Okta 프로필

탐지 및 검색에 사용할 Okta 사용자 및 디바이스 데이터 가져오고 저장하기

개요

Panther에서 Okta 로그 소스 통합을 구성하여 다음을 가져오도록 설정할 수 있습니다 사용자 프로필 및 디바이스 프로필 Panther 관리 보강(Enrichment)으로. 이는 탐지 로직 및 검색 쿼리에서 프로필 및 디바이스 데이터를 사용할 수 있음을 의미합니다.

Okta에서 사용자 프로필을 사용자 지정하려면 다음을 따라할 수 있습니다 그들의 문서. 탐지 로직에서 유용할 수 있는 사용자 지정 속성(예: 해당 사용자에게 예상되는 권한 수준)을 추가하는 것을 고려할 수 있습니다.

다음을 배우십시오 여기에 저장된 보강 데이터를 조회하세요.

탐지 예시 사용 사례

탐지에서 Okta 사용자 및 디바이스 프로필 데이터를 활용할 수 있습니다. 다음 예시 사용 사례를 참조하세요:

• 작업이 수행된 디바이스가 전화기이며 행위자가 시스템 관리자(System Administrator)가 아닌 경우를 탐지합니다.

• 해고된 직원이 수행한 작업을 탐지합니다. 이는 오프보딩이 완료되지 않았음을 나타낼 수 있습니다.

• 탐지 구성에서 이벤트 행위자의 직책에 따라 경고 심각도 수준을 조정합니다. 예를 들어, 시스템 관리자가 일부 작업을 수행한 경우 알림 함수(Alert function) 심각도 수준을 사용할 수 있지만 severity 다른 역할을 가진 사용자가 수행한 경우에는

Panther에서 Okta 사용자 및 디바이스 프로필 설정 방법

Okta 로그 소스 통합을 Panther에 처음 설정할 때 또는 나중에 소스를 편집하여 Okta 사용자 및 디바이스 프로필을 구성할 수 있습니다.

어느 흐름에서든 Okta 프로필 가져오기 설정을 켠 다음 프로필 데이터를 새로 고치는 주기를 설정합니다.

Panther에서 Okta 사용자 및/또는 디바이스 프로필을 활성화하려면 먼저(또는 동시에) Okta를 로그 소스로 온보딩해야 합니다. Okta 디바이스 또는 사용자 프로필 통합을 설정하는 것은 없이 Panther에 Okta를 로그 소스로 온보딩하는 것이 불가능합니다.

Okta 디바이스 프로필 전제 조건

• Okta 디바이스 프로필을 Panther로 가져오려면 다음이 필요합니다 Okta Devices 활성화되어 있어야 합니다.

Okta 소스 설정 중 Panther에서 Okta 프로필 구성

• 다음 지침을 따르세요 Panther에서 새로운 Okta 소스를 생성하는 방법에 대한 이 지침을따라, 다음을 특히 주의하여 확인하세요 사용자 프로필 활성화 및 디바이스 프로필 활성화 필드.

Okta 소스 설정 후 Panther에서 Okta 프로필 구성

이미 Panther에 Okta 로그 소스를 생성한 후 다음 중 하나를 통해 Okta 프로필을 설정할 수 있습니다 에서 보강 제공자 탭 로그/리소스 유형별로 규칙을 폴더로 그룹화하는 것을 권장합니다(예: 콘솔의 로그 소스 탭 에서.

콘솔: 보강 제공자(Enrichment Providers)

보강 제공자 화면에서 Okta 로그 소스 설정 후 Okta 프로필 구성

1. Panther 콘솔의 왼쪽 탐색 바에서 구성 > 보강제공자.

2. 테스트를 생성(create a test) 새로 만들기(Create New).

3. 를 클릭하세요 Okta.

4. Panther에 이미 생성된 Okta 로그 소스가 나열된 팝업 모달에서 프로필 데이터를 가져올 소스를 클릭하세요.

   • 아직 Okta 로그 소스를 설정하지 않았다면 대신 다음을 따르세요 Okta 로그를 Panther에 온보딩하는 방법 지침.

5. 에 있는 보강(Enrichment) 페이지에서 사용자 프로필 및/또는 디바이스 프로필 켜짐(ON).

   • 켜 놓은 각 토글에 대해 켜짐(ON)다음을 설정하세요 새로 고침 기간(분). 이는 Panther가 Okta에 저장된 내용으로 프로필 데이터를 업데이트하는 주기를 나타냅니다.

     
6. 테스트를 생성(create a test) 우측 상단에서.

콘솔: 로그 소스

지원되는 프로필 유형

Panther는 Okta에서 다음을 가져오는 것을 지원합니다 사용자 프로필 및 디바이스 프로필 아래는 각 프로필 유형의 데이터가 어떻게 구조화되는지에 대한 스키마입니다.

