1Password 로그

Panther는 1Password에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 1Password 이벤트 로그를 다음을 통해 가져옵니다 1Password 이벤트 API 매 1분마다. Panther는 특히 다음 1Password 이벤트를 모니터링합니다:

• 사용자 1Password 계정에서의 로그인 시도

• 공유 금고의 항목이 수정, 액세스 또는 사용된 경우

• 활동 로그의 감사 이벤트

Panther는 장치가 오프라인일 때 생성된 1Password 이벤트를 수집합니다.

작업이 OnePassword.ItemUsage 이벤트를 발생시킨 시점부터 로그가 Panther에 수집될 때까지 최대 하루의 지연이 있을 수 있습니다. Panther는 이벤트가 사용 가능해지는 즉시 이벤트를 가져오지만 일부 장치는 하루에 한두 번만 1Password와 동기화됩니다.

1Password 로그를 Panther에 온보딩하는 방법

Panther에서 1Password를 로그 소스로 설정하려면 1Password 계정에서 액세스 토큰을 생성한 다음 Panther에서 1Password 로그 소스를 구성해야 합니다.

단계 1: 1Password에서 액세스 토큰 생성

1. 로그인 하여 1Password 계정에 접속한 다음 클릭 통합 사이드바에서.

2. 클릭 디렉터리 페이지 상단의.

3. 아래로 스크롤하여 "이벤트 보고(Events Reporting)" 섹션으로 이동한 다음 클릭 팬서.

4. 입력하세요 시스템 이름 통합에 대해 그런 다음 클릭 통합 추가.

5. 베어러 토큰의 이름을 입력하고 토큰 만료 기간을 선택하세요.

6. 토큰이 액세스할 이벤트 유형을 선택하세요:

   • 로그인 시도

     • 이 옵션을 선택하면 OnePassword.SignInAttempt 이벤트를 Panther로 수집할 수 있습니다.

   • 항목 사용 이벤트

     • 이 옵션을 선택하면 OnePassword.ItemUsage 이벤트를 Panther로 수집할 수 있습니다.

   • 감사 이벤트

     • 이 옵션을 선택하면 OnePassword.AuditEvent 이벤트를 Panther로 수집할 수 있습니다.

7. 클릭 토큰 발급 을(를) 클릭하여 액세스 토큰 키를 생성하세요.

   • 1Password 베어러 토큰 발급 또는 취소에 대한 추가 정보는 1Password 문서.

8. 클릭 에 설명되어 있습니다. 1Password에 저장

9. 클릭 하고 토큰을 저장할 금고를 선택하세요. 통합 세부정보 보기

   • 에서 토큰을 확인하세요.

다음 단계에서 이 토큰이 필요합니다.

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. 단계 2: Panther에서 새 1Password 로그 소스 생성

4. 슬라이드 아웃 패널에서 클릭하세요 설정 시작.

5. “1Password”를 검색한 다음 해당 타일을 클릭하세요. 다음 화면에서 소스 이름을 입력하세요 예: .

6. 클릭 설정.

7. 페이지에서 자격 증명 페이지에서 양식을 작성하세요:

   • 로 설정하지 않을 것을 강력히 권장합니다 내 1Password 로그 액세스 토큰 키

   • 을(를) 1Password 계정에서 복사하여 액세스 토큰 필드에 붙여넣으세요.

8. 클릭 설정. 성공 화면으로 이동합니다:\

   

   • 선택적으로 하나 이상의 탐지 팩(Detection Packs).

   • 설정은 이벤트가 처리되지 않을 때 경고 트리거 기본값은 예. 데이터가 일정 기간 이후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

공개 배포 활성화 1Password 계정의 지역과 요금제를 선택하세요. 기본적으로 1Password 로그에는 금고 및 로그인 자격 증명과 같은 객체에 대한 사람이 읽을 수 있는 값이 포함되어 있지 않습니다. 다음을 참조하세요 Lookup Tables 사용에 관한 안내

Panther 제작 탐지 규칙

Panther의 내장된 1Password의 UUID(범용 고유 식별자) 값을 사람이 읽을 수 있는 이름으로 변환하는 방법에 대해..

지원되는 로그 유형

OnePassword.ItemUsage

Github의 panther-analysis에 있는 1Password 규칙 이들은 1Password 항목 사용 이벤트입니다. 자세한 내용은.

