려면.

1단계: Duo 애플리케이션 만들기

1. 안내를 따르세요 여기 새 Duo 애플리케이션을 만듭니다.

   Owner 역할이 있는 관리자만 Duo Admin Panel에서 Admin API 애플리케이션을 만들거나 수정할 수 있습니다.

2. 애플리케이션에 권한을 부여하세요 로그 읽기 권한을 부여하세요 권한.

2단계: Panther에서 새 Duo 소스를 만들기

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭합니다: 로그 소스.

2. 클릭 새로 만들기.

3. 선택 Duo 사용 가능한 로그 소스 목록에서. 다음을 클릭합니다: 설정 시작.

4. 다음 화면에서 소스에 대한 설명이 포함된 이름을 입력합니다(예: 내 Duo 로그) 그리고 모니터링할 로그 유형을 선택합니다.

5. 클릭 설정.

6. 아래 필드를 채우세요:

   • 통합 키: Duo 앱의 통합 키를 입력합니다.

   • 시크릿 키: Duo 앱의 시크릿 키를 입력합니다.

   • API 호스트 이름: Duo 앱의 API 호스트 이름을 입력합니다.

7. 클릭 설정. 성공 화면으로 이동합니다:

• 선택적으로 하나 이상의 디택션 팩.

• 해당 이벤트가 처리되지 않으면 알러트를 발생시키기 설정의 기본값은 예. 일정 시간이 지난 후 로그 소스에서 데이터 흐름이 멈추면 알러트를 받게 되므로 이 설정을 활성화한 상태로 두는 것을 권장합니다. 이 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

  

지원되는 로그 유형

Duo.Administrator

Duo 관리자 로그 이벤트.

자세한 내용은 다음을 참조하세요: 관리자 로그에 대한 Duo 문서.

스키마: Duo.Administrator
파서:
    네이티브:
        이름: Duo.Administrator
설명: Duo 관리자 로그 이벤트.
참조 URL: https://duo.com/docs/adminapi#administrator-logs
필드:
    - 이름: action
      필수: true
      설명: 수행된 변경 유형입니다.
      유형: string
    - 이름: description
      설명: 변경된 내용을 자세히 설명하는 문자열입니다. 자유 형식 텍스트 또는 직렬화된 JSON일 수 있습니다.
      유형: string
    - 이름: description_json
      설명: 'Description' 필드가 유효한 JSON이면 JSON 객체로 표시됩니다. 그렇지 않으면 null입니다.
      유형: json
    - 이름: isotimestamp
      필수: true
      설명: 이벤트의 ISO8601 타임스탬프입니다.
      유형: timestamp
      시간 형식: rfc3339
      이벤트 시간 여부: true
    - 이름: object
      설명: '작업이 수행된 대상 객체입니다. 예: 사용자의 경우 "jsmith", 전화의 경우 "[phone] x456", 토큰의 경우 "HOTP 8-digit 123456".'
      유형: string
    - 이름: timestamp
      설명: 이벤트의 Unix 타임스탬프입니다.
      유형: timestamp
      시간 형식: unix
    - 이름: username
      필수: true
      설명: 'Duo Admin Panel에서 작업을 수행한 관리자의 전체 이름입니다. 작업이 API로 수행된 경우 "API"가 됩니다. 비활성 사용자 삭제와 같은 자동 작업의 username은 "System"입니다. Directory Sync에서 동기화된 변경 사항의 username은 (예: "AD Sync: name of directory") 형식입니다.'
      유형: string
      지표:
        - username

Duo.Authentication

Duo 인증 로그 이벤트(v2).

자세한 내용은 다음을 참조하세요: 인증 로그에 대한 Duo 문서.

