Okta 로그

Panther는 Okta에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음을 쿼리하여 Okta 이벤트를 가져올 수 있습니다 Okta 시스템 로그 API. Panther는 System Log API를 1분마다 쿼리합니다. Panther가 API에 액세스하려면 새 API 토큰을 생성하거나 기존 토큰을 사용해야 합니다.

다음도 활성화할 수 있습니다 Okta 사용자 및 디바이스 프로필.

동영상 안내

Okta 로그를 Panther에 온보딩하는 방법을 보여주는 동영상 안내

Okta 로그를 Panther에 온보딩하는 방법

1단계: 새 Okta API 토큰 생성

System Logs를 쿼리할 권한이 있는 Okta API 토큰을 생성하려면 다음 유형의 Okta 관리자로 로그인해야 합니다: 슈퍼 관리자, 조직 관리자, 또는 읽기 전용 관리자.

최소 권한을 위해 읽기 전용 관리자 역할을 사용하는 것을 권장합니다.

참조 Okta 설명서 관리자 역할 관리에 대한 자세한 정보는

1. Okta 관리자 계정으로 로그인합니다.

2. Okta 관리 콘솔에서 다음으로 이동합니다 보안 > API.

3. 로 이동하십시오 토큰 탭을 클릭하십시오.

4. 클릭 토큰 생성.

5. 토큰에 대한 설명 이름을 입력하세요(예:) Panther API 토큰.

6. 다음을 복사하세요 토큰 값 을 안전한 장소에 저장하세요. 다음 단계에서 필요합니다.

   • 참고: Okta는 이 값을 다시 표시하지 않습니다.

2단계: Panther에서 새 Okta 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. “Okta”를 검색한 다음 타일을 클릭하세요.

4. 슬라이드 아웃 패널에서, 클릭하세요 설정 시작.

5. 페이지에서 구성 페이지에서 다음 필드를 작성하세요:

   • 이름: 소스에 대한 설명 이름을 입력하세요(예:) 내 Okta 로그.

   • Okta 하위도메인: Okta 조직 도메인의 하위도메인을 입력하세요. 자세한 내용은 Okta 문서 에서 Okta 조직 도메인에 대해 더 알아볼 수 있습니다.

   • Okta 도메인: Okta 도메인 드롭다운에서 적절한 도메인 이름을 선택하세요.

   • API 토큰: 이전 단계에서 생성한 토큰 값을 입력하세요.

6. 클릭 설정.

7. 페이지에서 강화 페이지에서, 활성화하려면 Okta Identity Profiles, 오른쪽의 사용자 프로필 및/또는 디바이스 프로필, 토글을 클릭하세요 켜기.

   • 참고 Okta 디바이스 프로필을 활성화하기 위한 전제 조건.

   • 각 토글에 대해 켜기로 설정된 경우, 새로고침 기간(분)을 설정하세요. 이는 Panther가 Okta에 저장된 프로필 데이터를 업데이트하는 주기를 나타냅니다.

   
8. 클릭 설정. 성공 화면으로 이동합니다:\

   

   • 선택적으로 하나 이상의 탐지 팩(Detection Packs).

   • 설정은 이벤트가 처리되지 않을 때 경고 트리거 기본값은 예. 데이터가 일정 기간 이후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

Panther 관리 탐지

참조 Panther 관리 에 대한 Okta 규칙 panther-analysis GitHub 리포지토리에 있습니다가 포함됩니다:

• Okta 관리자 역할 할당됨 - 사용자가 Okta에서 관리자 권한을 부여받았습니다

• Okta API 키 생성됨 - 사용자가 Okta에서 API 키를 생성했습니다

• Okta API 키 취소됨 - 사용자가 Okta에서 API 키를 취소했습니다

• 지리적으로 불가능한 Okta 로그인 - 사용자가 매우 멀리 떨어진 두 지리적 위치에서 연속으로 로그인을 시도했습니다

• Okta MFA 전역 비활성화됨 - 관리자가 Okta 시스템 전체의 MFA를 비활성화했습니다

• Okta 지원 자격 증명 재설정 - Okta 지원이 사용자의 비밀번호 또는 MFA를 재설정했습니다

• Okta 지원 접근 권한 부여됨 - Okta 지원 접근 권한이 부여되었습니다

사용자 정의 탐지

보고된 의심스러운 행동 예시

사용자가 자신의 계정에서 의심스러운 행동을 보고했습니다:

def rule(event):
    if event.get('eventtype') == 'user.account.report_suspicious_activity_by_enduser':
        return True

사용자 정의 탐지 패턴

아래는 일반적인 함수 및 예제입니다 deep_get() Okta 로그에 대한 사용자 정의 탐지를 작성할 때 사용합니다. 다양한 이벤트 유형에 대한 자세한 정보는 Okta 문서.

