1Password

Il plug-in 1Password per Microsoft Copilot per la sicurezza sfrutta i dati di controllo raccolti da Microsoft Sentinel per fornire ai team di sicurezza informazioni dettagliate sull'utilizzo di 1Password, sui potenziali eventi di sicurezza e sui comportamenti anomali. Questo plug-in non recupera segreti o credenziali da 1Password, ma analizza i log di controllo e gli eventi per migliorare il monitoraggio della sicurezza e le funzionalità di risposta agli eventi imprevisti.

Prerequisiti

• 1Password Sottoscrizione Business o Enterprise con funzionalità di registrazione di controllo.
• Microsoft Sentinel distribuito e configurato nell'ambiente Azure.
• 1Password Events Reporting integration set up to send audit logs to Microsoft Sentinel (Integrazione dei report degli eventipassword configurata per l'invio dei log di controllo a Microsoft Sentinel).
• Microsoft Sentinel connettore dati 1Password configurato e che inserisce attivamente i dati di controllo 1Password.
• Accesso amministrativo a Microsoft Security Copilot.
• Area di lavoro Microsoft Sentinel collegata in Security Copilot.
• Familiarità con Linguaggio di query Kusto (KQL) per le query personalizzate.

Sapere prima di iniziare

L'integrazione con Microsoft Security Copilot funziona connettendosi all'area di lavoro Microsoft Sentinel in cui sono archiviati gli eventi 1Password.

Prima di usare il plug-in, è necessario seguire questa procedura.

Passaggio 1: Configurare 1Password Audit Logging

Per abilitare la registrazione di controllo in 1Password, seguire la documentazione di Segnalazione eventi o completare la procedura seguente:

1. Accedere a 1Password.com come proprietario o amministratore.
2. Fare clic su Integrazioni nella barra laterale.
3. Fare clic su Directory nella parte superiore della pagina.
4. Trovare l'integrazione Microsoft Sentinel e selezionare Configura.
5. Immettere un nome per l'integrazione, ad esempio "connettore Microsoft Sentinel".
6. Scegliere tra:
   • Inviare eventi da tutti gli insiemi di credenziali per segnalare gli eventi per l'intero account.
   • Scegliere insiemi di credenziali per selezionare insiemi di credenziali specifici per la creazione di report degli eventi.
7. Selezionare Aggiungi integrazione.
8. Salvare il token di connessione visualizzato: è necessario per configurare il connettore Microsoft Sentinel.
9. Seguire la guida all'integrazione di 1Password Sentinel per attivare il connettore serverless.
10. Configurare i criteri di conservazione dei log appropriati.
11. Verificare che le attività utente, gli eventi di autenticazione e le azioni di amministratore vengano registrati.

Per informazioni dettagliate sulle opzioni di configurazione e sulla risoluzione dei problemi, vedere la guida alla configurazione di Events Reporting.

Passaggio 2: Configurare Microsoft Sentinel Connector per 1Password

1. Accedere all'area di lavoro Microsoft Sentinel.
2. Passare alla sezione Connettori dati.
3. Individuare e selezionare il connettore dati 1Password.
4. Seguire la configurazione guidata per connettersi all'ambiente 1Password.
5. Verificare che i log di controllo vengano inseriti correttamente in Microsoft Sentinel.

Passaggio 3: Installare e configurare il plug-in

1. Accedere a Microsoft Security Copilot.
2. Accedere a Gestisci plug-in selezionando il pulsante Origini dalla barra dei prompt.
3. Accanto a 1Password selezionare Configura.
4. Caricare il pacchetto del plug-in 1Password o specificare il percorso del repository.
5. Configurare il plug-in per la connessione all'area di lavoro Microsoft Sentinel.

Guida alla configurazione

Parametri obbligatori

Configurare i parametri seguenti per il corretto funzionamento del plug-in:

1. ID tenant Microsoft Entra

   • Identificatore univoco dell'ambiente Microsoft Entra
   • Formato: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

2. ID sottoscrizione

   • Identificatore univoco della sottoscrizione Azure di Microsoft Sentinel
   • Formato: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

3. Nome gruppo di risorse

   • Si tratta del nome del gruppo di risorse che verrà usato da Copilot di sicurezza per Sentinel.

4. Nome area di lavoro

   • Si tratta del nome dell'area di lavoro che verrà usato da copilot di sicurezza per Sentinel.

