Okta 暴力破解或密码喷洒攻击
编辑Okta 暴力破解或密码喷洒攻击
编辑识别来自单个 IP 地址的大量 Okta 用户身份验证失败尝试，这可能表明存在暴力破解或密码喷洒攻击。攻击者可能会尝试暴力破解或密码喷洒攻击以获得对用户帐户的未授权访问。
规则类型: 阈值
规则索引:
- filebeat-*
- logs-okta*
严重性: 中等
风险评分: 47
每: 5 分钟运行一次
每次执行的最大告警数: 100
参考资料:
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 用例：身份和访问审计
- 战术：凭据访问
- 数据源：Okta
版本: 210
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查 Okta 暴力破解或密码喷洒攻击
当从单个 IP 地址发生大量 Okta 用户身份验证失败尝试时，此规则会发出告警。这可能表明存在暴力破解或密码喷洒攻击，攻击者可能会通过猜测密码来尝试获得对用户帐户的未授权访问。
可能的调查步骤
- 查看
source.ip字段以识别大量失败登录尝试的来源 IP 地址。 - 查看
event.outcome字段以验证这些确实是身份验证失败尝试。 - 确定与这些失败登录尝试相关的
user.name或user.email。如果尝试分散在多个帐户中，则可能表明存在密码喷洒攻击。 - 检查事件的时间线。失败尝试是均匀分布还是存在突发期，这可能表明使用了自动化工具？
- 确定源 IP 的地理位置。此位置是否与用户的典型登录位置一致？
- 分析来自此 IP 的任何之前的成功登录。此 IP 是否以前与成功登录相关联？
误报分析
- 尝试使用过期或错误凭据多次进行身份验证的单个用户或自动化流程可能会触发误报。
- 分析源 IP 的行为。如果 IP 与合法用户或服务相关联，则可能为误报。
响应和补救
- 如果您识别出未经授权的访问尝试，请考虑在防火墙级别阻止源 IP。
- 通知受攻击影响的用户。要求他们更改密码并确保他们使用唯一且复杂的密码。
- 增强对受影响用户帐户的监控，以防出现任何可疑活动。
- 如果攻击持续存在，请考虑在一定数量的失败登录尝试后实施验证码或帐户锁定。
- 如果攻击持续存在，请考虑为受影响的用户帐户实施多因素身份验证 (MFA)。
- 根据事件调查结果审查和更新您的安全策略。
设置
编辑需要 Okta Fleet 集成、Filebeat 模块或结构类似的数据才能与该规则兼容。
规则查询
编辑event.dataset:okta.system and event.category:authentication and event.outcome:failure
框架: MITRE ATT&CKTM
-
战术
- 名称：凭据访问
- ID：TA0006
- 参考网址：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考网址：https://attack.mitre.org/techniques/T1110/