尝试修改 Okta 策略规则
编辑尝试修改 Okta 策略规则
编辑检测尝试修改 Okta 策略中的规则的行为。攻击者可能会尝试修改 Okta 策略规则以削弱组织的安全控制。
规则类型: 查询
规则索引:
- filebeat-*
- logs-okta*
严重性: 低
风险评分: 21
每隔: 5 分钟
每次执行的最大告警数: 100
参考资料:
- https://help.okta.com/en/prod/Content/Topics/Security/Security_Policies.htm
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 用例：身份和访问审计
- 策略：防御规避
- 数据源：Okta
版本: 209
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查尝试修改 Okta 策略规则
修改 Okta 策略规则可能是恶意活动的迹象，因为它可能旨在削弱组织的安全控制。
可能的调查步骤
- 通过查看警报中的
okta.actor.id、okta.actor.type、okta.actor.alternate_id或okta.actor.display_name字段来识别与警报相关的行为者。 - 查看
okta.client.user_agent.raw_user_agent字段以了解行为者使用的设备和软件。 - 检查
okta.outcome.reason字段以获取有关修改尝试的更多上下文。 - 检查
okta.outcome.result字段以确认规则修改尝试。 - 检查是否来自同一行为者或 IP 地址 (
okta.client.ip) 的多次规则修改尝试。 - 检查修改尝试后是否立即成功登录。
- 验证行为者的活动是否与典型行为一致，或者在修改尝试前后是否发生任何异常活动。
误报分析
- 检查在修改尝试时 Okta 系统是否存在问题。这可能表示系统错误而不是真正的威胁活动。
- 检查修改尝试的地理位置 (
okta.request.ip_chain.geographical_context) 和时间。如果这些与行为者的正常行为匹配，则可能是误报。 - 验证行为者的管理权限以确保其正确配置。
响应和补救
- 如果确认未经授权的修改，则启动事件响应流程。
- 立即锁定受影响的行为者帐户并要求更改密码。
- 考虑重置行为者的 MFA 令牌并要求重新注册。
- 检查受损帐户是否用于访问或更改任何敏感数据或系统。
- 如果使用了特定的修改技术，请确保您的系统已修补或配置为防止此类技术。
- 评估受影响的服务和服务器的关键程度。
- 与您的 IT 团队合作，最大限度地减少对用户的影响并保持业务连续性。
- 如果多个帐户受到影响，请考虑更广泛地重置或审核 MFA 令牌。
- 实施 Okta 概述的 安全最佳实践。
- 使用事件响应数据，更新日志记录和审计策略以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置
编辑需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与该规则兼容。
规则查询
编辑event.dataset:okta.system and event.action:policy.rule.update
框架: MITRE ATT&CKTM
-
策略
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
-
技术
- 名称：损害防御
- ID：T1562
- 参考 URL：https://attack.mitre.org/techniques/T1562/
-
子技术
- 名称：禁用或修改云防火墙
- ID：T1562.007
- 参考 URL：https://attack.mitre.org/techniques/T1562/007/