Metodi di configurazione

1. Portale di configurazione plug-in
   • Configurare le impostazioni direttamente nell'interfaccia del plug-in Microsoft Copilot for Security
   • Specificare i parametri di connessione dell'area di lavoro
   • Testare la connettività prima del salvataggio

Richieste 1Password di esempio

Nella sezione seguente vengono forniti i prompt di esempio da provare.

1. Query in linguaggio naturale

Usare il linguaggio di conversazione per analizzare i dati di controllo 1Password:

• "Mostra tutti i tentativi di accesso non riusciti in 1Password nell'ultima settimana"
• "Chi ha eseguito l'accesso agli insiemi di credenziali sensibili in 1Password al di fuori dell'orario di ufficio?"
• "Qualcuno ha creato nuovi insiemi di credenziali condivise nell'ultimo mese?"

2. Comandi strutturati

Per un controllo più preciso, usare la sintassi dei comandi strutturati:

• analyze-events -type:"item.view" -timeframe:"last 7 days" -user:"admin"
• detect-anomalies -dataset:"authentication" -baseline:"30 days"
• report-activity -vault:"Finance" -action:"create,delete,modify"

3. Integrazione del flusso di lavoro

Includere l'analisi di controllo 1Password come parte di flussi di lavoro di sicurezza più grandi:

• "Esaminare questo account utente e verificare la presenza di un'attività insolita 1Password"
• "Analizzare i modelli di accesso tra i provider SSO, tra cui 1Password"
• "Generare un report di conformità che mostra tutti gli accessi ai dati regolamentati in 1Password"

Formattazione della risposta

Il plug-in formatta le risposte per fornire informazioni chiare sulla sicurezza:

• Sequenze temporali degli eventi: visualizzazione cronologica degli eventi di sicurezza correlati
• Profili attività utente: visualizzazione aggregata dei comportamenti degli utenti
• Evidenziazione anomalie: cancella l'identificazione degli eventi outlier
• Analisi visiva: grafici e grafici per il riconoscimento dei modelli

Utilizzo avanzato

Indagine sugli eventi imprevisti di sicurezza

Il plug-in consente un'analisi avanzata degli eventi imprevisti di sicurezza che coinvolgono l'utilizzo di 1Password:

Flusso di lavoro di analisi di esempio

1. Ricevere un avviso sull'accesso sospetto all'insieme di credenziali sensibili
2. Eseguire query sui log di controllo 1Password per tutte le azioni eseguite dall'utente contrassegnato
3. Analizzare i modelli di accesso e confrontarli con la baseline cronologica
4. Correlazione con altri dati di telemetria di sicurezza (log di rete, dati degli endpoint)
5. Generare una sequenza temporale completa degli eventi imprevisti e azioni consigliate

Risolvere i problemi del plug-in 1Password

Si verificano errori

Se si verificano errori, ad esempio Impossibile completare la richiesta o Si è verificato un errore sconosciuto. Assicurarsi che il plug-in sia attivato. Questo errore può verificarsi se il periodo di lookback è troppo lungo, causando il tentativo della query di recuperare una quantità eccessiva di dati. Se il problema persiste, disconnettersi da Copilot per la sicurezza e quindi eseguire di nuovo l'accesso.

Problemi di inserimento dati

Problemi di query

Problemi di accesso ai plug-in

Ottimizzazione delle prestazioni

• Usare modelli KQL efficienti ed evitare cross-join su set di dati di grandi dimensioni
• Implementare filtri di tempo appropriati per limitare l'elaborazione dei dati
• Prendere in considerazione le viste materializzate per le query analitiche eseguite di frequente
• Monitorare le prestazioni delle query e ottimizzare le operazioni a elevato utilizzo di risorse

Prompt non richiamano le funzionalità corrette

Se i prompt non richiamano le funzionalità corrette o i prompt richiamano un altro set di funzionalità, è possibile che siano presenti plug-in personalizzati o altri plug-in con funzionalità simili a quelle del set di funzionalità che si vuole usare.

Inviare feedback

Per fornire commenti e suggerimenti, contattare https://support.1password.com/.

Vedere anche

Altri plug-in per Microsoft Copilot peri plug-in Gestione sicurezza in Microsoft Copilot per la sicurezza