通过推送通知进行的潜在成功的 MFA 轰炸
编辑通过推送通知进行的潜在成功的 MFA 轰炸
编辑检测攻击者是否滥用多因素身份验证机制，通过重复发出登录请求，直到用户最终接受 Okta 推送通知。攻击者可能会尝试绕过为组织配置的 Okta MFA 策略，以获取未经授权的访问权限。
规则类型: eql
规则索引:
- filebeat-*
- logs-okta*
严重性: 高
风险评分: 73
运行频率: 5 分钟
搜索索引起始时间: 无 ( 日期数学格式，另请参阅 额外的回溯时间)
每次执行的最大告警数: 100
参考:
- https://www.mandiant.com/resources/russian-targeting-gov-business
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://sec.okta.com/articles/2023/08/cross-tenant-impersonation-prevention-and-detection
- https://www.rezonate.io/blog/okta-logs-decoded-unveiling-identity-threats-through-threat-hunting/
- https://elastic.ac.cn/security-labs/monitoring-okta-threats-with-elastic-security
- https://elastic.ac.cn/security-labs/starter-guide-to-understanding-okta
标签:
- 使用场景：身份和访问审计
- 战术：凭证访问
- 数据源：Okta
版本: 413
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑筛选和分析
调查重复 MFA 推送通知的潜在滥用
多因素身份验证 (MFA) 是防止未经授权访问的有效方法。但是，一些攻击者可能会滥用该系统，重复发送 MFA 推送通知，直到用户在不知情的情况下批准访问。
此规则检测用户在 10 分钟内两次拒绝 MFA Okta Verify 推送通知，随后发生成功身份验证事件的情况。此序列可能表明攻击者试图绕过 Okta MFA 策略。
可能的调查步骤
- 通过查看
user.email字段，确定接收 MFA 通知的用户。 - 确定 MFA 请求和后续成功登录的时间、源 IP 和地理位置。
- 查看
event.action字段以了解事件的性质。它应包括两个user.mfa.okta_verify.deny_push操作和一个user.authentication.sso操作。 - 询问用户是否记得收到 MFA 通知并随后登录其帐户。
- 检查 MFA 请求和成功登录是否发生在用户的正常活动时间内。
- 查找同一时间附近帐户上的任何其他可疑活动。
- 确定组织中其他用户是否重复出现相同的模式。多个用户同时收到推送通知可能表明发生了更大的攻击。
误报分析
- 确定 MFA 推送通知是否合法。有时，用户会意外触发 MFA 请求，或无意中拒绝它们，然后又批准它们。
- 检查 MFA 系统是否存在导致错误拒绝的已知问题。
响应和补救
- 如果确认存在未经授权的访问，请启动您的事件响应流程。
- 立即通知用户和您的 IT 部门。
- 如果可能，请隔离用户的帐户，直到问题得到解决。
- 调查未经授权访问的来源。
- 如果帐户被未经授权的方访问，请确定他们在登录后采取的操作。
- 考虑加强您的 MFA 策略，以防止将来发生此类事件。
- 鼓励用户立即报告任何意外的 MFA 通知。
- 根据事件的调查结果，审查和更新您的事件响应计划和安全策略。
设置
编辑此规则需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能兼容。
规则查询
编辑sequence by okta.actor.id with maxspan=10m
[authentication where event.dataset == "okta.system" and event.module == "okta"
and event.action == "user.mfa.okta_verify.deny_push"] with runs=3
[authentication where event.dataset == "okta.system" and event.module == "okta"
and (event.action : (
"user.authentication.sso",
"user.authentication.auth_via_mfa",
"user.authentication.verify",
"user.session.start") and okta.outcome.result == "SUCCESS")]
框架: MITRE ATT&CKTM
-
战术
- 名称：凭证访问
- ID：TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：多因素身份验证请求生成
- ID：T1621
- 参考 URL: https://attack.mitre.org/techniques/T1621/