Connecteur 1Password (avec Azure Functions) pour Microsoft Sentinel
La solution 1Password pour Microsoft Sentinel vous permet d’ingérer des tentatives de connexion, une utilisation des éléments et des événements d’audit à partir de votre compte professionnel 1Password à l’aide de l’API de création de rapports d’événements 1Password. Cela vous permet de surveiller et d’examiner les événements dans 1Password dans Microsoft Sentinel, ainsi que les autres applications et services que votre organisation utilise.
Technologies sous-jacentes Microsoft utilisées :
Cette solution dépend des technologies suivantes, dont certaines peuvent être en Préversion ou peuvent entraîner des coûts supplémentaires d’ingestion ou d’exploitation :
Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.
Attributs du connecteur
| Attribut du connecteur | Description |
|---|---|
| Table(s) Log Analytics | OnePasswordEventLogs_CL |
| Prise en charge des règles de collecte de données | Non prise en charge pour le moment |
| Pris en charge par | 1Password |
Exemples de requête
Top 10 des utilisateurs
OnePasswordEventLogs_CL
| summarize count() by tostring(target_user.name)
| top 10 by count_
Prérequis
Pour intégrer 1Password (avec Azure Functions), assurez-vous de la présence des éléments suivants :
- Autorisations Microsoft.Web/sites : Autorisations d’accès en lecture et en écriture à Azure Functions pour créer une application de fonction requises. Consultez la documentation pour en savoir plus sur Azure Functions.
- Jeton d’API des événements 1Password : un jeton d’API des événements 1Password est requis. Consultez la documentation pour en savoir plus sur l’API 1Password.
- Un compte professionnel 1Password est requis.
Instructions d’installation du fournisseur
Remarque
Ce connecteur utilise Azure Functions pour se connecter à 1Password et ainsi extraire les journaux dans Microsoft Sentinel. Cela risque de générer des coûts supplémentaires d’ingestion des données à partir d’Azure. Si vous souhaitez en savoir plus, veuillez consulter la page des tarifs d’Azure Functions.
(Étape facultative) Stockez en toute sécurité les clés ou les jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clés. Suivez ces instructions pour utiliser Azure Key Vault avec une application Azure Function.
ÉTAPE 1 : étapes de configuration de l’API de reporting d’événements 1Password
Suivez ces instructions fournies par 1Password pour obtenir un jeton d’API de reporting d’événements. Un compte professionnel 1Password est requis.
ÉTAPE 2 : déployer l’application de fonction à l’aide du bouton DeployToAzure pour créer la table, la règle de collecte de données et la fonction Azure associée
IMPORTANT : avant de déployer le connecteur 1Password, une table personnalisée doit être créée.
Option 1 – Modèle Azure Resource Manager (ARM)
Cette méthode fournit un déploiement automatisé du connecteur 1Password à l’aide d’un modèle ARM.
Cliquez sur le bouton Déployer sur Azure ci-dessous.
Sélectionnez l’abonnement, le groupe de ressources et l’emplacement de votre choix.
Entrez le nom de l’espace de travail, le nom de l’espace de travail, la clé API d’événements 1Password et l’URI.
- L’intervalle de temps par défaut est défini sur cinq (5) minutes. Si vous souhaitez modifier l’intervalle, vous pouvez ajuster le déclencheur du minuteur de l’application de fonction en conséquence (dans le fichier function.json, après le déploiement) pour empêcher l’ingestion des données qui se chevauchent.
- Si vous utilisez des secrets Azure Key Vault pour l’une des valeurs ci-dessus, utilisez le schéma
@Microsoft.KeyVault(SecretUri={Security Identifier})à la place des valeurs de chaîne. Pour plus d’informations, reportez-vous à la documentation relative aux références de Key Vault.
Cochez la case J’accepte les termes et conditions mentionnés ci-dessus.
Cliquez sur Acheter pour déployer.
Étapes suivantes
Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.