#Okta에는 여기에 나열된 많은 이벤트 유형이 있습니다. 이러한 eventtype 중 하나를 기반으로 탐지를 시작할 수 있습니다
#https://developer.okta.com/docs/reference/api/event-types/
event.get('eventtype')

#도시, 주, 위도, 경도 등에 접근하려면 
deep_get(event, 'client', 'geographicalContext', 'city')
deep_get(event, 'client', 'geographicalContext', 'state')
deep_get(event, 'client', 'geographicalContext', 'country')
deep_get(event, 'client', 'geographicalContext', 'geolocation', 'lon')
deep_get(event, 'client', 'geographicalContext', 'geolocation', 'lat')

#이벤트의 출처에 대한 세부 정보
deep_get(event, 'client' 'device')
deep_get(event, 'client', 'ipAddress')
deep_get(event, 'client', 'userAgent')


deep_get(event, 'actor', 'alternateId')
deep_get(event, 'actor', 'displayName')

## Okta에서 유용할 수 있는 전역 헬퍼

# panther_base_helpers 내
def okta_alert_context(event: dict):
    """Okta 경고 자동화를 위한 공통 컨텍스트를 반환합니다"""
    return {
        "ips": event.get("p_any_ip_addresses", []),
        "actor": event.get("actor", ""),
        "target": event.get("target", ""),
        "client": event.get("client", ""),
    }
    
# panther_base_helpers 내
def is_ip_in_network(ip_addr, networks):
    """주어진 IP가 IP 범위 목록 내에 있는지 확인합니다"""
    return any(ip_address(ip_addr) in ip_network(network) for network in networks)

지원되는 로그 유형

Okta.SystemLog

Okta 시스템 로그는 플랫폼 활동을 이해하고 문제를 진단하는 데 사용할 수 있는 감사 추적을 제공하기 위해 조직과 관련된 시스템 이벤트를 기록합니다.

참조: System Log API에 대한 Okta 문서입니다.

