Okta Threat Intelligence（Okta脅威インテリジェンス）

Okta Threat Intelligenceによる検出は、脅威アクターが使用したインフラストラクチャからのアクティビティをOktaが特定したときに記録されます。たとえば、サインイン試行が、Oktaが強く信頼するIPアドレスから行われ、フィッシング操作の一部である場合、アカウントにフラグが付けられます。

検出リスクレベル：高

Okta Threat Intelligenceがこれらのインタラクションを精選するため、これらの検出は高リスクと見なされます。インフラストラクチャをホスティングするIPは、ITPでのイベントに短時間タグが付けられます。

ポリシーの構成

エンティティリスクポリシーで、次の条件を設定します。

• ［Detection（検出）］：Okta Threat Intelligence
• ［Entity risk level（エンティティリスクレベル）］：高
• ［Take this action（このアクションを実行）］：Workflowを実行して、ユーザーが悪意のあるインフラストラクチャを介して認証したかどうかを判断します。
  1. イベントが見つかった場合は、Universal Logoutがユーザーのアクティブなセッションをすべて終了するアクションを追加します。
  2. イベントが見つからない場合は、Workflowを実行して、SOCチームに調査を開始するように通知します。

修復戦略

1. 即時アクション：Workflowを実行します。ポリシー構成に基づいて、Universal Logoutでセッションを終了します。

2. 脅威をブロック：ブロックされるネットワークゾーンに悪意のあるIPアドレスを追加し、そのソースからの今後の試行を防止します。

3. 調査：System Logでイベントを確認します。悪意のあるIP、ユーザーエージェント、攻撃者が実行を試みたアクションを書き留めます。関連イベントには、user.mfa.factor.activate、user.mfa.factor.deactivate、user.mfa.factor.update、user.mfa.factor.suspend、user.mfa.factor.unsuspend、およびuser.mfa.factor.reset_allが含まれます。また、ユーザーのメールボックスで不審なメールを調べたり、最近のネットワークトラフィックで侵害の兆候を確認したりできます。SMSからのフィッシングリクエストが疑われる場合は、ユーザーに直接連絡します。

4. アカウントを保護する：

   • 帯域外の方法（通話、Slack/Teams）を使ってユーザーに連絡し、ユーザーがアクティビティの発信元ではないことを確認します。

   • ユーザーに必須のパスワードリセットを開始します。

   • ユーザーに登録済みのMFA要素をすべてレビューして、攻撃者が自身のデバイスを登録していないことを確認します。