Dela via

Cisco Duo Security -anslutningsprogram (med Azure Functions) för Microsoft Sentinel

  • Artikel

Cisco Duo Security-dataanslutningsappen ger möjlighet att mata in autentiseringsloggar, administratörsloggar, telefoniloggar, offlineregistreringsloggar och Trust Monitor-händelser i Microsoft Sentinel med hjälp av Administrations-API:et för Cisco Duo. Mer information finns i API-dokumentationen.

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslutningsattribut

Anslutningsattribut beskrivning
Log Analytics-tabeller CiscoDuo_CL
Stöd för regler för datainsamling Stöds för närvarande inte
Stöds av Microsoft Corporation

Exempel på frågor

Alla Cisco Duo-loggar

CiscoDuo_CL

| sort by TimeGenerated desc

Förutsättningar

Om du vill integrera med Cisco Duo Security (med Hjälp av Azure Functions) kontrollerar du att du har:

  • Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
  • Cisco Duo API-autentiseringsuppgifter: Cisco Duo API-autentiseringsuppgifter med behörighet Bevilja läslogg krävs för Cisco Duo API. Mer information om hur du skapar autentiseringsuppgifter för Cisco Duo-API:et finns i dokumentationen.

Installationsanvisningar för leverantör

Kommentar

Den här anslutningsappen använder Azure Functions för att ansluta till Cisco Duo-API:et för att hämta loggar till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

Kommentar

Den här dataanslutningsappen är beroende av en parser som baseras på en Kusto-funktion för att fungera som förväntat CiscoDuo som distribueras med Microsoft Sentinel-lösningen.

STEG 1 – Hämta autentiseringsuppgifter för Cisco Duo Admin API

  1. Följ anvisningarna för att hämta integrationsnyckel, hemlig nyckel och API-värdnamn. Använd Bevilja läsloggbehörighet i det fjärde steget i instruktionerna.

STEG 2 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT! Innan du distribuerar dataanslutningsappen måste du ha arbetsyte-ID och primärnyckel för arbetsyta (kan kopieras från följande), samt Azure Blob Storage-niska veze och containernamn, som är lättillgängliga.

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av dataanslutningsappen med hjälp av en ARM-mall.

  1. Klicka på knappen Distribuera till Azure nedan.

    Distribuera till Azure Deploy to Azure Gov

  2. Välj önskad prenumeration, resursgrupp och plats.

  3. Ange Cisco Duo Integration Key, Cisco Duo Secret Key, Cisco Duo API Hostname, Cisco Duo Log Types, Microsoft Sentinel Workspace ID, Microsoft Sentinel Shared Key

  4. Markera kryssrutan märkt Jag godkänner de villkor som anges ovan.

  5. Klicka på Köp för att distribuera.

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera dataanslutningen manuellt med Azure Functions (distribution via Visual Studio Code).

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.