› › ›

尝试停用 Okta 应用程序

尝试停用 Okta 应用程序编辑

检测尝试停用 Okta 应用程序的行为。攻击者可能会尝试修改、停用或删除 Okta 应用程序，以削弱组织的安全控制或扰乱其业务运营。

规则类型：查询

规则索引:

严重性：低

风险评分: 21

运行间隔：5 分钟

搜索索引范围：无（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 206

规则作者:

规则许可证：Elastic 许可证 v2

分类和分析

调查尝试停用 Okta 应用程序的行为

此规则检测尝试停用 Okta 应用程序的行为。未经授权的停用可能会导致服务中断，并对组织构成重大风险。

可能的调查步骤

通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 和 okta.actor.display_name 字段，确定与停用尝试关联的执行者。
确定执行者使用的客户端。查看 okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device 和 okta.client.id 字段。
如果客户端是设备，请检查 okta.device.id、okta.device.name、okta.device.os_platform、okta.device.os_version 和 okta.device.managed 字段。
从 okta.debug_context.debug_data 和 okta.authentication_context 字段了解事件的上下文。
检查 okta.outcome.result 和 okta.outcome.reason 字段，查看尝试是成功还是失败。
通过查看 okta.target 字段中记录的先前操作，查看参与此操作的执行者过去的行为。
分析 okta.transaction.id 和 okta.transaction.type 字段，以了解交易的上下文。
评估 okta.event_type 字段中此事件前后发生的操作，以帮助了解活动的完整上下文。

误报分析

响应和补救

要与此规则兼容，需要 Okta Fleet 集成、Filebeat 模块或结构类似的数据。

event.dataset:okta.system and event.action:application.lifecycle.deactivate

框架：MITRE ATT&CK^TM