› › ›

检测到新的 Okta 身份验证行为

检测 Okta 行为检测识别到新的身份验证行为的事件。

规则类型: 查询

规则索引:

严重性: 中

风险评分: 47

运行频率: 15 分钟

搜索索引时间范围: now-30m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

版本: 206

规则作者:

规则许可证: Elastic License v2

分类和分析

调查检测到的新的 Okta 身份验证行为

此规则检测 Okta 行为检测识别到新的身份验证行为（例如新设备或位置）的事件。

可能的调查步骤

通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 和 okta.actor.display_name 字段，确定参与此操作的用户。
通过检查 okta.debug_context.debug_data.risk_behaviors 和 okta.debug_context.debug_data.flattened 字段，确定身份验证异常。
确定参与者使用的客户端。查看 okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device 和 okta.client.id 字段。
如果客户端是设备，请检查 okta.device.id、okta.device.name、okta.device.os_platform、okta.device.os_version 和 okta.device.managed 字段。
通过检查参与此操作的参与者的先前操作，查看其过去的活动。
检查 okta.request.ip_chain 字段，以确定参与者是否使用了代理或 VPN 执行此操作。
评估 okta.event_type 字段中此事件前后发生的动作，以帮助了解活动的完整上下文。

误报分析

响应和补救

如果用户是合法的并且身份验证行为没有可疑之处，则无需采取任何措施。
如果用户是合法的但身份验证行为可疑，请考虑重置用户的密码并启用多因素身份验证 (MFA)。
如果已启用 MFA，请考虑重置用户的 MFA。
如果用户不合法，请考虑停用用户的帐户。
如果这是一个误报，请考虑调整 Okta 行为检测设置。
如果 IP 地址或设备在尝试中看起来可疑，请使用 okta.client.ip 和 okta.device.id 字段中的数据阻止该 IP 地址或设备。
对 Okta 策略进行审查，并确保其符合安全最佳实践。

需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

event.dataset:okta.system and okta.debug_context.debug_data.risk_behaviors:*

框架: MITRE ATT&CK^TM