Share via

Microsoft Sentinel 用 Cisco Duo Security (Azure Functions を使用) コネクタ

  • [アーティクル]

Cisco Duo Security データ コネクタは、Cisco Duo Admin API を使って、認証ログ、管理者ログ、テレフォニー ログ、オフライン登録ログ、Trust Monitor イベントを Microsoft Sentinel に取り込む機能を提供します。 詳細については、API のドキュメントを参照してください。

これは自動生成されたコンテンツです。 変更については、ソリューション プロバイダーにお問い合わせください。

コネクタの属性

コネクタ属性 説明
Log Analytics テーブル CiscoDuo_CL
データ収集ルールのサポート 現在、サポートされていません
サポートしているもの Microsoft Corporation

クエリのサンプル

すべての Cisco Duo ログ

CiscoDuo_CL

| sort by TimeGenerated desc

前提条件

Cisco Duo Security (Azure Functions を使用) と統合するには、次のものがあることをご確認ください:

ベンダーのインストール手順

注意

このコネクタは Azure Functions を使って Cisco Duo API に接続し、ログを Microsoft Sentinel にプルします。 これにより、追加のデータ インジェスト コストが発生する可能性があります。 詳細については、「Azure Functions の価格」ページを確認してください。

(省略可能な手順) ワークスペースと API の認可キーまたはトークンを Azure Key Vault に安全に格納します。 Azure Key Vault には、キー値を格納および取得するためのセキュリティで保護されたメカニズムが用意されています。 Azure 関数アプリで Azure Key Vault を使用するには、これらの手順に従います。

注意

このデータ コネクタは、Kusto 関数に基づくパーサー (Microsoft Sentinel ソリューションと共にデプロイされている CiscoDuo) を利用して期待どおりに動作します。

ステップ 1 - Cisco Duo Admin API の資格情報の取得

  1. 手順に従って、統合キー、秘密鍵、API ホスト名を取得します。 手順の 4 番目のステップでは、[Grant read log] (ログの読み取りを許可する) アクセス許可を使います。

ステップ 2 - 次の 2 つのデプロイ オプションから 1 つを選び、コネクタと関連付けられている Azure 関数をデプロイする

重要: データ コネクタをデプロイする前に、ワークスペース ID とワークスペース主キー (以下からコピー可)、および Azure Blob Storage 接続文字列とコンテナー名をすぐに使用できるようにしておきます。

オプション 1 - Azure Resource Manager (ARM) テンプレート

ARM テンプレートを使ってデータ コネクタを自動的にデプロイするには、この方法を使用します。

  1. 下の [Azure へのデプロイ] ボタンをクリックします。

    Azure にデプロイするDeploy to Azure Gov

  2. ご希望の [サブスクリプション]、[リソース グループ]、[場所] を選択します。

  3. Cisco Duo 統合キー、Cisco Duo 秘密鍵、Cisco Duo API ホスト名、Cisco Duo ログの種類、Microsoft Sentinel ワークスペース ID、Microsoft Sentinel 共有キーを入力します

  4. [上記のご契約条件に同意する] というラベルのチェックボックスをオンにします。

  5. [購入] をクリックしてデプロイします。

オプション 2 - Azure Functions の手動デプロイ

Azure Functions を使用してデータ コネクタを手動でデプロイするには、次の詳細な手順を使用します (Visual Studio Code によるデプロイ)。

次のステップ

詳細については、Azure Marketplace の関連ソリューションに関するページを参照してください。