Okta ThreatInsight 威胁可疑提升
编辑Okta ThreatInsight 威胁可疑提升
编辑Okta ThreatInsight 是一项功能，它提供有关身份验证和授权流程的有价值的调试数据，这些数据记录在系统中。在此数据中，有一个名为 threat_suspected 的特定字段，它代表 Okta 对身份验证或授权工作流的内部评估。当此字段设置为 True 时，表明可能存在潜在的凭据访问技术，例如密码喷洒、暴力破解、重放攻击以及其他类似威胁。
规则类型: 查询
规则索引:
- filebeat-*
- logs-okta*
严重性: 中等
风险评分: 47
每隔: 5 分钟
每次执行的最大告警数: 100
参考资料:
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://help.okta.com/en-us/Content/Topics/Security/threat-insight/configure-threatinsight-system-log.html
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 用例：身份和访问审计
- 数据源：Okta
版本: 207
规则作者:
- Elastic
规则许可证: Elastic License v2
设置
编辑规则查询
编辑event.dataset:okta.system and (event.action:security.threat.detected or okta.debug_context.debug_data.threat_suspected: true)