Okta ThreatInsight 可疑威胁升级
编辑Okta ThreatInsight 可疑威胁升级
编辑Okta ThreatInsight 是一项功能，可提供有关身份验证和授权过程的宝贵调试数据，这些数据记录在系统中。在此数据中，有一个名为 threat_suspected 的特定字段，它表示 Okta 对身份验证或授权工作流的内部评估。当此字段设置为 True 时，表示存在潜在的凭据访问技术，例如密码喷洒、暴力破解、重放攻击和其他类似威胁。
规则类型: 查询
规则索引:
- filebeat-*
- logs-okta*
严重性: 中
风险评分: 47
运行频率: 5 分钟
搜索索引起始时间: 无 (日期数学格式, 另见 额外回溯时间)
每次执行的最大告警数: 100
参考资料:
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://help.okta.com/en-us/Content/Topics/Security/threat-insight/configure-threatinsight-system-log.html
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 用例：身份和访问审计
- 数据源：Okta
版本: 409
规则作者:
- Elastic
规则许可证: Elastic License v2
设置
编辑规则查询
编辑event.dataset:okta.system and (event.action:security.threat.detected or okta.debug_context.debug_data.threat_suspected: true)