Okta ThreatInsight 疑似威胁升级
编辑Okta ThreatInsight 疑似威胁升级编辑
Okta ThreatInsight 是一项功能，可提供有关身份验证和授权流程的宝贵调试数据，这些数据记录在系统中。 在这些数据中，有一个名为 threat_suspected 的特定字段，它表示 Okta 对身份验证或授权工作流的内部评估。 当此字段设置为 True 时，表明可能存在潜在的凭据访问技术，例如密码喷洒、暴力破解、重放攻击和其他类似威胁。
规则类型：查询
规则索引:
- filebeat-*
- logs-okta*
严重程度：中等
风险评分: 47
运行间隔：5 分钟
每次执行的最大警报数: 100
参考:
- https://developer.okta.com/docs/reference/api/system-log/
- https://developer.okta.com/docs/reference/api/event-types/
- https://help.okta.com/en-us/Content/Topics/Security/threat-insight/configure-threatinsight-system-log.html
- https://elastic.ac.cn/security-labs/testing-okta-visibility-and-detection-dorothy
标签:
- 用例：身份和访问审计
- 数据源：Okta
版本: 205
规则作者:
- Elastic
规则许可证：Elastic 许可证 v2
设置编辑
规则查询编辑
event.dataset:okta.system and (event.action:security.threat.detected or okta.debug_context.debug_data.threat_suspected: true)