首次出现通过代理启动的 Okta 用户会话
编辑首次出现通过代理启动的 Okta 用户会话
编辑识别首次出现通过代理启动的 Okta 用户会话。
规则类型: new_terms
规则索引:
- filebeat-*
- logs-okta*
严重性: 中
风险评分: 47
运行频率: 5m
搜索索引起始时间: 无 ( 日期数学格式，另请参阅 额外回溯时间)
每次执行的最大警报数: 100
参考资料:
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://developer.okta.com/docs/reference/api/system-log/#issuer-object
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://sec.okta.com/articles/2023/08/cross-tenant-impersonation-prevention-and-detection
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 策略：初始访问
- 用例：身份和访问审计
- 数据源：Okta
版本: 205
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查首次出现通过代理启动的 Okta 用户会话
此规则检测首次出现通过代理启动的 Okta 用户会话。此规则旨在帮助识别可疑的身份验证行为，这些行为可能表明攻击者试图在保持匿名的情况下访问 Okta 帐户。此规则利用了“新术语”规则类型功能，其中会根据过去 7 天的数据检查 okta.actor.id 值，以确定该值是否在此活动中之前出现过。
可能的调查步骤
- 通过检查
okta.actor.id、okta.actor.type、okta.actor.alternate_id和okta.actor.display_name字段，确定参与此操作的用户。 - 确定参与者使用的客户端。查看
okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device和okta.client.id字段。 - 检查
okta.debug_context.debug_data.flattened字段，以获取有关所用代理的更多信息。 - 查看
okta.request.ip_chain字段，以获取有关代理地理位置的更多信息。 - 通过检查参与此操作的参与者之前的操作，查看他们的过去活动。
- 评估
okta.event_type字段中此事件发生之前和之后发生的操作，以帮助了解活动的完整上下文。
误报分析
- 用户可能出于安全或隐私原因合法地通过代理启动会话。
响应和补救
- 查看参与此操作的用户的个人资料，以确定是否可能预期使用代理。
- 如果用户是合法的且身份验证行为没有可疑之处，则无需采取任何操作。
- 如果用户是合法的但身份验证行为可疑，请考虑重置用户密码并启用多因素身份验证 (MFA)。
- 如果已启用 MFA，请考虑重置用户的 MFA。
- 如果用户不合法，请考虑停用该用户的帐户。
- 审查 Okta 策略，并确保它们符合安全最佳实践。
设置
设置
编辑需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。
规则查询
编辑event.dataset:okta.system and okta.event_type: (user.session.start or user.authentication.verify) and okta.security_context.is_proxy:true and not okta.actor.id: okta*
框架: MITRE ATT&CKTM
-
策略
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
-
技术
- 名称：外部远程服务
- ID：T1133
- 参考 URL：https://attack.mitre.org/techniques/T1133/