1Password

O plug-in 1Password para Microsoft Copilot for Security tira partido dos dados de auditoria recolhidos pelo Microsoft Sentinel para fornecer às equipas de segurança informações sobre a utilização de 1Password, potenciais eventos de segurança e comportamentos anómalos. Este plug-in não obtém segredos ou credenciais de 1Password, mas analisa os registos de auditoria e eventos para melhorar as capacidades de monitorização de segurança e resposta a incidentes.

Pré-requisitos

• 1Password Subscrição Empresarial ou Enterprise com capacidade de registo de auditoria.
• Microsoft Sentinel implementado e configurado no seu ambiente de Azure.
• 1 Integração de Relatórios de Eventos de Palavra-passe configurada para enviar registos de auditoria para Microsoft Sentinel.
• Microsoft Sentinel conector de dados 1Password configurado e a ingerir ativamente dados de auditoria 1Password.
• Acesso administrativo ao Microsoft Security Copilot.
• Área de trabalho Microsoft Sentinel ligada no Security Copilot.
• Estar familiarizado com Linguagem de Consulta Kusto (KQL) para consultas personalizadas.

Antes de começar

A integração com Microsoft Security Copilot funciona ao ligar-se à área de trabalho Microsoft Sentinel onde os eventos 1Password estão armazenados.

Terá de efetuar os seguintes passos antes de utilizar o plug-in.

Passo 1: Configurar o Registo de Auditoria de Palavras-passe

Para ativar o registo de auditoria em 1Password, siga a documentação do Relatório de Eventos ou conclua estes passos:

1. Inicie sessão no 1Password.com como proprietário ou administrador.
2. Clique em Integrações na barra lateral.
3. Clique em Diretório na parte superior da página.
4. Localize a integração do Microsoft Sentinel e selecione Configurar.
5. Introduza um nome para a sua integração (por exemplo, "Microsoft Sentinel Conector").
6. Escolha entre:
   • Enviar eventos de todos os cofres para reportar eventos para toda a sua conta.
   • Selecione cofres para selecionar cofres específicos para relatórios de eventos.
7. Selecione Adicionar Integração.
8. Guarde o token de portador que é apresentado. Precisará disto para configurar o conector Microsoft Sentinel.
9. Siga o guia de integração 1Password Sentinel para ativar o conector sem servidor.
10. Configure as políticas de retenção de registos adequadas.
11. Verifique se estão a ser registadas atividades de utilizador, eventos de autenticação e ações de administrador.

Para obter opções de configuração detalhadas e resolução de problemas, veja o Guia de configuração do Relatório de Eventos.

Passo 2: Configurar o Conector Microsoft Sentinel para 1Password

1. Aceda à área de trabalho Microsoft Sentinel.
2. Navegue para a secção Conectores de Dados.
3. Localize e selecione o conector de dados 1Password.
4. Siga o assistente de configuração para ligar ao seu ambiente 1Password.
5. Confirme que os registos de auditoria estão a ser ingeridos com êxito no Microsoft Sentinel.

Passo 3: Instalar e configurar o plug-in

1. Inicie sessão no Microsoft Security Copilot.
2. Aceda a Gerir Plug-ins ao selecionar o botão Origens na barra de pedidos.
3. Junto a 1Password, selecione Configurar.
4. Carregue o pacote de plug-in 1Password ou especifique a localização do repositório.
5. Configure o plug-in para ligar à área de trabalho Microsoft Sentinel.

Guia de configuração

Parâmetros obrigatórios

Configure os seguintes parâmetros para o plug-in funcionar corretamente:

1. ID de Inquilino do Microsoft Entra

   • O identificador exclusivo do seu ambiente de Microsoft Entra
   • Formato: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

2. ID da Subscrição

   • O identificador exclusivo da Subscrição Azure de Microsoft Sentinel
   • Formato: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

3. Nome do Grupo de Recursos

   • Este é o nome do grupo de recursos que o copilot de segurança irá utilizar para o Sentinel.

