Okta 暴力破解或密码喷洒攻击
编辑Okta 暴力破解或密码喷洒攻击编辑
识别来自单个 IP 地址的大量失败的 Okta 用户身份验证尝试，这可能表明存在暴力破解或密码喷洒攻击。攻击者可能会尝试进行暴力破解或密码喷洒攻击，以获取对用户帐户的未授权访问权限。
规则类型：阈值
规则索引:
- filebeat-*
- logs-okta*
严重程度：中等
风险评分: 47
运行频率：5 分钟
每次执行的最大警报数: 100
参考:
标签:
- 用例：身份和访问审计
- 策略：凭据访问
- 数据源：Okta
版本: 208
规则作者:
- Elastic
规则许可证：Elastic 许可证 v2
调查指南编辑
分类和分析
调查 Okta 暴力破解或密码喷洒攻击
当来自单个 IP 地址发生大量失败的 Okta 用户身份验证尝试时，此规则会发出警报。这可能表明存在暴力破解或密码喷洒攻击，其中攻击者可能试图通过猜测密码来获取对用户帐户的未授权访问权限。
可能的调查步骤
- 查看
source.ip字段，以识别发生大量失败登录尝试的 IP 地址。 - 查看
event.outcome字段，以验证这些确实是失败的身份验证尝试。 - 确定与这些失败登录尝试相关的
user.name或user.email。如果尝试分布在多个帐户中，则可能表明存在密码喷洒攻击。 - 检查事件的时间线。失败的尝试是均匀分布的，还是存在突发时段（这可能表明使用了自动化工具）？
- 确定源 IP 的地理位置。此位置是否与用户的典型登录位置一致？
- 分析从此 IP 进行的任何先前成功的登录。此 IP 以前是否与成功的登录相关联？
误报分析
- 单个用户或自动化进程多次尝试使用过期或错误的凭据进行身份验证可能会触发误报。
- 分析源 IP 的行为。如果 IP 与合法用户或服务相关联，则它可能是误报。
响应和修复
- 如果您发现未授权的访问尝试，请考虑在防火墙级别阻止源 IP。
- 通知受到攻击目标的用户。要求他们更改密码，并确保他们使用唯一、复杂的密码。
- 加强对受影响用户帐户的监控，以防出现任何可疑活动。
- 如果攻击持续存在，请考虑在一定次数的失败登录尝试后实施 CAPTCHA 或帐户锁定。
- 如果攻击持续存在，请考虑为受影响的用户帐户实施多重身份验证 (MFA)。
- 根据事件的调查结果审查和更新您的安全策略。
设置编辑
Okta Fleet 集成、Filebeat 模块或类似结构的数据需要与此规则兼容。
规则查询编辑
event.dataset:okta.system and event.category:authentication and event.outcome:failure
框架：MITRE ATT&CKTM
-
策略
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考 URL：https://attack.mitre.org/techniques/T1110/