« 通过 CVE-2022-38028 潜在的权限提升 通过 tmux 或 screen 启动的潜在可疑进程 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和警报 ›预构建规则参考

通过推送通知可能成功实施 MFA 轰炸

编辑

通过推送通知可能成功实施 MFA 轰炸

编辑

检测攻击者是否滥用多因素身份验证机制，通过重复发出登录请求，直到用户最终接受 Okta 推送通知。攻击者可能会试图绕过组织为获取未经授权的访问而配置的 Okta MFA 策略。

规则类型: eql

规则索引:

  • filebeat-*
  • logs-okta*

严重性: 高

风险评分: 73

每隔: 5 分钟

搜索索引自: 无 (日期数学格式，另请参阅 其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 用例：身份和访问审计
  • 战术：凭据访问
  • 数据源：Okta

版本: 211

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查潜在的重复 MFA 推送通知滥用情况

多因素身份验证 (MFA) 是一种有效的方法，可以防止未经授权的访问。但是，一些攻击者可能会滥用该系统，通过重复发送 MFA 推送通知，直到用户无意中批准访问。

此规则检测用户在 10 分钟内两次拒绝 MFA Okta Verify 推送通知，然后发生成功身份验证事件的情况。此序列可能表明攻击者试图绕过 Okta MFA 策略。

可能的调查步骤

  • 通过查看 user.email 字段来识别接收 MFA 通知的用户。
  • 识别 MFA 请求以及随后成功登录的时间、源 IP 和地理位置。
  • 查看 event.action 字段以了解事件的性质。它应包含两个 user.mfa.okta_verify.deny_push 操作和一个 user.authentication.sso 操作。
  • 询问用户是否记得收到 MFA 通知并随后登录其帐户。
  • 检查 MFA 请求和成功登录是否发生在用户的正常活动时间内。
  • 查找帐户在同一时间段内发生的任何其他可疑活动。
  • 确定您的组织中其他用户是否重复出现相同的模式。多个用户同时收到推送通知可能表示更大的攻击。

误报分析

  • 确定 MFA 推送通知是否合法。有时，用户会意外触发 MFA 请求或无意中拒绝它们，然后稍后批准它们。
  • 检查 MFA 系统中是否存在已知问题导致错误拒绝。

响应和补救措施

  • 如果确认未经授权的访问，请启动您的事件响应流程。
  • 立即提醒用户和您的 IT 部门。
  • 如果可能，隔离用户的帐户，直到问题解决。
  • 调查未经授权访问的来源。
  • 如果帐户被未经授权的方访问，请确定他们在登录后采取的操作。
  • 考虑增强您的 MFA 策略以防止将来发生此类事件。
  • 鼓励用户立即报告任何意外的 MFA 通知。
  • 根据事件调查结果，审查和更新您的事件响应计划和安全策略。

设置

编辑

Okta Fleet 集成、Filebeat 模块或类似结构的数据需要与此规则兼容。

规则查询

编辑
sequence by okta.actor.id with maxspan=10m
  [authentication where event.dataset == "okta.system" and event.module == "okta"
    and event.action == "user.mfa.okta_verify.deny_push"] with runs=3
  [authentication where event.dataset == "okta.system" and event.module == "okta"
    and (event.action : (
      "user.authentication.sso",
      "user.authentication.auth_via_mfa",
      "user.authentication.verify",
      "user.session.start") and okta.outcome.result == "SUCCESS")]

框架: MITRE ATT&CKTM

« 通过 CVE-2022-38028 潜在的权限提升 通过 tmux 或 screen 启动的潜在可疑进程 »