스키마: Duo.Authentication
파서:
    네이티브:
        이름: Duo.Authentication
설명: Duo 인증 로그 이벤트(v2).
참조 URL: https://duo.com/docs/adminapi#authentication-logs
필드:
    - 이름: access_device
      설명: Duo로 보호되는 리소스에 액세스하는 데 사용된 엔드포인트의 브라우저, 플러그인 및 운영 체제 정보입니다. 값은 애플리케이션이 Duo의 인라인 브라우저 프롬프트 기능에 액세스한 경우에만 존재합니다.
      유형: object
      필드:
        - 이름: browser
          설명: 액세스에 사용된 웹 브라우저입니다.
          유형: string
        - 이름: browser_version
          설명: 브라우저 버전입니다.
          유형: string
        - 이름: flash_version
          설명: 사용된 Flash 플러그인 버전입니다. 있으면 표시하고, 없으면 "uninstalled"입니다.
          유형: string
        - 이름: hostname
          설명: 호스트 이름입니다. 있으면 표시하고, 없으면 "null"입니다.
          유형: string
          지표:
            - hostname
        - 이름: ip
          설명: 액세스 장치의 IP 주소입니다. 있으면 표시하고, 없으면 "null"입니다.
          유형: string
          지표:
            - ip
        - 이름: is_encryption_enabled
          설명: Duo Device Health 앱이 디택션한 디스크 암호화 상태를 보고합니다. "true", "false", "unknown" 중 하나입니다.
          유형: string
        - 이름: is_firewall_enabled
          설명: Duo Device Health 앱이 디택션한 방화벽 상태를 보고합니다. "true", "false", "unknown" 중 하나입니다.
          유형: string
        - 이름: is_password_set
          설명: Duo Device Health 앱이 디택션한 시스템 비밀번호 상태를 보고합니다. "true", "false", "unknown" 중 하나입니다.
          유형: string
        - 이름: java_version
          설명: 사용된 Java 플러그인 버전입니다. 있으면 표시하고, 없으면 "uninstalled"입니다.
          유형: string
        - 이름: location
          설명: 가능하면 액세스 장치의 GeoIP 위치입니다. 응답에 모든 위치 매개변수가 포함되지 않을 수 있습니다.
          유형: object
          필드:
            - 이름: city
              설명: 도시 이름입니다.
              유형: string
            - 이름: country
              설명: 국가 코드입니다.
              유형: string
            - 이름: state
              설명: 주, 군, 도, 또는 현입니다.
              유형: string
        - 이름: os
          설명: 장치 운영 체제 이름입니다.
          유형: string
        - 이름: os_version
          설명: 장치 운영 체제 버전입니다.
          유형: string
        - 이름: security_agents
          설명: Duo Device Health 앱이 디택션한 엔드포인트에 존재하는 보안 에이전트를 보고합니다.
          유형: array
          요소:
            유형: json
    - 이름: alias
      설명: 로그인에 사용된 사용자 이름 별칭입니다. 사용자가 사용자 이름 별칭이 아니라 사용자 이름으로 로그인한 경우 값이 없습니다.
      유형: string
      지표:
        - username
    - 이름: application
      설명: 액세스한 애플리케이션 정보입니다.
      유형: object
      필드:
        - 이름: key
          설명: 애플리케이션의 integration_key입니다.
          유형: string
        - 이름: name
          설명: 애플리케이션 이름입니다.
          유형: string
    - 이름: auth_device
      설명: 인증을 승인하거나 거부하는 데 사용된 장치에 대한 정보입니다.
      유형: object
      필드:
        - 이름: ip
          설명: 인증 장치의 IP 주소입니다.
          유형: string
          지표:
            - ip
        - 이름: location
          설명: 가능하면 인증 장치의 GeoIP 위치입니다. 모든 위치 매개변수가 포함되지 않을 수 있습니다.
          유형: object
          필드:
            - 이름: city
              설명: 도시 이름입니다.
              유형: string
            - 이름: country
              설명: 국가 코드입니다.
              유형: string
            - 이름: state
              설명: 주, 군, 도, 또는 현입니다.
              유형: string
        - 이름: name
          설명: 인증 장치의 이름입니다.
          유형: string
    - 이름: email
      설명: Duo에 알려진 경우 사용자의 이메일 주소입니다. 그렇지 않으면 없음입니다.
      유형: string
      지표:
        - email
    - 이름: event_type
      설명: '기록된 활동 유형입니다. "authentication" 또는 "enrollment" 중 하나입니다.'
      유형: string
    - 이름: factor
      설명: '인증 요소입니다. "phone_call", "passcode", "yubikey_passcode", "digipass_go_7_token", "hardware_token", "duo_mobile_passcode", "bypass_code", "sms_passcode", "sms_refresh", "duo_push", "u2f_token", "remembered_device", 또는 "trusted_network" 중 하나입니다.'
      유형: string
    - 이름: isotimestamp
      필수: true
      설명: 이벤트의 ISO8601 타임스탬프입니다.
      유형: timestamp
      시간 형식: rfc3339
      이벤트 시간 여부: true
    - 이름: ood_software
      설명: 인증이 오래된 소프트웨어 때문에 거부된 경우 해당 소프트웨어 이름, 즉 "Chrome", "Flash" 등을 표시합니다. 인증이 성공했거나 거부 사유가 오래된 소프트웨어가 아닌 경우 값이 없습니다.
      유형: string
    - 이름: reason
      설명: '인증 시도 결과의 사유를 제공합니다. 결과가 "SUCCESS"이면 다음 중 하나입니다: "allow_unenrolled_user", "allowed_by_policy", "allow_unenrolled_user_on_trusted_network", "bypass_user", "remembered_device", "trusted_location", "trusted_network", "user_approved", "valid_passcode". 결과가 "FAILURE"이면 다음 중 하나입니다: "anonymous_ip", "anomalous_push", "could_not_determine_if_endpoint_was_trusted", "denied_by_policy", "denied_network", "deny_unenrolled_user", "endpoint_is_not_in_management_system", "endpoint_failed_google_verification", "endpoint_is_not_trusted", "factor_restricted", "invalid_management_certificate_collection_state", "invalid_device", "invalid_passcode", "invalid_referring_hostname_provided", "location_restricted", "locked_out", "no_activated_duo_mobile_account", "no_disk_encryption", "no_duo_certificate_present", "touchid_disabled", "no_referring_hostname_provided", "no_response", "no_screen_lock", "no_web_referer_match", "out_of_date", "platform_restricted", "rooted_device", "software_restricted", "user_cancelled", "user_disabled", "user_mistake", "user_not_in_permitted_group", "user_provided_invalid_certificate", 또는 "version_restricted"입니다. 결과가 "ERROR"이면 "error"입니다. 결과가 "FRAUD"이면 "user_marked_fraud"입니다.'
      유형: string
    - 이름: result
      설명: '인증 시도 결과입니다. "SUCCESS", "FAILURE", "ERROR", 또는 "FRAUD" 중 하나입니다.'
      유형: string
    - 이름: timestamp
      설명: 이벤트의 Unix 타임스탬프입니다.
      유형: timestamp
      시간 형식: unix
    - 이름: txid
      필수: true
      설명: 이벤트의 트랜잭션 ID입니다.
      유형: string
      지표:
        - trace_id
    - 이름: user
      설명: 인증하는 사용자 정보입니다.
      유형: object
      필드:
        - 이름: groups
          설명: 사용자에 대한 Duo 그룹 멤버십 정보입니다.
          유형: array
          요소:
            유형: string
        - 이름: key
          설명: 사용자의 user_id입니다.
          유형: string
        - 이름: name
          설명: 사용자의 username입니다.
          유형: string
          지표:
            - username

