为身份验证生成大量 Okta 设备令牌 Cookie
编辑为身份验证生成大量 Okta 设备令牌 Cookie编辑
检测到某个 Okta 客户端地址在单个用户身份验证中为多个设备令牌哈希生成了某个阈值的 Okta 用户身份验证事件时。攻击者可能尝试使用已知用户名和密码列表从同一设备发起凭据填充或密码喷洒攻击，以未经授权的方式访问用户帐户。
规则类型：esql
规则索引：无
严重性：低
风险评分: 21
每隔：5 分钟运行一次
每次执行的最大警报数: 100
参考:
- https://support.okta.com/help/s/article/How-does-the-Device-Token-work?language=en_US
- https://developer.okta.com/docs/reference/api/event-types/
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
- https://sec.okta.com/articles/2023/08/cross-tenant-impersonation-prevention-and-detection
- https://www.okta.com/resources/whitepaper-how-adaptive-mfa-can-help-in-mitigating-brute-force-attacks/
标签:
- 用例：身份和访问审计
- 数据源：Okta
- 策略：凭据访问
版本: 1
规则作者:
- Elastic
规则许可证：Elastic 许可证 v2
调查指南编辑
分类和分析
调查为身份验证生成的大量 Okta 设备令牌 Cookie
此规则检测到当从同一客户端地址为多个用户报告一定数量的 Okta 用户身份验证事件时。攻击者可能尝试使用已知用户名和密码列表从同一设备发起凭据填充攻击，以获取对用户帐户的未授权访问。请注意，Okta 不会记录身份验证尝试期间提供的未识别用户名，因此此规则可能无法检测到所有凭据填充尝试或可能指示有针对性的攻击。
可能的调查步骤
- 由于这是一条 ES|QL 规则，因此
okta.actor.alternate_id和okta.client.ip值可用于转换到与此活动相关的原始身份验证事件。 - 通过检查
okta.actor.id、okta.actor.type、okta.actor.alternate_id和okta.actor.display_name字段来识别参与此操作的用户。 - 通过分析
okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device和okta.client.id字段来确定用于这些操作的设备客户端。 - 查看
okta.security_context.is_proxy字段以确定设备是否为代理。 - 如果设备是代理，则可能表明用户正在使用代理访问多个帐户进行密码喷洒。
- 使用
okta.actor.alternate_id值列表，查看event.outcome结果以确定身份验证是否成功。 - 如果任何用户的身份验证成功，则转换到这些用户的
event.action值可能会提供其他上下文。 - 在识别出 Okta 最终用户后，查看
okta.debug_context.debug_data.dt_hash字段。 - 历史分析应表明此设备令牌哈希是否通常与用户关联。
- 查看
okta.event_type字段以确定发生的认证事件类型。 - 如果事件类型是
user.authentication.sso，用户可能出于安全或隐私原因通过代理合法地启动了会话。 - 如果事件类型是
user.authentication.password，用户可能正在使用代理访问多个帐户以进行密码喷洒。 - 如果事件类型是
user.session.start，来源可能已尝试通过 Okta 认证 API 建立会话。 - 检查
okta.outcome.result字段以确定认证是否成功。 - 通过检查参与此操作的参与者的过去活动来查看他们的过去活动。
- 评估在
okta.event_type字段中此事件之前和之后发生的活动，以帮助了解活动的全部背景。 - 这可能有助于确定用户、Okta 和应用程序之间发生的认证和授权操作。
误报分析
- 用户可能出于安全或隐私原因通过代理合法地启动了会话。
- 用户可能共享与工作或个人用途相关的端点，其中使用单独的 Okta 帐户。
- 在架构上，此共享端点可能出于安全或隐私原因利用代理。
- 多个用户可能使用共享系统，例如信息亭和会议室计算机。
- 多个用户可能使用共享工作空间中的单个端点。
响应和补救
- 查看参与此操作的用户的个人资料，以确定是否可能使用代理。
- 如果用户合法且基于设备分析的认证行为没有可疑之处，则无需采取任何措施。
- 如果用户合法但认证行为可疑，请考虑重置涉及用户的密码并启用多重身份验证 (MFA)。
- 如果已启用 MFA，请考虑为用户重置 MFA。
- 如果任何用户不合法，请考虑停用该用户的帐户。
- 审查 Okta 政策并确保它们符合安全最佳实践。
- 与内部 IT 团队联系，以确定相关帐户是否在用户的请求下最近重置了 MFA。
- 如果是，请与用户确认这是一项合法请求。
- 如果是，但这不是一项合法请求，请考虑暂时停用该用户的帐户。
- 重置密码并为用户重置 MFA。
- 如果这是误报，请考虑将
okta.debug_context.debug_data.dt_hash字段添加到规则中的exceptions列表。 - 这将防止此设备的此事件的未来发生触发规则。
- 或者，将
okta.client.ip或 CIDR 范围添加到exceptions列表中可以防止此事件的未来发生触发规则。 - 应谨慎执行此操作，因为它可能会阻止生成合法的警报。
设置编辑
Okta Fleet 集成、Filebeat 模块或类似结构的数据必须与此规则兼容。
规则查询编辑
FROM logs-okta*
| WHERE
event.dataset == "okta.system"
AND (event.action RLIKE "user\\.authentication(.*)" OR event.action == "user.session.start")
AND okta.debug_context.debug_data.request_uri == "/api/v1/authn"
AND okta.outcome.reason == "INVALID_CREDENTIALS"
| STATS
source_auth_count = COUNT_DISTINCT(okta.debug_context.debug_data.dt_hash)
BY okta.client.ip, okta.actor.alternate_id
| WHERE
source_auth_count >= 30
| SORT
source_auth_count DESC
框架：MITRE ATT&CKTM
-
策略
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考 URL：https://attack.mitre.org/techniques/T1110/
-
子技术
- 名称：密码喷洒
- ID：T1110.003
- 参考 URL：https://attack.mitre.org/techniques/T1110/003/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考 URL：https://attack.mitre.org/techniques/T1110/
-
子技术
- 名称：凭据填充
- ID：T1110.004
- 参考 URL：https://attack.mitre.org/techniques/T1110/004/