Okta 用户会话模拟

Okta 用户会话模拟编辑

用户已启动会话模拟，授予他们使用其模拟用户的权限访问环境。这可能表明 Okta 管理访问权限，并且只有在请求和预期的情况下才会发生。

规则类型：查询

规则索引:

严重程度：高

风险评分: 73

运行频率：15 分钟

搜索的索引范围：now-30m（日期数学格式，另请参阅 额外的回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 207

规则作者:

规则许可证：Elastic 许可证 v2

分类和分析

调查 Okta 用户会话模拟

检测到 Okta 用户会话模拟表明用户已启动会话模拟，该模拟授予他们使用其模拟用户的权限进行访问。此类活动通常表明 Okta 管理访问权限，并且只有在请求和预期的情况下才会发生。

可能的调查步骤

通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 或 okta.actor.display_name 字段来识别与模拟事件关联的参与者。
查看 event.action 字段以确认模拟事件的启动。
检查 event.time 字段以了解事件发生的时间。
检查 okta.target.id、okta.target.type、okta.target.alternate_id 或 okta.target.display_name 以识别被模拟的用户。
查看模拟会话期间发生的任何活动。查找与模拟事件期间和之后被模拟用户帐户相关的任何活动。

误报分析

验证会话模拟是否是已批准活动的一部分。检查它是否与任何记录的管理任务或故障排除工作相关联。
确保模拟会话是由授权人员启动的。您可以通过对照已批准管理员列表验证 okta.actor.id 或 okta.actor.display_name 来检查这一点。

响应和修复

要与此规则兼容，需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据。

event.dataset:okta.system and event.action:user.session.impersonation.initiate

框架：MITRE ATT&CK^TM