Okta 用户密码重置或解锁尝试次数过多
编辑Okta 用户密码重置或解锁尝试次数过多
编辑识别 Okta 用户密码重置或帐户解锁尝试次数过多。攻击者可能会尝试使用这些方法获取对 Okta 用户帐户的未授权访问，并试图将其活动与目标环境中的正常活动混淆，以逃避检测。
规则类型: 阈值
规则索引:
- filebeat-*
- logs-okta*
严重性: 中等
风险评分: 47
每隔: 5 分钟
搜索索引时间范围: now-60m (日期数学格式，另请参阅 额外回溯时间)
每次执行的最大告警数: 100
参考:
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 用例：身份和访问审计
- 数据源：Okta
- 战术：防御规避
版本: 210
规则作者:
- Elastic
- @BenB196
- Austin Songer
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查 Okta 用户密码重置或解锁尝试次数过多
此规则旨在检测 Okta 中可疑数量过多的密码重置或帐户解锁尝试。过多的密码重置或帐户解锁可能表明攻击者试图获取对帐户的未授权访问。
可能的调查步骤
- 确定与过多尝试相关的行为者。为此可以使用
okta.actor.alternate_id字段。 - 确定行为者使用的客户端。您可以查看
okta.client.device、okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.ip_chain.ip和okta.client.geographical_context。 - 查看
okta.outcome.result和okta.outcome.reason字段以了解密码重置或解锁尝试的结果。 - 查看与这些尝试相关的事件操作。查看
event.action字段并筛选与密码重置和帐户解锁尝试相关的操作。 - 检查来自同一行为者或 IP 地址的其他类似行为模式。如果在密码重置或解锁尝试之前有大量失败的登录尝试，则可能表明存在暴力破解攻击。
- 此外，请查看这些尝试发生的时间。如果这些尝试是在非工作时间进行的，则可能进一步表明存在攻击者活动。
误报分析
- 如果存在导致密码重置或解锁尝试次数过多的合法原因，则此告警可能是误报。这可能是由于用户忘记密码或由于多次输入错误密码导致帐户锁定。
- 检查行为者的过去行为。如果这是他们的正常行为，并且他们有正当理由，则这可能是误报。
响应和补救措施
- 如果确认存在未经授权的尝试，则启动事件响应流程。
- 重置用户的密码，并在适用情况下强制重新注册 MFA。
- 如果尝试中使用的 IP 地址或设备看起来可疑，则将其阻止。
- 如果攻击是由特定技术促成的，请确保您的系统已修补或配置为防止此类技术。
- 考虑对您的 Okta 策略和规则进行安全审查，以确保它们符合安全最佳实践。
设置
编辑Okta Fleet 集成、Filebeat 模块或类似结构的数据需要与该规则兼容。
规则查询
编辑event.dataset:okta.system and
event.action:(system.email.account_unlock.sent_message or system.email.password_reset.sent_message or
system.sms.send_account_unlock_message or system.sms.send_password_reset_message or
system.voice.send_account_unlock_call or system.voice.send_password_reset_call or
user.account.unlock_token)
框架: MITRE ATT&CKTM
-
战术
- 名称：防御规避
- ID：TA0005
- 参考网址：https://attack.mitre.org/tactics/TA0005/
-
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/
-
战术
- 名称：持久性
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
-
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/
-
战术
- 名称：初始访问
- ID：TA0001
- 参考网址：https://attack.mitre.org/tactics/TA0001/
-
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/