Connecteur Cisco Duo Security (avec Azure Functions) pour Microsoft Sentinel

  • Article

Le connecteur de données Cisco Duo Security permet d’ingérer les journaux d’authentification, les journaux d’administration, les journaux de téléphonie, les journaux d’inscription hors connexion et les événements Trust Monitor dans Microsoft Sentinel à l’aide de l’API Cisco Duo Administration. Pour plus d’informations, consultez la documentation de l’API.

Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.

Attributs du connecteur

Attribut du connecteur Description
Table(s) Log Analytics CiscoDuo_CL
Support des Règles de collecte de données Non prise en charge pour le moment
Pris en charge par Microsoft Corporation

Exemples de requête

Tous les journaux Cisco Duo

CiscoDuo_CL

| sort by TimeGenerated desc

Prérequis

Pour intégrer Cisco Duo Security (avec Azure Functions), vérifiez que vous disposez des éléments suivants :

  • Autorisations Microsoft.Web/sites : des autorisations d’accès en lecture et en écriture à Azure Functions sont requises pour créer une application de fonction. Consultez la documentation pour en savoir plus sur Azure Functions.
  • Informations d’identification de l’API Cisco Duo : des informations d’identification de l’API Cisco Duo avec l’autorisation Accorder journal de lecture sont requises pour l’API Cisco Duo. Consultez la documentation pour en savoir plus sur la création d’informations d’identification pour l’API Cisco Duo.

Instructions d’installation du fournisseur

Notes

Ce connecteur utilise Azure Functions pour se connecter à l’API Cisco Duo et ainsi extraire les journaux dans Microsoft Sentinel. Il peut en résulter des coûts supplémentaires d’ingestion des données. Si vous souhaitez en savoir plus, veuillez consulter la page des tarifs d’Azure Functions.

(Étape facultative) Stockez en toute sécurité les clés ou les jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clés. Suivez ces instructions pour utiliser Azure Key Vault avec une application Azure Function.

Notes

Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu, CiscoDuo, qui est déployé avec la solution Microsoft Sentinel.

ÉTAPE 1 - Obtention des informations d’identification de l’API Cisco Duo Administration

  1. Suivez les instructions pour obtenir la clé d’intégration, la clé secrète et le nom d’hôte de l’API. Utilisez l’autorisation Accorder journal de lecture à la 4e étape des instructions.

ÉTAPE 2 - Choisissez UNE des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT : avant de déployer le connecteur de données, soyez en possession de l’ID d’espace de travail et de la clé primaire de l’espace de travail (qui peuvent être copiés depuis ce qui suit), ainsi que de la chaîne de connexion et du nom de conteneur du Stockage Blob Azure, déjà disponibles.

Option 1 – Modèle Azure Resource Manager (ARM)

Utilisez cette méthode pour le déploiement automatisé du connecteur de données à l’aide d’un modèle ARM.

  1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

    Déployer sur AzureDéployer sur Azure Gov

  2. Sélectionnez les valeurs de votre choix pour Abonnement, Groupe de ressources et Emplacement.

  3. Entrez la Clé d’intégration Cisco Duo, la Clé secrète Cisco Duo, le Nom d’hôte de l’API Cisco Duo, les Types de journaux Cisco Duo, l’ID d’espace de travail Microsoft Sentinel et la Clé partagée Microsoft Sentinel

  4. Cochez la case J’accepte les termes et conditions mentionnés ci-dessus.

  5. Cliquez sur Acheter pour déployer.

Option 2 : déploiement manuel d’Azure Functions

Utilisez les instructions détaillées suivantes pour déployer manuellement le connecteur de données avec Azure Functions (déploiement via Visual Studio Code).

Étapes suivantes

Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.