Okta 用户会话模拟

用户已启动会话模拟，赋予他们以被模拟用户的权限访问环境的权限。这很可能表示 Okta 管理员访问权限，并且只有在请求和预期的情况下才能发生。

规则类型: 查询

规则索引:

严重性: 高

风险评分: 73

每隔: 15 分钟

搜索索引自: now-30m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 209

规则作者:

规则许可证: Elastic License v2

分类和分析

调查 Okta 用户会话模拟

检测 Okta 用户会话模拟表明用户已启动会话模拟，这赋予他们以被模拟用户的权限进行访问。此类活动通常表示 Okta 管理员访问权限，并且只有在请求和预期的情况下才能发生。

可能的调查步骤

通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 或 okta.actor.display_name 字段来识别与模拟事件关联的参与者。
查看 event.action 字段以确认模拟事件的启动。
检查 event.time 字段以了解事件的时间。
检查 okta.target.id、okta.target.type、okta.target.alternate_id 或 okta.target.display_name 以识别被模拟的用户。
查看模拟会话期间发生的任何活动。查看模拟事件期间和之后与被模拟用户帐户相关的任何活动。

误报分析

验证会话模拟是否属于批准的活动的一部分。检查它是否与任何已记录的管理任务或故障排除工作相关联。
确保模拟会话是由授权的个人启动的。您可以通过针对批准的管理员列表验证 okta.actor.id 或 okta.actor.display_name 来检查这一点。

响应和补救

需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与该规则兼容。

event.dataset:okta.system and event.action:user.session.impersonation.initiate

框架: MITRE ATT&CK^TM