疑わしいAuthenticatorの登録

この検出は、Authenticatorの登録イベント中にOktaが疑わしいアクティビティを特定した場合に記録されます。アラートをトリガーした特定の条件とイベントの詳細は、調査のためにSystem Logイベントuser.risk.detectに記録されます。

検出リスクレベル：高

この検出は、攻撃者がアカウントを侵害し、自身のAuthenticatorを追加して永続性を確立しようとしている可能性を示唆しています。アカウントにアクセスし、不正な要素を登録することで、攻撃者はユーザーアカウントへの長期的なアクセスを維持できます。

MITRE戦術

MITRE手法

ポリシーの構成

エンティティリスクポリシーで、次の条件を設定します。

検出（Detection）：疑わしいAuthenticatorの登録
このアクションを実行（Take this action）：Okta Workflowsを使用して、Universal LogoutとAuthenticatorをリセット

System Logクエリ

eventType eq "user.risk.detect" and debugContext.debugData.risk co "detectionName=Suspicious Authenticator Enrollment"

修復戦略

この修復の中心的な目的は、攻撃者のアクティビティを即座に停止し、不正なアクセスを取り消し、侵害されたアカウントを完全に保護することです。

即時対応：ポリシー構成に基づいて、OktaワークフローはUniversal Logoutを開始してアクティブなセッションを終了し、Authenticatorの自動リセットをトリガーして、新しく登録された要素を削除できます。
脅威をブロック：ブロックされるネットワークゾーンに悪意のあるIPアドレスを追加します。または、ThreatInsightをブロックモードで有効にして、それ以上の試行を防止します。
調査：これは重大なアラートです。直ちにSystem Logで特定のアクションを確認します。
- System Logのエントリを確認し、検出に関連する具体的なリスク要因と状況に応じたパラメータを評価します。
- Authenticator登録では、ユーザーのAuthenticatorリストを確認します。新しいものが正常に追加された場合は、ワークフローで削除されたかを検証するか、すぐにリセットします。
- 登録イベントの直前と直後のセッションにおけるユーザーアクティビティとダウンストリームアプリのログを確認します。
アカウントを保護する：
- パスワードリセットを強制します。
- すべてのセッションを消去し、ユーザーのMFA要素をすべてリセットします。
- 不審なセッションの期間に実行されたすべてのユーザーアクションの監査を開始します。