› › ›

尝试绕过 Okta MFA

尝试绕过 Okta MFA编辑

检测尝试绕过 Okta 多因素身份验证 (MFA) 的行为。攻击者可能会尝试绕过为组织配置的 Okta MFA 策略，以获得对应用程序的未经授权的访问权限。

规则类型：查询

规则索引:

严重性：高

风险评分: 73

运行频率：5 分钟

搜索索引范围：无（日期数学格式，另请参阅其他回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 207

规则作者:

规则许可证：Elastic 许可证 v2

分类和分析

调查尝试绕过 Okta MFA 的行为

多因素身份验证 (MFA) 是防止未经授权访问的关键安全措施。与其他 MFA 解决方案一样，Okta MFA 要求用户在登录时提供多种身份识别方式。攻击者可能会尝试绕过 Okta MFA 以获得对应用程序的未经授权的访问权限。

此规则检测尝试绕过 Okta MFA 的行为。这可能表示有人试图严重入侵组织网络中的用户帐户。

可能的调查步骤

通过查看警报中的 okta.actor.id、okta.actor.type、okta.actor.alternate_id 或 okta.actor.display_name 字段来识别与警报相关的参与者。
查看 okta.client.user_agent.raw_user_agent 字段，了解参与者使用的设备和软件。
检查 okta.outcome.reason 字段，以获取有关绕过尝试的其他上下文信息。
检查 okta.outcome.result 字段以确认 MFA 绕过尝试。
检查是否存在来自同一参与者或 IP 地址 (okta.client.ip) 的多次不成功的 MFA 尝试。
检查 MFA 绕过尝试后是否立即成功登录。
验证参与者的活动是否与其典型行为一致，或者在绕过尝试的时间附近是否发生任何异常活动。

误报分析

检查 MFA 系统在绕过尝试时是否出现问题。这可能表示系统错误，而不是真正的绕过尝试。
检查登录尝试的地理位置 (okta.request.ip_chain.geographical_context) 和时间。如果这些与参与者的正常行为相匹配，则可能是误报。
验证参与者的 MFA 设置以确保其配置正确。

响应和修复

要与此规则兼容，需要使用 Okta Fleet 集成、Filebeat 模块或类似的结构化数据。

event.dataset:okta.system and event.action:user.mfa.attempt_bypass

框架：MITRE ATT&CK^TM

战术
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
技术
- 名称：多因素身份验证拦截
- ID：T1111
- 参考 URL：https://attack.mitre.org/techniques/T1111/