Duo.OfflineEnrollment

Duo Authentication for Windows Logon 오프라인 등록 이벤트입니다.

자세한 내용은 다음을 참조하세요: 오프라인 등록 로그에 대한 Duo 문서.

스키마: Duo.OfflineEnrollment
파서:
    네이티브:
        이름: Duo.OfflineEnrollment
설명: Duo Authentication for Windows Logon 오프라인 등록 이벤트입니다.
참조 URL: https://duo.com/docs/adminapi#offline-enrollment-logs
필드:
    - 이름: action
      필수: true
      설명: 오프라인 등록 작업입니다. "o2fa_user_provisioned", "o2fa_user_deprovisioned", 또는 "o2fa_user_reenrolled" 중 하나입니다.
      유형: string
    - 이름: description
      설명: 애플리케이션이 보고한 Duo Windows Logon 클라이언트 시스템에 대한 정보입니다.
      유형: string
    - 이름: description_json
      설명: 'Description' 필드가 유효한 JSON이면 JSON 객체로 표시됩니다. 그렇지 않으면 null입니다.
      유형: json
    - 이름: isotimestamp
      필수: true
      설명: 이벤트의 ISO8601 타임스탬프입니다.
      유형: timestamp
      시간 형식: rfc3339
      이벤트 시간 여부: true
    - 이름: object
      필수: true
      설명: Duo Windows Logon 통합의 이름입니다.
      유형: string
    - 이름: timestamp
      설명: 이벤트의 Unix 타임스탬프입니다.
      유형: timestamp
      시간 형식: unix
    - 이름: username
      필수: true
      설명: Duo 사용자 이름입니다.
      유형: string
      지표:
        - username

Duo.Telephony

Duo 전화 로그 이벤트입니다.

자세한 내용은 다음을 참조하세요: 전화 로그에 대한 Duo 문서.

스키마: Duo.Telephony
파서:
    네이티브:
        이름: Duo.Telephony
설명: Duo 전화 로그 이벤트입니다.
참조 URL: https://duo.com/docs/adminapi#telephony-logs
필드:
    - 이름: context
      설명: '이 전화 이벤트가 시작된 방식입니다. "administrator login", "authentication", "enrollment", 또는 "verify" 중 하나입니다.'
      유형: string
    - 이름: credits
      설명: 이 이벤트에 사용된 전화 크레딧 수입니다.
      유형: int
    - 이름: isotimestamp
      필수: true
      설명: 이벤트의 ISO8601 타임스탬프입니다.
      유형: timestamp
      시간 형식: rfc3339
      이벤트 시간 여부: true
    - 이름: phone
      필수: true
      설명: 이 이벤트를 시작한 전화번호입니다.
      유형: string
    - 이름: timestamp
      설명: 이벤트의 Unix 타임스탬프입니다.
      유형: timestamp
      시간 형식: unix
    - 이름: type
      필수: true
      설명: 이벤트 유형입니다. "sms" 또는 "phone" 중 하나입니다.
      유형: string