Okta 用户会话模拟
编辑Okta 用户会话模拟
编辑用户已启动会话模拟，从而授予他们访问环境的权限，并具有他们所模拟用户的权限。这很可能表明 Okta 管理员访问权限，并且只应在请求和预期的情况下发生。
规则类型: 查询
规则索引:
- filebeat-*
- logs-okta*
严重程度: 高
风险评分: 73
运行频率: 15 分钟
搜索索引时间范围: now-30m (日期数学格式，另请参阅 额外回溯时间)
每次执行的最大警报数: 100
参考:
- https://blog.cloudflare.com/cloudflare-investigation-of-the-january-2022-okta-compromise/
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
- https://elastic.ac.cn/security-labs/okta-and-lapsus-what-you-need-to-know
标签:
- 用例：身份和访问审计
- 策略：凭证访问
- 数据源：Okta
版本: 411
规则作者:
- Elastic
规则许可: Elastic 许可 v2
调查指南
编辑分类和分析
调查 Okta 用户会话模拟
检测到 Okta 用户会话模拟表明，用户已启动会话模拟，从而授予他们使用所模拟用户权限的访问权限。这种类型的活动通常表示 Okta 管理员访问权限，并且只应在请求和预期的情况下发生。
可能的调查步骤
- 通过检查
okta.actor.id、okta.actor.type、okta.actor.alternate_id或okta.actor.display_name字段，识别与模拟事件关联的行为者。 - 查看
event.action字段，以确认模拟事件的启动。 - 检查
event.time字段，以了解事件的时间。 - 检查
okta.target.id、okta.target.type、okta.target.alternate_id或okta.target.display_name以识别被模拟的用户。 - 查看模拟会话期间发生的任何活动。查找与模拟用户帐户在模拟事件期间和之后相关的任何活动。
误报分析
- 验证会话模拟是否是批准活动的一部分。检查它是否与任何有记录的管理任务或故障排除工作相关联。
- 确保模拟会话是由授权人员启动的。您可以通过对照批准的管理列表验证
okta.actor.id或okta.actor.display_name来检查这一点。
响应和修复
- 如果模拟未经授权，请将其视为违规行为。立即暂停模拟者的用户帐户。
- 重置用户会话并使与被模拟用户相关的任何活动会话无效。
- 如果使用了特定的模拟技术，请确保系统已修补或配置为防止此类技术。
- 进行彻底调查，以了解违规行为的程度以及对系统和数据的潜在影响。
- 审查并更新您的安全策略，以防止将来发生此类事件。
- 实施对 Okta 事件的额外监控和日志记录，以提高用户操作的可见性。
设置
编辑此规则需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能兼容。
规则查询
编辑event.dataset:okta.system and event.action:user.session.impersonation.initiate
框架: MITRE ATT&CKTM
-
策略
- 名称：凭证访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/