스키마: Okta.SystemLog
설명: |
    Okta 시스템 로그는 플랫폼 활동을 이해하고 문제를 진단하는 데 사용할 수 있는 감사 추적을 제공하기 위해 조직과 관련된 시스템 이벤트를 기록합니다.
참고 URL: https://developer.okta.com/docs/reference/api/system-log/
필드:
    - 이름: uuid
      required: true
      설명: 개별 이벤트에 대한 고유 식별자
      type: string
    - 이름: published
      required: true
      설명: 이벤트가 게시된 타임스탬프
      type: timestamp
      시간 형식: rfc3339
      isEventTime: true
    - name: eventType
      required: true
      설명: 게시된 이벤트의 유형
      type: string
    - name: version
      required: true
      설명: 버전 표시기
      type: string
    - 이름: severity
      required: true
      설명: '이벤트의 심각도를 나타냄: DEBUG, INFO, WARN, ERROR'
      type: string
    - 이름: legacyEventType
      설명: 관련 Events API Action objectType 속성 값
      type: string
    - 이름: displayMessage
      설명: 이벤트에 대한 표시 메시지
      type: string
    - 이름: actor
      설명: 작업을 수행한 엔터티를 설명합니다
      type: object
      필드:
        - 이름: id
          required: true
          설명: 액터의 ID
          type: string
        - 이름: type
          required: true
          설명: 액터의 유형
          type: string
        - 이름: alternateId
          설명: 액터의 대체 ID
          type: string
          지표:
            - 이메일
        - 이름: displayName
          설명: 액터의 표시 이름
          type: string
        - 이름: details
          설명: 액터에 대한 세부 정보
          유형: json
        - 이름: detailEntry
          설명: 세부 항목
          유형: json
    - 이름: client
      설명: 작업을 요청한 클라이언트
      type: object
      필드:
        - 이름: id
          설명: OAuth 요청의 경우 이는 요청을 수행하는 OAuth 클라이언트의 ID입니다. SSWS 토큰 요청의 경우 이는 요청을 수행하는 에이전트의 ID입니다.
          type: string
        - 이름: userAgent
          설명: 액터가 작업을 수행할 때 사용한 사용자 에이전트
          type: object
          필드:
            - 이름: browser
              설명: 클라이언트가 웹 브라우저인 경우 이 필드는 웹 브라우저 유형을 식별합니다(예: CHROME, FIREFOX)
              type: string
            - 이름: os
              설명: 클라이언트가 실행되는 운영 체제(예: Windows 10)
              type: string
            - 이름: rawUserAgent
              설명: HTTP/1.1 의미 및 콘텐츠의 섹션 5.5.3에 따라 형식화된 사용자 에이전트의 원시 문자열 표현입니다. 브라우저 및 OS 필드는 이 필드에서 파생될 수 있습니다.
              type: string
        - 이름: geographicalContext
          설명: 클라이언트가 요청을 수행한 물리적 위치
          type: object
          필드:
            - 이름: geolocation
              설명: 지리 좌표(위도, 경도)를 포함합니다
              type: object
              필드:
                - 이름: lat
                  설명: 위도
                  type: float
                - 이름: lon
                  설명: 경도
                  type: float
            - 이름: city
              설명: 사용 가능한 경우 지리 좌표를 포함하는 영역을 포함하는 도시(예: 시애틀, 샌프란시스코)
              type: string
            - name: state
              설명: 지리 좌표를 포함하는 영역을 포함하는 주/도 전체 이름(예: 몬태나, 인천)
              type: string
            - 이름: country
              설명: 지리 좌표를 포함하는 영역을 포함하는 국가의 전체 이름(예: 프랑스, 우간다)
              type: string
            - 이름: postalCode
              설명: 지리 좌표를 포함하는 영역을 포함하는 국가의 전체 이름(예: 프랑스, 우간다)
              type: string
        - 이름: zone
          설명: 클라이언트의 위치가 매핑된 존의 이름
          type: string
        - 이름: ipAddress
          설명: 클라이언트가 요청을 수행한 IP 주소
          type: string
          지표:
            - ip
        - 이름: device
          설명: 클라이언트가 사용한 디바이스 유형(예: 컴퓨터)
          type: string
    - 이름: request
      설명: 작업을 시작한 요청
      type: object
      필드:
        - 이름: ipChain
          설명: 수신 요청이 프록시를 통해 전달되는 경우, 해당 프록시들의 IP 주소가 (clientIp, proxy1, proxy2, ...) 형식으로 여기에 저장됩니다.
          type: array
          element:
            type: object
            필드:
                - 이름: ip
                  설명: IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: geographicalContext
                  설명: IP 주소의 지리적 컨텍스트
                  type: object
                  필드:
                    - 이름: geolocation
                      설명: 지리 좌표(위도, 경도)를 포함합니다
                      type: object
                      필드:
                        - 이름: lat
                          설명: 위도
                          type: float
                        - 이름: lon
                          설명: 경도
                          type: float