1Password 이벤트 API 참조 문서
파서:
    원본:
        스키마: OnePassword.ItemUsage
이름: OnePassword.ItemUsage
설명: OnePassword 항목 사용
필드:
    - 이름: uuid
      required: true
      참조 URL: https://support.1password.com/events-api-reference/#item-usage
      type: string
    - 이름: timestamp
      required: true
      설명: 이벤트의 UUID입니다.
      type: timestamp
      timeFormats:
        - rfc3339
      isEventTime: true
    설명: 이벤트의 날짜 및 시간(rfc3339 표준 형식).
      - 이름: used_version
      type: bigint
    설명: 액세스된 항목의 버전입니다.
      - 이름: vault_uuid
      type: string
    설명: 항목이 있는 금고의 UUID입니다.
      - 이름: item_uuid
      type: string
    - 이름: action
      설명: 액세스된 항목의 UUID입니다.
      type: string
    - name: user
      설명: 항목이 어떻게 사용되었는지에 대한 세부 정보입니다. 동작은 1Password 8.4.0 이상을 사용하는 클라이언트 앱에서만 캡처됩니다.
      type: object
      필드:
        - 이름: uuid
          설명: 항목에 액세스한 사용자 객체입니다.
          type: string
        - 이름: name
          설명: 항목에 액세스했거나 계정에 로그인하려고 한 사용자의 UUID입니다.
          type: string
        - 이름: email
          설명: 이벤트가 생성될 때 보강된 사용자 이름입니다.
          type: string
          지표:
            - 이메일
    - 이름: client
      설명: 이벤트가 생성될 때 보강된 사용자 이메일 주소입니다.
      type: object
      필드:
        - 이름: app_name
          설명: 항목에 액세스하는 데 사용된 클라이언트 객체입니다.
          type: string
        설명: 항목에 액세스한 1Password 앱의 이름입니다.
          - 이름: app_version
          type: string
        설명: 앱의 버전 번호입니다.
          - 이름: platform_name
          type: string
        설명: 항목에 액세스한 플랫폼의 이름입니다.
          - 이름: platform_version
          type: string
        설명: 1Password가 설치된 브라우저나 컴퓨터의 버전 또는 1Password 커맨드라인 도구가 설치된 머신의 CPU입니다.
          - 이름: os_name
          type: string
        설명: 항목에 액세스한 운영체제의 이름입니다.
          - 이름: os_version
          type: string
        - 이름: ip_address
          설명: 항목에 액세스한 운영체제의 버전입니다.
          type: string
          지표:
            - ip

OnePassword.SignInAttempt

설명: 항목에 액세스한 IP 주소입니다. 이들은 1Password 항목 사용 이벤트입니다. 자세한 내용은.

이들은 1Password 로그인 시도입니다. 자세한 내용은
파서:
    원본:
        스키마: OnePassword.SignInAttempt
이름: OnePassword.SignInAttempt
설명: OnePassword 로그인 시도
필드:
    - 이름: uuid
      required: true
      참조 URL: https://support.1password.com/events-api-reference/#item-usage
      type: string
    참조 URL: https://support.1password.com/events-api-reference/#sign-in-attempts
      - 이름: session_uuid
      type: string
    - 이름: timestamp
      required: true
      설명: 이벤트의 UUID입니다.
      type: timestamp
      timeFormats:
        - rfc3339
      isEventTime: true
    - name: category
      설명: 이벤트를 생성한 세션의 UUID입니다.
      type: string
    - 이름: type
      설명: 로그인 시도 범주입니다.
      type: string
    - 이름: country
      설명: 로그인 시도 유형의 세부 정보입니다.
      type: string
    - 이름: details
      설명: 이벤트가 발생한 국가 코드입니다.
      type: object
      필드:
        - 이름: value
          설명: 사용자가 로그인하지 못하도록 하는 방화벽 규칙과 같은 로그인 시도에 대한 추가 정보입니다.
          type: string
    설명: 로그인 시도의 국가, 대륙 또는 IP 주소입니다.
      - 이름: target_user
      type: object
      필드:
        - 이름: uuid
          설명: 항목에 액세스한 사용자 객체입니다.
          type: string
        - 이름: name
          설명: 항목에 액세스했거나 계정에 로그인하려고 한 사용자의 UUID입니다.
          type: string
        - 이름: email
          설명: 이벤트가 생성될 때 보강된 사용자 이름입니다.
          type: string
          지표:
            - 이메일
    - 이름: client
      설명: 로그인 시도를 시도한 사용자 객체입니다.
      type: object
      필드:
        - 이름: app_name
          설명: 항목에 액세스하는 데 사용된 클라이언트 객체입니다.
          type: string
        설명: 항목에 액세스한 1Password 앱의 이름입니다.
          - 이름: app_version
          type: string
        설명: 앱의 버전 번호입니다.
          - 이름: platform_name
          type: string
        설명: 항목에 액세스한 플랫폼의 이름입니다.
          - 이름: platform_version
          type: string
        설명: 1Password가 설치된 브라우저나 컴퓨터의 버전 또는 1Password 커맨드라인 도구가 설치된 머신의 CPU입니다.
          - 이름: os_name
          type: string
        설명: 항목에 액세스한 운영체제의 이름입니다.
          - 이름: os_version
          type: string
        - 이름: ip_address
          설명: 항목에 액세스한 운영체제의 버전입니다.
          type: string
          지표:
            - ip
    - 이름: location
      설명: 로그인 시도에 사용된 클라이언트 객체입니다.
      type: object
      필드:
        - 이름: country
          설명: 이벤트가 발생한 위치입니다.
          type: string
        - 이름: region
          설명: 이벤트가 발생한 국가 코드입니다.
          type: string
        - 이름: city
          설명: 이벤트가 발생한 지역(리전) 코드입니다.
          type: string
        - name: longitude
          설명: 이벤트가 발생한 도시 코드입니다.
          type: float
        - name: latitude
          설명: 이벤트가 발생한 장소의 경도입니다.
          type: float

