« 检测到单个用户的多个 Okta 会话 具有客户端地址的多个 Okta 用户身份验证事件 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

通过代理的具有相同设备令牌哈希的多个 Okta 用户身份验证事件

编辑

通过代理的具有相同设备令牌哈希的多个 Okta 用户身份验证事件

编辑

检测在代理后针对多个用户报告具有相同设备令牌哈希的 Okta 用户身份验证事件的情况。

规则类型：阈值

规则索引:

  • filebeat-*
  • logs-okta*

严重程度：中

风险评分: 47

运行频率：5 分钟

搜索索引范围：now-9m (日期数学格式，另请参见 额外的回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 用例：身份和访问审计
  • 数据源：Okta
  • 战术：凭证访问

版本: 206

规则作者:

  • Elastic

规则许可证：Elastic License v2

调查指南

编辑

分类和分析

调查通过代理的具有相同设备令牌哈希的多个 Okta 用户身份验证事件

此规则检测在代理后针对多个用户报告具有相同设备令牌哈希的 Okta 用户身份验证事件的情况。这可能表明用户之间共享设备，或者用户正在使用代理访问多个帐户以进行密码喷洒。

可能的调查步骤

  • 通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 和 okta.actor.display_name 字段来识别参与此操作的用户。
  • 通过分析 okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device 和 okta.client.id 字段来确定用于这些操作的设备客户端。
  • 由于设备位于代理之后，okta.client.ip 字段对于确定实际设备 IP 地址将无用。
  • 查看 okta.request.ip_chain 字段，以获取有关代理地理位置的更多信息。
  • 在确定 Okta 最终用户身份后，查看 okta.debug_context.debug_data.dt_hash 字段。
  • 历史分析应表明此设备令牌哈希是否通常与用户关联。
  • 查看 okta.event_type 字段，以确定发生的身份验证事件的类型。
  • 如果事件类型为 user.authentication.sso，则用户可能出于安全或隐私原因通过代理合法启动了会话。
  • 如果事件类型为 user.authentication.password，则用户可能正在使用代理访问多个帐户以进行密码喷洒。
  • 检查 okta.outcome.result 字段，以确定身份验证是否成功。
  • 通过检查参与此操作的行为者的先前操作来回顾他们的过去活动。
  • 评估 okta.event_type 字段中此事件发生之前和之后的操作，以帮助了解活动的完整上下文。
  • 这可能有助于确定用户、Okta 和应用程序之间发生的身份验证和授权操作。

误报分析

  • 用户可能出于安全或隐私原因通过代理合法启动了会话。
  • 用户可能会共享与工作或个人使用相关的端点，在其中使用单独的 Okta 帐户。
  • 在架构上，此共享端点可能会利用代理来实现安全或隐私目的。
  • 多个用户可能会使用诸如信息亭和会议室计算机之类的共享系统。
  • 共享工作空间可能具有多个用户使用的单个端点。

响应和补救

  • 回顾参与此操作的用户的个人资料，以确定是否可以预期代理使用情况。
  • 如果用户是合法的，并且基于设备分析的身份验证行为不是可疑的，则无需执行任何操作。
  • 如果用户是合法的，但身份验证行为可疑，请考虑重置所涉及用户的密码并启用多因素身份验证 (MFA)。
  • 如果已启用 MFA，请考虑重置用户的 MFA。
  • 如果任何用户不合法，请考虑停用该用户的帐户。
  • 对 Okta 策略进行审查，并确保其符合安全最佳实践。
  • 与内部 IT 团队核实，以确定所涉及的帐户最近是否应用户请求重置了 MFA。
  • 如果是这样，请与用户确认这是合法的请求。
  • 如果情况属实，并且这不是合法的请求，请考虑暂时停用该用户的帐户。
  • 重置密码并重置用户的 MFA。
  • 如果这是误报，请考虑将 okta.debug_context.debug_data.dt_hash 字段添加到规则中的 exceptions 列表。
  • 这将防止将来此设备的事件触发该规则。

设置

编辑

需要 Okta Fleet 集成、Filebeat 模块或类似结构化的数据才能与此规则兼容。

规则查询

编辑
event.dataset:okta.system
    and not okta.actor.id:okta* and okta.debug_context.debug_data.dt_hash:*
    and okta.event_type:user.authentication* and okta.security_context.is_proxy:true

框架：MITRE ATT&CKTM

« 检测到单个用户的多个 Okta 会话 具有客户端地址的多个 Okta 用户身份验证事件 »