« 潜在的非标准端口 SSH 连接 潜在的 OpenSSH 后门日志记录活动 »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

通过推送通知进行潜在的 Okta MFA 轰炸

编辑

通过推送通知进行潜在的 Okta MFA 轰炸编辑

检测攻击者通过重复发出登录请求直到用户最终接受 Okta 推送通知来滥用多重身份验证机制的情况。攻击者可能试图绕过为组织配置的 Okta MFA 策略以获取未经授权的访问权限。

规则类型: eql

规则索引:

  • filebeat-*
  • logs-okta*

严重性: 高

风险评分: 73

每隔运行: 5 分钟

从以下位置搜索索引: 无（日期数学格式，另请参阅 附加回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 用例：身份和访问审核
  • 策略：凭据访问
  • 数据源：Okta

版本: 3

规则作者:

  • Elastic

规则许可证: Elastic 许可证 v2

调查指南编辑

分类和分析

调查通过推送通知进行的潜在 Okta MFA 轰炸

多重身份验证 (MFA) 是防止未经授权访问的有效方法。但是，一些攻击者可能会滥用该系统，通过反复发送 MFA 推送通知，直到用户不知不觉地批准访问。

此规则检测到用户两次拒绝 MFA Okta Verify 推送通知，随后在 10 分钟内发生成功的身份验证事件。此序列可能表明攻击者试图绕过 Okta MFA 策略。

可能的调查步骤

  • 通过查看 user.email 字段识别收到 MFA 通知的用户。
  • 识别 MFA 请求和后续成功登录的时间、源 IP 和地理位置。
  • 查看 event.action 字段以了解事件的性质。它应该包括两个 user.mfa.okta_verify.deny_push 操作和一个 user.authentication.sso 操作。
  • 询问用户是否记得收到 MFA 通知，以及随后是否登录到其帐户。
  • 检查 MFA 请求和成功登录是否发生在用户的正常活动时间内。
  • 查找同一时间段内帐户上的任何其他可疑活动。
  • 识别组织中其他用户是否重复了相同的模式。多个用户同时收到推送通知可能表明更大规模的攻击。

误报分析

  • 确定 MFA 推送通知是否合法。有时，用户会意外触发 MFA 请求或无意中拒绝它们，然后在稍后批准它们。
  • 检查 MFA 系统是否存在导致错误拒绝的已知问题。

响应和补救

  • 如果确认未经授权访问，请启动事件响应流程。
  • 立即向用户和 IT 部门发出警报。
  • 如果可能，在问题解决之前隔离用户帐户。
  • 调查未经授权访问的来源。
  • 如果帐户被未经授权方访问，请确定他们在登录后采取的措施。
  • 考虑加强 MFA 策略，以防止将来发生此类事件。
  • 鼓励用户立即报告任何意外的 MFA 通知。
  • 根据事件调查结果，审查并更新事件响应计划和安全策略。

设置编辑

设置

此规则要求 Okta Fleet 集成、Filebeat 模块或类似结构的数据兼容。

规则查询编辑

sequence by okta.actor.id with maxspan=10m
  [authentication where event.dataset == "okta.system"
    and okta.event_type == "user.mfa.okta_verify.deny_push"] with runs=5
  until [authentication where event.dataset == "okta.system"
    and (okta.event_type: (
      "user.authentication.sso",
      "user.authentication.auth_via_mfa",
      "user.authentication.verify",
      "user.session.start") and okta.outcome.result == "SUCCESS")]

框架：MITRE ATT&CKTM

« 潜在的非标准端口 SSH 连接 潜在的 OpenSSH 后门日志记录活动 »