4. Nome da Área de Trabalho

   • Este é o nome da área de trabalho que o copilot de segurança utilizará para o Sentinel.

Métodos de configuração

1. Portal de Configuração do Plug-in
   • Configurar as definições diretamente no Microsoft Copilot da interface de plug-in Segurança
   • Especificar parâmetros de ligação da área de trabalho
   • Testar a conectividade antes de guardar

Exemplo de pedidos de palavra-passe

A secção seguinte fornece exemplos de pedidos para experimentar.

1. Consultas de Linguagem Natural

Utilize o idioma de conversação para analisar 1Dados de auditoria de palavras-passe:

• "Mostrar-me todas as tentativas de início de sessão falhadas em 1Password na semana passada"
• "Quem acedeu a cofres confidenciais em 1Password fora do horário comercial?"
• "Alguém criou novos cofres partilhados no último mês?"

2. Comandos Estruturados

Para um controlo mais preciso, utilize a sintaxe do comando estruturado:

• analyze-events -type:"item.view" -timeframe:"last 7 days" -user:"admin"
• detect-anomalies -dataset:"authentication" -baseline:"30 days"
• report-activity -vault:"Finance" -action:"create,delete,modify"

3. Integração do Fluxo de Trabalho

Inclua a análise de auditoria 1Password como parte de fluxos de trabalho de segurança maiores:

• "Investigar esta conta de utilizador e marcar para atividade 1Password invulgar"
• "Analisar padrões de início de sessão nos nossos fornecedores de SSO, incluindo 1Password"
• "Gerar um relatório de conformidade que mostra todo o acesso a dados regulados em 1Password"

Formatação de Resposta

O plug-in formatar as respostas para fornecer informações de segurança claras:

• Linhas Cronológicas de Eventos: vista cronológica de eventos de segurança relacionados
• Perfis de Atividade do Utilizador: vista agregada dos comportamentos dos utilizadores
• Realce de Anomalias: Limpar a identificação de eventos atípicos
• Análise Visual: Gráficos e gráficos para reconhecimento de padrões

Uso avançado

Investigação de Incidentes de Segurança

O plug-in permite uma investigação avançada de incidentes de segurança que envolvem a utilização de 1Password:

Exemplo de Fluxo de Trabalho de Investigação

1. Receber alerta sobre o acesso suspeito ao cofre confidencial
2. Consultar registos de auditoria 1Password para todas as ações do utilizador sinalizado
3. Analisar padrões de acesso e comparar com a linha de base histórica
4. Correlacionar com outra telemetria de segurança (registos de rede, dados de ponto final)
5. Gerar linha do tempo de incidentes abrangentes e ações recomendadas

Resolver problemas do plug-in 1Password

Ocorrem erros

Se encontrar erros, como Não foi possível concluir o pedido ou ocorreu um erro desconhecido. Certifique-se de que o plug-in esteja ativado. Este erro pode ocorrer se o período de procura for demasiado longo, o que faz com que a consulta tente obter uma quantidade excessiva de dados. Se o problema persistir, saia do Copilot da Segurança da Microsoft e faça login novamente.

Problemas de Ingestão de Dados

Problemas de Consulta

Problemas de Acesso ao Plug-in

Otimização do Desempenho

• Utilizar padrões KQL eficientes e evitar associações cruzadas em grandes conjuntos de dados
• Implementar filtros de tempo adequados para limitar o processamento de dados
• Considerar vistas materializadas para executar frequentemente consultas analíticas
• Monitorizar o desempenho de consultas e otimizar operações com muitos recursos

Prompts não estão a invocar as capacidades corretas

Se os pedidos não invocarem as capacidades corretas ou se os pedidos invocarem outro conjunto de capacidades, poderá ter plug-ins personalizados ou outros plug-ins com funcionalidades semelhantes ao conjunto de capacidade que pretende utilizar.

Faça comentários

Para fornecer comentários, contacte https://support.1password.com/.

Confira também

Outros plug-ins para Microsoft Copilot paraplug-ins de Gestão de Segurança no Microsoft Copilot para Segurança