« 潜在的非标准端口 SSH 连接 潜在的 OpenSSH 后门日志活动 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和告警 ›预构建规则参考

通过推送通知进行的潜在 Okta MFA 轰炸

编辑

通过推送通知进行的潜在 Okta MFA 轰炸

编辑

检测攻击者是否滥用多因素身份验证机制，通过重复发出登录请求，直到用户最终接受 Okta 推送通知。攻击者可能会试图绕过为组织配置的 Okta MFA 策略以获取未经授权的访问。

规则类型: eql

规则索引:

  • filebeat-*
  • logs-okta*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引时间范围: 无 ( 日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

  • 使用场景: 身份和访问审计
  • 策略: 凭据访问
  • 数据源: Okta

版本: 207

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查通过推送通知进行的潜在 Okta MFA 轰炸

多因素身份验证 (MFA) 是一种防止未经授权访问的有效方法。但是，某些攻击者可能会滥用该系统，重复发送 MFA 推送通知，直到用户无意中批准访问为止。

此规则检测到用户两次拒绝 MFA Okta Verify 推送通知，随后在 10 分钟内发生成功的身份验证事件。此序列可能表明攻击者试图绕过 Okta MFA 策略。

可能的调查步骤

  • 通过查看 user.email 字段，确定接收到 MFA 通知的用户。
  • 确定 MFA 请求和随后成功登录的时间、源 IP 和地理位置。
  • 查看 event.action 字段以了解事件的性质。它应包含两个 user.mfa.okta_verify.deny_push 操作和一个 user.authentication.sso 操作。
  • 询问用户是否记得收到 MFA 通知以及随后登录其帐户。
  • 检查 MFA 请求和成功登录是否发生在用户的正常活动时间内。
  • 查找同一时间段内该帐户上的任何其他可疑活动。
  • 确定您的组织中其他用户是否重复出现相同的模式。多个用户同时收到推送通知可能表示更大的攻击。

误报分析

  • 确定 MFA 推送通知是否合法。有时，用户会意外触发 MFA 请求，或无意中拒绝它们，然后又批准它们。
  • 检查 MFA 系统是否存在导致错误拒绝的已知问题。

响应和补救

  • 如果确认存在未经授权的访问，请启动您的事件响应流程。
  • 立即通知用户和您的 IT 部门。
  • 如果可能，请隔离用户的帐户，直到问题解决。
  • 调查未经授权的访问来源。
  • 如果帐户被未经授权的方访问，请确定他们在登录后采取的操作。
  • 考虑加强您的 MFA 策略，以防止将来发生此类事件。
  • 鼓励用户立即报告任何意外的 MFA 通知。
  • 根据事件中的调查结果，审查和更新您的事件响应计划和安全策略。

设置

编辑

设置

需要 Okta Fleet 集成、Filebeat 模块或类似结构化数据才能与此规则兼容。

规则查询

编辑
sequence by okta.actor.id with maxspan=10m
  [authentication where event.dataset == "okta.system"
    and okta.event_type == "user.mfa.okta_verify.deny_push"] with runs=5
  until [authentication where event.dataset == "okta.system"
    and (okta.event_type: (
      "user.authentication.sso",
      "user.authentication.auth_via_mfa",
      "user.authentication.verify",
      "user.session.start") and okta.outcome.result == "SUCCESS")]

框架: MITRE ATT&CKTM

« 潜在的非标准端口 SSH 连接 潜在的 OpenSSH 后门日志活动 »