LoginSignup
1
0
@yotake(yotake)inSysdig Japan合同会社

Sysdig SecureによるOktaの脅威検知

Last updated at Posted at 2023-10-13

最近ニュースになったMGMリゾートに対する攻撃では、Oktaの管理者アカウントが侵害されました。IdPが広範に利用されている現在では、Oktaのアクティビティ監視が重要になっています。SysdigでOkta IdPのなりすまし攻撃を検知する方法の詳細については、下記ブログをご参照ください。

本記事では、SysdigでOktaの脅威検知を実現する手順についてご紹介します。本機能はPreview版になります。

OktaへのSysdigアプリケーションの追加

  1. Okta管理画面のApplicationsに移動し、Browse App Catalog をクリックします。
    image.png

  2. 検索欄に sysdig と入力し、Sysdig アプリケーションを選択します。
    image.png

  3. Add Integration をクリックします。
    image.png

  4. Install & Authorize をクリックします。
    image.png

  5. 表示されたシークレットをコピーします。
    image.png
    image.png

Sysdig UI側でのOkta連携設定

  1. Sysdig UIの左側メニューから Integrations > Event & Logs に移動し、Add Integration をクリックします。
    image.png

  2. Okta Domainを入力し、Next をクリックします。
    image.png

  3. 先ほどコピーした Client Secret と　Client ID を入力し、Validate をクリックします。
    image.png

  4. 接続検証に成功し、Connected と表示されることを確認し、Close をクリックします。
    image.png

  5. 連携したOktaドメインが一覧画面に登録されていることを確認します。
    image.png

Oktaランタイム脅威検知ポリシーの有効化

  1. 左側メニューの Policies > Runtime Policies に移動し、検知テストのために全てのOktaポリシーを有効化します（ポリシー名の左側のトグルスイッチで有効化）。
    image.png

Oktaイベントの検知テスト

  1. Okta管理画面からユーザーを Suspend します。
    image.png

  2. Sysdig UIの左側メニューから Events > Events Feed に移動し、User has been suspended in Okta イベントを検知していることを確認します。
    image.png

  3. Okta管理画面から、Suspendしたユーザを再び Activate します。
    image.png

  4. Sysdig UIで User has been moved from suspended status in Okta イベントを検知していることを確認します。
    image.png

  5. その他にも様々なイベントを検知可能です。
    image.png

まとめ

SysdigとOktaを簡単に連携させ、OktaアクティビティをSysdigで監視し、疑わしいイベントを検知できることが確認できました。

1
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
1
0