« 尝试删除 Okta 应用程序 尝试删除 Okta 策略 »
Elastic 文档 ›Elastic Security 解决方案 [8.17] ›检测和警报 ›预构建规则参考

尝试删除 Okta 网络区域

编辑

尝试删除 Okta 网络区域

编辑

检测尝试删除 Okta 网络区域的行为。可以配置 Okta 网络区域，以基于 IP 地址或地理位置限制或禁止对网络的访问。攻击者可能会尝试修改、删除或停用 Okta 网络区域，以移除或削弱组织的安全控制。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-okta*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: 无（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考资料:

标签:

  • 用例：身份和访问审计
  • 数据源：Okta
  • 用例：网络安全监控
  • 策略：防御规避

版本: 410

规则作者:

  • Elastic

规则许可: Elastic License v2

调查指南

编辑

分类和分析

调查尝试删除 Okta 网络区域

可以配置 Okta 网络区域，以基于 IP 地址或地理位置限制或禁止对网络的访问。在 Okta 中删除网络区域可能会移除或削弱组织的安全控制，这可能表明攻击者试图规避防御。

可能的调查步骤

  • 通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 或 okta.actor.display_name 字段，识别与警报关联的行为者。
  • 检查 event.action 字段，以确认网络区域的删除。
  • 调查 okta.target.id、okta.target.type、okta.target.alternate_id 或 okta.target.display_name 字段，以识别已删除的网络区域。
  • 查看 event.time 字段，以了解事件发生的时间。
  • 检查行为者在事件发生前后的活动，以了解此事件的上下文。

误报分析

  • 验证 okta.client.user_agent.raw_user_agent 字段，以了解行为者使用的设备和软件。如果这些与行为者的典型行为匹配，则可能是误报。
  • 检查行为者是否是已知管理员或 IT 团队的成员，他们可能有删除网络区域的合理理由。
  • 通过任何已知的计划更改或维护活动，交叉验证行为者的操作。

响应和补救

  • 如果确认存在未经授权的访问或操作，请立即锁定受影响的行为者帐户并要求更改密码。
  • 如果网络区域在未经授权的情况下被删除，请使用与已删除的网络区域相似的设置创建新的网络区域。
  • 审查并更新发起删除操作的行为者的权限。
  • 确定安全策略和程序中的任何差距，并根据需要进行更新。
  • 实施对 Okta 事件的额外监控和日志记录，以提高用户操作的可见性。
  • 沟通并培训员工，使其了解遵循正确的程序来修改网络区域设置的重要性。

设置

编辑

需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

规则查询

编辑
event.dataset:okta.system and event.action:zone.delete

框架: MITRE ATT&CKTM

« 尝试删除 Okta 应用程序 尝试删除 Okta 策略 »