Okta.Users

스키마: Okta.Users
설명: Panther가 관리하는 Okta 사용자 프로필
참고URL: https://developer.okta.com/docs/reference/api/users/#list-users
필드:
    - 이름: match
      설명: 조회 테이블과 일치시킬 키
      유형: 배열
      요소:
        유형: 문자열
    - 이름: id
      설명: 이 사용자의 Okta 내부 ID
      유형: 문자열
      지표:
        - actor_id
    - name: created
      설명: 사용자 레코드의 생성 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: activated
      설명: 사용자 레코드의 활성화 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: statusChanged
      설명: 사용자 상태가 변경된 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: lastLogin
      설명: 마지막 인증 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: lastUpdated
      설명: 마지막 레코드 업데이트 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: passwordChanged
      설명: 마지막 비밀번호 변경 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: status
      설명: 사용자의 상태
      유형: 문자열
    - 이름: profile
      설명: Okta 사용자 프로필
      유형: json

Okta.Devices

스키마: Okta.Devices
설명: Panther가 관리하는 Okta 디바이스 프로필
참고URL: https://developer.okta.com/docs/reference/api/devices/#list-devices
필드:
    - 이름: match
      설명: 조회 테이블과 일치시킬 키
      유형: 배열
      요소:
        유형: 문자열
    - 이름: id
      설명: 이 디바이스의 Okta 내부 ID
      유형: 문자열
    - name: created
      설명: 디바이스 레코드의 생성 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: lastUpdated
      설명: 마지막 레코드 업데이트 시간
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: status
      설명: 디바이스의 상태
      유형: 문자열
    - name: resourceType
      설명: 디바이스의 유형
      유형: 문자열
    - 이름: resourceDisplayName
      설명: 장치 이름
      유형: 객체
      필드:
        - 이름: value
          설명: 장치 이름
          유형: 문자열
        - 이름: sensitive
          설명: 민감한 경우 True
          유형: boolean
    - 이름: resourceId
      설명: 디바이스의 외부 ID
      유형: 문자열
    - 이름: resourceAlternateId
      설명: 디바이스의 대체 외부 ID
      유형: 문자열
    - 이름: profile
      설명: Okta 디바이스 프로필
      유형: json
    - 이름: users
      설명: 이 디바이스와 연결된 사용자들
      유형: 배열
      요소:
        유형: 객체
        필드:
            - 이름: id
              설명: 이 사용자의 Okta 내부 ID
              유형: 문자열
              지표:
                - actor_id
            - 이름: emails
              설명: 이 사용자와 연결된 이메일들
              유형: 배열
              요소:
                유형: 문자열
                지표:
                    - email

예시: 탐지에서 Okta 프로필 데이터 사용

Okta 사용자 또는 디바이스 프로필을 설정하고 데이터가 가져와지면 해당 데이터를 탐지 로직에서 참조할 수 있습니다.

다음과 같은 Okta 사용자 프로필이 주어졌을 때:

{
    "activated": "2023-02-22 20:14:57",
    "created": "2023-02-22 20:14:57",
    "id": "00u7364cqlAxlJrgX1d7",
    "lastlogin": "2023-02-22 20:28:05",
    "lastupdated": "2023-02-22 20:27:57",
    "match": [
        "00u7364cqlAxlJrgX1d7",
	"[email protected]"
    ],
    "p_any_actor_ids": [
	"00u7364cqlAxlJrgX1d7"
    ],
    "p_any_emails": [
	"[email protected]"
    ],
    "p_event_time": "2023-06-01 20:48:36.12",
    "p_log_type": "Okta.Users",
    "p_parse_time": "2023-06-01 20:48:36.12",
    "p_row_id": "623cde25b9568494cebbdfc118a310",
    "p_schema_version": 0,
    "passwordchanged": "2023-02-22 20:27:57",
    "profile": {
	"email": "[email protected]",
	"firstName": "Henry",
	"lastName": "Ford",
	"login": "[email protected]",
	"manager": "Joe Jacobs",
	"mobilePhone": null,
	"secondEmail": null
	},
    "status": "ACTIVE",
    "statuschanged": "2023-02-22 20:27:57"
}

그리고 다음과 같은 수신 이벤트:

{
    "actorEmail": "[email protected]",
    "action": "deleted_file"
}

탐지를 거치기 전에 이벤트는 Okta 프로필 데이터로 보강되어 다음과 같이 됩니다:

{
    "actorEmail": "[email protected]",
    "action": "deleted_file",
    "p_enrichment": {
    	"okta_users": {
    	    "actorEmail": {
    		"p_match": "[email protected]",
                "activated": "2023-02-22 20:14:57",
	        "created": "2023-02-22 20:14:57",
		"id": "00u7364cqlAxlJrgX1d7",
		"lastlogin": "2023-02-22 20:28:05",
		"lastupdated": "2023-02-22 20:27:57",
		"match": [
		    "00u7364cqlAxlJrgX1d7",
		    "[email protected]"
		],
		"p_any_actor_ids": [
		    "00u7364cqlAxlJrgX1d7"
		],
		"p_any_emails": [
		    "[email protected]"
		],
		"passwordchanged": "2023-02-22 20:27:57",
		"profile": {
		    "email": "[email protected]",
		    "firstName": "Henry",
		    "lastName": "Ford",
		    "login": "[email protected]",
		    "manager": "Joe Jacobs",
		    "mobilePhone": null,
		    "secondEmail": null
		},
	        "status": "ACTIVE",
		"statuschanged": "2023-02-22 20:27:57"
    	    }
    	}
    }
}

그런 다음 다음과 같이 Okta 프로필 데이터를 참조하는 탐지를 작성할 수 있습니다:

Python

규칙을 작성하고 원하는 폴더에
  userManager = deep_get(event, 'p_enrichment', 'okta_users', 'actorEmail', 'profile', 'manager')
  
  return userManager == 'Joe Jacobs'

YAML