为身份验证生成大量 Okta 设备令牌 Cookie
编辑为身份验证生成大量 Okta 设备令牌 Cookie
编辑检测 Okta 客户端地址在单个用户身份验证中生成多个设备令牌哈希的情况下，何时超过了 Okta 用户身份验证事件的特定阈值。攻击者可能会尝试通过使用已知用户名和密码列表从同一设备发起凭据填充或密码喷洒攻击，以非法访问用户帐户。
规则类型: esql
规则索引: 无
严重性: 低
风险评分: 21
运行频率: 5 分钟
搜索索引起始时间: now-9m (日期数学格式，另请参阅 额外回溯时间)
每次执行的最大警报数: 100
参考:
- https://support.okta.com/help/s/article/How-does-the-Device-Token-work?language=en_US
- https://developer.okta.com/docs/reference/api/event-types/
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://sec.okta.com/articles/2023/08/cross-tenant-impersonation-prevention-and-detection
- https://www.okta.com/resources/whitepaper-how-adaptive-mfa-can-help-in-mitigating-brute-force-attacks/
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 使用案例：身份和访问审计
- 数据源：Okta
- 策略：凭据访问
版本: 203
规则作者:
- Elastic
规则许可: Elastic License v2
调查指南
编辑分类和分析
调查为身份验证生成大量 Okta 设备令牌 Cookie
此规则检测何时从同一客户端地址为多个用户报告了特定阈值的 Okta 用户身份验证事件。攻击者可能会尝试通过使用已知用户名和密码列表从同一设备发起凭据填充攻击，以非法访问用户帐户。请注意，Okta 不会记录身份验证尝试期间提供的无法识别的用户名，因此此规则可能无法检测到所有凭据填充尝试，或者可能指示有针对性的攻击。
可能的调查步骤
- 由于这是一个 ES|QL 规则，因此可以使用
okta.actor.alternate_id和okta.client.ip值来透视与此活动相关的原始身份验证事件。 - 通过检查
okta.actor.id、okta.actor.type、okta.actor.alternate_id和okta.actor.display_name字段来识别参与此操作的用户。 - 通过分析
okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device和okta.client.id字段来确定用于这些操作的设备客户端。 - 查看
okta.security_context.is_proxy字段以确定设备是否为代理。 - 如果设备是代理，这可能表明用户正在使用代理来访问多个帐户以进行密码喷洒。
- 使用
okta.actor.alternate_id值列表，查看event.outcome结果以确定身份验证是否成功。 - 如果任何用户的身份验证成功，则透视这些用户的
event.action值可能会提供其他上下文。 - 确定 Okta 最终用户后，查看
okta.debug_context.debug_data.dt_hash字段。 - 历史分析应表明此设备令牌哈希是否通常与用户关联。
- 查看
okta.event_type字段以确定发生的身份验证事件类型。 - 如果事件类型为
user.authentication.sso，则用户可能出于安全或隐私原因合法地通过代理启动了会话。 - 如果事件类型为
user.authentication.password，则用户可能正在使用代理来访问多个帐户以进行密码喷洒。 - 如果事件类型为
user.session.start，则源可能已尝试通过 Okta 身份验证 API 建立会话。 - 检查
okta.outcome.result字段以确定身份验证是否成功。 - 通过检查参与此操作的参与者之前的操作来查看其过去的活动。
- 评估
okta.event_type字段中此事件之前和之后发生的活动，以帮助理解活动的完整上下文。 - 这可能有助于确定用户、Okta 和应用程序之间发生的身份验证和授权操作。
误报分析
- 用户可能出于安全或隐私原因合法地通过代理启动了会话。
- 用户可能会共享与工作或个人用途相关的端点，其中使用了单独的 Okta 帐户。
- 在架构上，此共享端点可能会利用代理来实现安全或隐私目的。
- 多个用户可能会使用诸如信息亭和会议室计算机之类的共享系统。
- 共享工作空间可能只有一个由多个用户使用的端点。
响应和补救
- 查看参与此操作的用户的个人资料，以确定是否可以预期使用代理。
- 如果用户是合法的，并且根据设备分析，身份验证行为不是可疑的，则无需采取任何操作。
- 如果用户是合法的，但身份验证行为可疑，请考虑重置所涉及用户的密码并启用多因素身份验证 (MFA)。
- 如果已启用 MFA，请考虑重置用户的 MFA。
- 如果任何用户不合法，请考虑停用该用户的帐户。
- 审查 Okta 策略并确保其符合安全最佳实践。
- 与内部 IT 团队联系以确定所涉及的帐户最近是否应用户的请求而重置了 MFA。
- 如果是这样，请与用户确认这是一个合法的请求。
- 如果情况属实且这不是合法的请求，请考虑暂时停用该用户的帐户。
- 重置密码并重置用户的 MFA。
- 如果这是一个误报，请考虑将
okta.debug_context.debug_data.dt_hash字段添加到规则中的exceptions列表。 - 这将阻止此设备的未来事件触发该规则。
- 或者，将
okta.client.ip或 CIDR 范围添加到exceptions列表可以防止此事件的未来发生触发该规则。 - 应谨慎执行此操作，因为它可能会阻止生成合法的警报。
设置
编辑需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。
规则查询
编辑FROM logs-okta*
| WHERE
event.dataset == "okta.system"
AND (event.action RLIKE "user\\.authentication(.*)" OR event.action == "user.session.start")
AND okta.debug_context.debug_data.request_uri == "/api/v1/authn"
AND okta.outcome.reason == "INVALID_CREDENTIALS"
| KEEP event.action, okta.debug_context.debug_data.dt_hash, okta.client.ip, okta.actor.alternate_id, okta.debug_context.debug_data.request_uri, okta.outcome.reason
| STATS
source_auth_count = COUNT_DISTINCT(okta.debug_context.debug_data.dt_hash)
BY okta.client.ip, okta.actor.alternate_id
| WHERE
source_auth_count >= 30
| SORT
source_auth_count DESC
框架: MITRE ATT&CKTM
-
策略
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考 URL：https://attack.mitre.org/techniques/T1110/
-
子技术
- 名称：密码喷洒
- ID：T1110.003
- 参考 URL：https://attack.mitre.org/techniques/T1110/003/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考 URL：https://attack.mitre.org/techniques/T1110/
-
子技术
- 名称：凭据填充
- ID：T1110.004
- 参考 URL：https://attack.mitre.org/techniques/T1110/004/