                    - 이름: city
                      설명: 사용 가능한 경우 지리 좌표를 포함하는 영역을 포함하는 도시(예: 시애틀, 샌프란시스코)
                      type: string
                    - name: state
                      설명: 지리 좌표를 포함하는 영역을 포함하는 주/도 전체 이름(예: 몬태나, 인천)
                      type: string
                    - 이름: country
                      설명: 지리 좌표를 포함하는 영역을 포함하는 국가의 전체 이름(예: 프랑스, 우간다)
                      type: string
                    - 이름: postalCode
                      설명: 지리 좌표를 포함하는 영역을 포함하는 국가의 전체 이름(예: 프랑스, 우간다)
                      type: string
                - name: version
                  설명: IP 버전
                  type: string
                - 이름: source
                  설명: 출처에 대한 세부 정보
                  type: string
    - 이름: outcome
      설명: 작업의 결과
      type: object
      필드:
        - 이름: result
          설명: '작업 결과: SUCCESS, FAILURE, SKIPPED, ALLOW, DENY, CHALLENGE, UNKNOWN'
          type: string
        - 이름: reason
          설명: 예: INVALID_CREDENTIALS와 같은 결과의 이유
          type: string
    - name: target
      설명: 작업의 0개 이상의 대상
      type: array
      element:
        type: object
        필드:
            - 이름: id
              required: true
              설명: 대상의 ID
              type: string
            - 이름: type
              required: true
              설명: 대상의 유형
              type: string
            - 이름: alternateId
              설명: 대상의 대체 ID
              type: string
            - 이름: displayName
              설명: 대상의 표시 이름
              type: string
            - 이름: details
              설명: 대상에 대한 세부 정보
              유형: json
            - 이름: detailEntry
              설명: 세부 항목
              유형: json
            - 이름: changeDetails
              설명: 변경 사항에 대한 세부 정보
              유형: json
    - 이름: transaction
      설명: 작업의 거래 세부 정보
      type: object
      필드:
        - 이름: id
          설명: 이 거래의 고유 식별자.
          type: string
        - 이름: type
          설명: 거래 유형을 설명합니다. WEB은 웹 요청을 나타냅니다. JOB은 비동기 작업을 나타냅니다.
          type: string
        - 이름: detail
          설명: 이 거래에 대한 세부 정보.
          유형: json
    - 이름: debugContext
      설명: 작업의 디버그 요청 데이터
      type: object
      필드:
        - 이름: debugData
          설명: 이벤트 유형에 따라 달라지는 기타 정보를 포함하는 동적 필드.
          유형: json
    - 이름: authenticationContext
      설명: 작업의 인증 데이터
      type: object
      필드:
        - 이름: authenticationProvider
          설명: 제공된 자격 증명을 사용하여 액터의 신원을 증명하는 시스템
          type: string
        - 이름: authenticationStep
          설명: 인증 파이프라인의 0부터 시작하는 단계 번호입니다. 현재 사용되지 않으며 항상 0으로 설정됩니다.
          유형: int
        - 이름: credentialProvider
          설명: 자격 증명 제공자는 ID와 관련 자격 증명을 관리하는 소프트웨어 서비스입니다. 자격 증명 제공자가 제공한 자격 증명을 통해 인증이 발생하면 해당 자격 증명 제공자가 여기에 기록됩니다.
          type: string
        - 이름: credentialType
          설명: 자격 증명에 사용되는 기본 기술/스킴
          type: string
        - 이름: rootSessionId
          type: string
        - 이름: issuer
          설명: 자격 증명을 생성하고 발급한 특정 소프트웨어 엔터티.
          type: object
          필드:
            - 이름: id
              설명: 인증 유형에 따라 달라집니다. 인증이 SAML 2.0인 경우 id는 SAML 어설션의 발급자입니다. 소셜 로그인인 경우 id는 토큰의 발급자입니다.
              type: string
            - 이름: type
              설명: SAML 어설션 또는 토큰의 발급자 및 출처에 관한 정보.
              type: string
        - 이름: externalSessionId
          설명: 액터의 세션 ID를 대체하는 값
          type: string
        - 이름: interface
          설명: 액터가 인증하는 제3자 사용자 인터페이스(있을 경우).
          type: string
        - 이름: authenticatorProvider
          설명: '사용 중단됨: 이 필드는 이전 버전과의 호환성을 위해 유지됩니다.'
          type: string
    - 이름: securityContext
      설명: 작업의 보안 데이터
      type: object
      필드:
        - 이름: asNumber
          설명: 이벤트 요청의 출처가 된 자율 시스템과 연관된 자율 시스템 번호
          type: bigint
        - 이름: asOrg
          설명: 이벤트 요청의 출처가 된 자율 시스템과 연관된 조직
          type: string
        - 이름: isp
          설명: 이벤트 요청을 전송하는 데 사용된 인터넷 서비스 제공자
          type: string
        - 이름: domain
          설명: 수신 이벤트 요청의 IP 주소와 연관된 도메인 이름
          type: string
          지표:
            - 도메인
        - 이름: isProxy
          설명: 이벤트의 요청이 알려진 프록시에서 온 것인지 여부를 지정합니다
          유형: boolean