« 尝试删除 Okta 网络区域 尝试删除 Okta 策略规则 »
Elastic 文档 ›Elastic Security 解决方案 [8.17] ›检测和警报 ›预构建规则参考

尝试删除 Okta 策略

编辑

尝试删除 Okta 策略

编辑

检测尝试删除 Okta 策略的行为。攻击者可能会尝试删除 Okta 策略，以削弱组织的安全控制。例如，攻击者可能会尝试删除 Okta 多因素身份验证 (MFA) 策略，以削弱用户帐户的身份验证要求。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-okta*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: 无 (日期数学格式, 另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 使用场景：身份和访问审计
  • 数据源：Okta
  • 战术：防御规避

版本: 410

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分流和分析

调查尝试删除 Okta 策略

Okta 策略对于管理用户访问和在组织内实施安全控制至关重要。删除 Okta 策略可能会通过允许不受限制的访问或促进其他恶意活动来大幅削弱组织的安全态势。

此规则检测尝试删除 Okta 策略的行为，这可能表明攻击者试图削弱组织的安全控制。攻击者可能会这样做以绕过安全障碍并启用进一步的恶意活动。

可能的调查步骤

  • 通过查看警报中的 okta.actor.id、okta.actor.type、okta.actor.alternate_id 或 okta.actor.display_name 字段来识别与警报相关的参与者。
  • 查看 okta.client.user_agent.raw_user_agent 字段，了解参与者使用的设备和软件。
  • 检查 okta.outcome.reason 字段，了解有关删除尝试的其他上下文。
  • 检查 okta.outcome.result 字段，以确认策略删除尝试。
  • 检查是否有来自同一参与者或 IP 地址 (okta.client.ip) 的多次策略删除尝试。
  • 检查在策略删除尝试之后是否有立即成功的登录。
  • 验证参与者的活动是否与典型行为一致，或者在删除尝试发生时是否发生了任何异常活动。

误报分析

  • 检查删除尝试发生时 Okta 系统是否存在问题。这可能表示系统错误，而不是真正的威胁活动。
  • 检查删除尝试的地理位置 (okta.request.ip_chain.geographical_context) 和时间。如果这些与参与者的正常行为匹配，则可能存在误报。
  • 验证参与者的管理权限，以确保其配置正确。

响应和补救

  • 如果确认存在未经授权的策略删除，请启动事件响应过程。
  • 立即锁定受影响的参与者帐户并要求更改密码。
  • 考虑重置参与者的 MFA 令牌并要求重新注册。
  • 检查是否使用受损帐户访问或更改了任何敏感数据或系统。
  • 如果使用了特定的删除技术，请确保您的系统已修补或配置为防止此类技术。
  • 评估受影响服务和服务器的关键性。
  • 与您的 IT 团队合作，以最大限度地减少对用户的影响并维持业务连续性。
  • 如果多个帐户受到影响，请考虑更广泛地重置或审核 MFA 令牌。
  • 实施 Okta 概述 的安全最佳实践。
  • 使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

规则查询

编辑
event.dataset:okta.system and event.action:policy.lifecycle.delete

框架: MITRE ATT&CKTM

« 尝试删除 Okta 网络区域 尝试删除 Okta 策略规则 »