尝试撤销 Okta API 令牌

尝试撤销 Okta API 令牌编辑

识别尝试撤销 Okta API 令牌的行为。攻击者可能会尝试撤销或删除 Okta API 令牌，以扰乱组织的业务运营。

规则类型：查询

规则索引:

严重程度：低

风险评分: 21

运行间隔：5 分钟

搜索索引范围：无（日期数学格式，另请参阅 其他回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 206

规则作者:

规则许可证：Elastic 许可证 v2

分类和分析

调查尝试撤销 Okta API 令牌

当尝试撤销 Okta API 令牌时，该规则会发出警报。API 令牌对于集成服务至关重要，撤销它们可能会导致服务中断。因此，验证这些活动非常重要。

可能的调查步骤

确定与 API 令牌撤销尝试关联的参与者。您可以使用 okta.actor.alternate_id 字段来实现此目的。
确定参与者使用的客户端。查看 okta.client.device、okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.ip_chain.ip 和 okta.client.geographical_context 字段。
验证 API 令牌撤销是否已获授权或属于某些计划活动的一部分。
检查 okta.outcome.result 和 okta.outcome.reason 字段，以查看尝试是成功还是失败。
分析参与此操作的参与者的过去活动。通常执行此类活动的参与者可能表示有正当理由。
评估在此事件之前和之后发生的操作。它可以帮助了解活动的完整背景。

误报分析

响应和补救

Okta Fleet 集成、Filebeat 模块或类似结构的数据必须与此规则兼容。

event.dataset:okta.system and event.action:system.api_token.revoke

框架：MITRE ATT&CK^TM