OnePassword.AuditEvent

설명: 이벤트가 발생한 장소의 위도입니다. 이들은 활동 로그의 1Password 감사 이벤트입니다. 자세한 내용은.

1Password 이벤트 보고 감사 이벤트 문서
스키마: OnePassword.AuditEvent
설명: OnePassword 감사 이벤트
필드:
    - 이름: uuid
      required: true
      참조 URL: https://support.1password.com/events-api-reference/#item-usage
      type: string
    - 이름: timestamp
      required: true
      설명: 이벤트의 UUID입니다.
      type: timestamp
      timeFormats:
        - rfc3339
      isEventTime: true
    참조 URL: https://developer.1password.com/docs/events-api/audit-events/
      - 이름: actor_uuid
      type: string
      지표:
        - actor_id
    설명: ActorUUID 필드.
      - 이름: actor_details
      type: object
      필드:
        - 이름: uuid
          설명: 작업을 수행한 팀 구성원의 세부 정보입니다.
          type: string
          지표:
            - actor_id
        - 이름: name
          설명: 팀 구성원의 uuid입니다.
          type: string
          지표:
            - username
        - 이름: email
          설명: 팀 구성원의 이름입니다.
          type: string
          지표:
            - 이메일
    - 이름: action
      required: true
      설명: 팀 구성원의 이메일입니다.
      type: string
    설명: 수행된 작업입니다.
      required: true
      - 이름: object_type
      type: string
    설명: 이벤트로 영향을 받은 객체의 유형입니다.
      - 이름: object_uuid
      type: string
    설명: 이벤트로 영향을 받은 객체의 UUID입니다.
      - 이름: object_details
      type: object
      필드:
        - 이름: uuid
          설명: 작업을 수행한 팀 구성원의 세부 정보입니다.
          type: string
          지표:
            - actor_id
        - 이름: name
          설명: 팀 구성원의 uuid입니다.
          type: string
          지표:
            - username
        - 이름: email
          설명: 팀 구성원의 이름입니다.
          type: string
          지표:
            - 이메일
    설명: 이벤트로 영향을 받은 팀 구성원의 세부 정보입니다. 이 속성은 동작의 대상이 팀 구성원인 이벤트에 대해서만 반환됩니다.
      - 이름: aux_id
      type: bigint
    설명: 활동에 대한 추가 정보의 ID입니다.
      - 이름: aux_uuid
      type: string
    설명: 활동에 대한 추가 정보의 UUID입니다.
      - 이름: aux_details
      type: object
      필드:
        - 이름: uuid
          설명: 작업을 수행한 팀 구성원의 세부 정보입니다.
          type: string
          지표:
            - actor_id
        - 이름: name
          설명: 팀 구성원의 uuid입니다.
          type: string
          지표:
            - username
        - 이름: email
          설명: 팀 구성원의 이름입니다.
          type: string
          지표:
            - 이메일
    설명: 활동에 대한 추가 정보와 관련된 팀 구성원의 세부 정보입니다. 이 속성은 활동에 대한 추가 정보가 팀 구성원과 관련된 이벤트에 대해서만 반환됩니다.
      - 이름: aux_info
      type: string
    - 이름: session
      설명: 활동에 대한 추가 정보입니다.
      type: object
      필드:
        - 이름: uuid
          - 이름: session_uuid
          type: string
        설명: 클라이언트에 대해 수집된 세션 정보입니다.
          - 이름: login_time
          type: timestamp
        설명: 세션 로그인 날짜 및 시간입니다.
          - 이름: device_uuid
          type: string
        - 이름: ip
          설명: 로그인 장치의 UUID입니다.
          type: string
          지표:
            - ip
    - 이름: location
      설명: 로그인 장치의 IP 주소입니다.
      type: object
      필드:
        - 이름: country
          설명: 이벤트가 발생한 위치입니다.
          type: string
        - 이름: region
          설명: 이벤트가 발생한 국가 코드입니다.
          type: string
        - 이름: city
          설명: 이벤트가 발생한 지역(리전) 코드입니다.
          type: string
        - name: longitude
          설명: 이벤트가 발생한 도시 코드입니다.
          type: float
        - name: latitude
          설명: 이벤트가 발생한 장소의 경도입니다.
          type: float