› › ›

尝试停用 Okta 应用程序

检测尝试停用 Okta 应用程序的行为。攻击者可能会尝试修改、停用或删除 Okta 应用程序，以削弱组织的安全控制或扰乱其业务运营。

规则类型: 查询

规则索引:

严重性: 低

风险评分: 21

每隔: 5 分钟

搜索索引自: 无 (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 208

规则作者:

规则许可证: Elastic License v2

分类和分析

调查尝试停用 Okta 应用程序

此规则检测尝试停用 Okta 应用程序的行为。未经授权的停用可能导致服务中断，并对组织构成重大风险。

可能的调查步骤

通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 和 okta.actor.display_name 字段来识别与停用尝试相关的行为者。
确定行为者使用的客户端。查看 okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device 和 okta.client.id 字段。
如果客户端是设备，请检查 okta.device.id、okta.device.name、okta.device.os_platform、okta.device.os_version 和 okta.device.managed 字段。
从 okta.debug_context.debug_data 和 okta.authentication_context 字段了解事件的上下文。
检查 okta.outcome.result 和 okta.outcome.reason 字段以查看尝试是否成功或失败。
通过检查 okta.target 字段中记录的先前操作，查看参与此操作的行为者的过去活动。
分析 okta.transaction.id 和 okta.transaction.type 字段以了解事务的上下文。
评估 okta.event_type 字段中此事件之前和之后发生的操作，以帮助了解活动的完整上下文。

误报分析

响应和补救

需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与该规则兼容。

event.dataset:okta.system and event.action:application.lifecycle.deactivate

框架: MITRE ATT&CK^TM