« 潜在的通过 CVE-2022-38028 进行的特权升级 潜在可疑的通过 tmux 或 screen 启动的进程 »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预建规则参考

潜在成功的通过推送通知进行的 MFA 轰炸

编辑

潜在成功的通过推送通知进行的 MFA 轰炸编辑

检测攻击者通过反复发出登录请求，直至用户最终接受 Okta 推送通知，从而滥用多重身份验证机制的情况。攻击者可能试图绕过为组织配置的 Okta MFA 策略，以获取未经授权的访问权限。

规则类型: eql

规则索引:

  • filebeat-*
  • logs-okta*

严重性: 高

风险评分: 73

每隔运行: 5 分钟

从以下位置搜索索引: 无 (日期数学格式，另请参见 其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 用例：身份和访问审核
  • 策略：凭证访问
  • 数据源：Okta

版本: 209

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南编辑

分诊和分析

调查重复的 MFA 推送通知的潜在滥用

多因素身份验证 (MFA) 是一种防止未经授权访问的有效方法。但是，一些攻击者可能会滥用该系统，通过反复发送 MFA 推送通知，直到用户不知不觉地批准访问。

此规则检测到用户两次拒绝 MFA Okta Verify 推送通知，然后在 10 分钟内发生成功的身份验证事件。此序列可能表示攻击者试图绕过 Okta MFA 策略。

可能的调查步骤

  • 通过查看 user.email 字段来识别收到 MFA 通知的用户。
  • 识别 MFA 请求和随后的成功登录的时间、源 IP 和地理位置。
  • 查看 event.action 字段以了解事件的性质。它应包括两个 user.mfa.okta_verify.deny_push 操作和一个 user.authentication.sso 操作。
  • 询问用户是否记得收到 MFA 通知并随后登录其帐户。
  • 检查 MFA 请求和成功登录是否发生在用户的正常活动时间内。
  • 在同一时间左右查找帐户上的任何其他可疑活动。
  • 识别组织中其他用户是否重复出现相同的模式。多个用户同时收到推送通知可能表示更大规模的攻击。

误报分析

  • 确定 MFA 推送通知是否合法。有时，用户会意外触发 MFA 请求或无意中拒绝它们，然后在稍后批准它们。
  • 检查 MFA 系统是否存在导致错误拒绝的已知问题。

响应和补救

  • 如果确认未经授权访问，请启动事件响应流程。
  • 立即向用户和 IT 部门发出警报。
  • 如果可能，请隔离用户的帐户，直到问题解决。
  • 调查未经授权访问的来源。
  • 如果帐户被未经授权方访问，请确定他们在登录后采取的措施。
  • 考虑增强 MFA 策略，以防止将来发生此类事件。
  • 鼓励用户立即报告任何意外的 MFA 通知。
  • 根据事件调查结果，审查并更新事件响应计划和安全策略。

设置编辑

此规则要求 Okta Fleet 集成、Filebeat 模块或类似结构的数据兼容。

规则查询编辑

sequence by okta.actor.id with maxspan=10m
  [authentication where event.dataset == "okta.system" and event.module == "okta"
    and event.action == "user.mfa.okta_verify.deny_push"] with runs=3
  [authentication where event.dataset == "okta.system" and event.module == "okta"
    and (event.action : (
      "user.authentication.sso",
      "user.authentication.auth_via_mfa",
      "user.authentication.verify",
      "user.session.start") and okta.outcome.result == "SUCCESS")]

框架: MITRE ATT&CKTM

« 潜在的通过 CVE-2022-38028 进行的特权升级 潜在可疑的通过 tmux 或 screen 启动的进程 »