首次出现通过代理启动的 Okta 用户会话
编辑首次出现通过代理启动的 Okta 用户会话编辑
识别通过代理启动的 Okta 用户会话的首次出现。
规则类型：new_terms
规则索引:
- filebeat-*
- logs-okta*
严重程度：中等
风险评分: 47
运行频率：5 分钟
每次执行的最大警报数: 100
参考:
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://developer.okta.com/docs/reference/api/system-log/#issuer-object
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://sec.okta.com/articles/2023/08/cross-tenant-impersonation-prevention-and-detection
标签:
- 策略：初始访问
- 用例：身份和访问审核
- 数据源：Okta
版本: 1
规则作者:
- Elastic
规则许可证：Elastic License v2
调查指南编辑
分类和分析
调查首次出现通过代理启动的 Okta 用户会话
此规则检测通过代理启动的 Okta 用户会话的首次出现。此规则旨在帮助识别可疑的身份验证行为，这些行为可能表明攻击者试图在保持匿名的同时访问 Okta 帐户。此规则利用了新术语规则类型功能，其中将 okta.actor.id 值与过去 7 天的数据进行比较，以确定该值是否在此活动中出现过。
可能的调查步骤
- 通过检查
okta.actor.id、okta.actor.type、okta.actor.alternate_id和okta.actor.display_name字段来识别参与此操作的用户。 - 确定参与者使用的客户端。查看
okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device和okta.client.id字段。 - 检查
okta.debug_context.debug_data.flattened字段以获取有关所用代理的更多信息。 - 查看
okta.request.ip_chain字段以获取有关代理地理位置的更多信息。 - 通过检查参与此操作的参与者的先前操作来查看其过去的行为。
- 评估此事件前后在
okta.event_type字段中发生的操作，以帮助了解活动的完整上下文。
误报分析
- 用户可能出于安全或隐私原因合法地通过代理启动了会话。
响应和修复
- 查看参与此操作的用户的配置文件，以确定是否可能使用代理。
- 如果用户是合法的并且身份验证行为没有可疑之处，则无需采取任何措施。
- 如果用户是合法的但身份验证行为可疑，请考虑重置用户的密码并启用多重身份验证 (MFA)。
- 如果已启用 MFA，请考虑为用户重置 MFA。
- 如果用户不合法，请考虑停用用户的帐户。
- 对 Okta 策略进行审查，并确保它们符合安全最佳实践。
设置
设置编辑
Okta Fleet 集成、Filebeat 模块或类似结构的数据需要与此规则兼容。
规则查询编辑
event.dataset:okta.system and okta.event_type: (user.session.start or user.authentication.verify) and okta.security_context.is_proxy:true and not okta.actor.id: okta*
框架：MITRE ATT&CKTM
-
策略
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
-
技术
- 名称：外部远程服务
- ID：T1133
- 参考 URL：https://attack.mitre.org/techniques/T1133/