次のステップは、複数のIPからのOktaユーザーログイン失敗プレイブックで利用可能なアクション、タスク、およびサブフローのウォークスルーを示しています。
始める前に
必要なロール：
- sn_si.admin
- flow_designer
Security Operations スポーク (sn_sec_spoke) がインストールされていることを確認します。
手順
-
Playbook がトリガーされて実行が開始されたら、ステップ 1 で次のタスクを実行する必要があります。
- 対象となるユーザー アカウントを特定します。
- IP サブネットを確認し、すべてが同じ自律システム番号(ASN)所有者に属しているかどうかを確認します。
-
ステップ2では、異なるIP/ASNからのアクティビティの前後に成功したログインがあったかどうかを確認する必要があります。
-
ステップ 3 で、異なる IP/ASN からのアクティビティの前後にログインが成功しなかった場合、ステップ 4 で、認証が実行されているデバイスが既知のユーザ エージェントであるかどうかを確認する必要があります。
デバイスが既知のユーザ エージェントによって認証されると、フローは終了します。
図 : 1. 複数の IP からの Okta ユーザーログイン失敗 Playbook
-
手順 5 では、調査に基づいて、帯域外通信 (電話や電子メールなど) を使用してユーザーに連絡し、アクティビティがアカウントのロックアウトによるものか、ユーザーが提供したパスワードの誤りによるものかを確認する必要があります。
-
手順 6 では、ユーザーが有効な業務上の正当な理由を提供したかどうかを確認する必要があります。
-
ステップ 7 で、ユーザーが有効な業務上の根拠を提供した場合は、次のタスクを実行します。
-
ステップ 8 で、これまでの結果を文書化するための応答タスクを作成します。
-
ステップ 9 では、インシデントの事後レビューを開始するための応答を作成する必要があります。
ステップ 10 で、フローは終了します。
-
ステップ 11 では、認証要求が行われた IP アドレスとクライアント ユーザ エージェントを確認し、IP アドレスをピボットしてブルートフォース アクティビティの一部であるかどうかを識別する必要があります。
-
手順 12 では、影響を受けるユーザーに、調査目的でアカウントがロックされることを通知する必要があります。
提供されたメールテンプレートを使用して、影響を受けるユーザーに通知できます。
図 : 2. Okta User Login Failure from Multiple IP Playbook の使用
-
ステップ 13 では、IT サポートチームと協力してアカウントをロックアウトし、侵害の範囲の調査を開始する必要があります。
-
ステップ 14 では、ユーザ パスワードをリセットし、デフォルトのパスワードを使用してユーザにメールを送信する必要があります。
-
ステップ15では、悪意のあるソースIPをブロックする必要があります。
-
ステップ 16 では、IT サポートチームからアカウントを解放し、運用標準に戻すための支援を受ける必要があります。
-
ステップ 17 では、これまでの結果を文書化する必要があります。
-
ステップ 18 で、タスクをクローズする前にインシデントの事後レビューを完了するための応答タスクが作成されます。