Microsoft Sentinel 用 Cisco Duo Security (Azure Functions を使用) コネクタ
Cisco Duo Security データ コネクタは、Cisco Duo Admin API を使って、認証ログ、管理者ログ、テレフォニー ログ、オフライン登録ログ、Trust Monitor イベントを Microsoft Sentinel に取り込む機能を提供します。 詳細については、API のドキュメントを参照してください。
これは自動生成されたコンテンツです。 変更については、ソリューション プロバイダーにお問い合わせください。
コネクタの属性
コネクタ属性 | 説明 |
---|---|
Log Analytics テーブル | CiscoDuo_CL |
データ収集ルールのサポート | 現在、サポートされていません |
サポートしているもの | Microsoft Corporation |
クエリのサンプル
すべての Cisco Duo ログ
CiscoDuo_CL
| sort by TimeGenerated desc
前提条件
Cisco Duo Security (Azure Functions を使用) と統合するには、次のものがあることをご確認ください:
- Microsoft.Web/sites のアクセス許可: 関数アプリを作成するための、Azure Functions に対する読み取りと書き込みのアクセス許可が必要です。 Azure Functions の詳細については、こちらのドキュメントを参照してください。
- Cisco Duo API の資格情報: Cisco Duo API には、アクセス許可 "ログの読み取りを許可する" を持つ Cisco Duo API の資格情報が必要です。 Cisco Duo API の資格情報の作成について詳しくは、ドキュメントをご覧ください。
ベンダーのインストール手順
注意
このコネクタは Azure Functions を使って Cisco Duo API に接続し、ログを Microsoft Sentinel にプルします。 これにより、追加のデータ インジェスト コストが発生する可能性があります。 詳細については、「Azure Functions の価格」ページを確認してください。
(省略可能な手順) ワークスペースと API の認可キーまたはトークンを Azure Key Vault に安全に格納します。 Azure Key Vault には、キー値を格納および取得するためのセキュリティで保護されたメカニズムが用意されています。 Azure 関数アプリで Azure Key Vault を使用するには、これらの手順に従います。
注意
このデータ コネクタは、Kusto 関数に基づくパーサー (Microsoft Sentinel ソリューションと共にデプロイされている CiscoDuo) を利用して期待どおりに動作します。
ステップ 1 - Cisco Duo Admin API の資格情報の取得
ステップ 2 - 次の 2 つのデプロイ オプションから 1 つを選び、コネクタと関連付けられている Azure 関数をデプロイする
重要: データ コネクタをデプロイする前に、ワークスペース ID とワークスペース主キー (以下からコピー可)、および Azure Blob Storage 接続文字列とコンテナー名をすぐに使用できるようにしておきます。
オプション 1 - Azure Resource Manager (ARM) テンプレート
ARM テンプレートを使ってデータ コネクタを自動的にデプロイするには、この方法を使用します。
下の [Azure へのデプロイ] ボタンをクリックします。
ご希望の [サブスクリプション]、[リソース グループ]、[場所] を選択します。
Cisco Duo 統合キー、Cisco Duo 秘密鍵、Cisco Duo API ホスト名、Cisco Duo ログの種類、Microsoft Sentinel ワークスペース ID、Microsoft Sentinel 共有キーを入力します
[上記のご契約条件に同意する] というラベルのチェックボックスをオンにします。
[購入] をクリックしてデプロイします。
オプション 2 - Azure Functions の手動デプロイ
Azure Functions を使用してデータ コネクタを手動でデプロイするには、次の詳細な手順を使用します (Visual Studio Code によるデプロイ)。
次のステップ
詳細については、Azure Marketplace の関連ソリューションに関するページを参照してください。