Sysdig SecureによるOktaの脅威検知

最近ニュースになったMGMリゾートに対する攻撃では、Oktaの管理者アカウントが侵害されました。IdPが広範に利用されている現在では、Oktaのアクティビティ監視が重要になっています。SysdigでOkta IdPのなりすまし攻撃を検知する方法の詳細については、下記ブログをご参照ください。

https://sysdig.jp/blog/detect-impersonation-attacks-okta-idp/

本記事では、SysdigでOktaの脅威検知を実現する手順についてご紹介します。本機能はPreview版になります。

# OktaへのSysdigアプリケーションの追加
1. Okta管理画面のApplicationsに移動し、__Browse App Catalog__ をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/dc408407-5fee-b77f-110b-c3a449db94e8.png)

2. 検索欄に sysdig と入力し、__Sysdig__ アプリケーションを選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/5508713c-6d2d-4039-d387-a01043671636.png)

3. __Add Integration__ をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/d633605a-3d43-4afc-5367-499fce34211a.png)

4. __Install & Authorize__ をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/b2cf6097-a838-95d0-d386-eeb8790926f9.png)

5. 表示されたシークレットをコピーします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/a1b9b758-8a4d-7805-3d32-7ef6195b1347.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/92994fab-233c-4d32-7e02-91107c169768.png)


# Sysdig UI側でのOkta連携設定
1. Sysdig UIの左側メニューから __Integrations > Event & Logs__ に移動し、__Add Integration__ をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/b2ea4725-5c5d-2429-91ae-30c19e808e70.png)

2. Okta Domainを入力し、__Next__ をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/1667b566-e013-f947-f21d-86b1d083f951.png)

3. 先ほどコピーした __Client Secret__ と　__Client ID__ を入力し、__Validate__ をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/a5e445ed-3067-4657-4f63-f947565f6165.png)

4. 接続検証に成功し、__Connected__ と表示されることを確認し、__Close__ をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/4ef6f990-74c5-05ce-7112-863693421ef7.png)

5. 連携したOktaドメインが一覧画面に登録されていることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/6a79887c-fa60-1229-7d29-849f9ba4e088.png)

# Oktaランタイム脅威検知ポリシーの有効化
1. 左側メニューの __Policies > Runtime Policies__ に移動し、検知テストのために全てのOktaポリシーを有効化します（ポリシー名の左側のトグルスイッチで有効化）。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/905667a8-3555-f244-0169-ff31a55f3dd5.png)

# Oktaイベントの検知テスト
1. Okta管理画面からユーザーを __Suspend__ します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/3d5c2179-76e2-29bf-a2b3-44098a96f626.png)

2. Sysdig UIの左側メニューから __Events > Events Feed__ に移動し、__User has been suspended in Okta__ イベントを検知していることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/1891b669-30fc-b5a7-52b2-d7547bb92731.png)

3. Okta管理画面から、Suspendしたユーザを再び __Activate__ します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/a142ab45-4873-2ffd-85cd-01b05a5c6e53.png)

4. Sysdig UIで __User has been moved from suspended status in Okta__ イベントを検知していることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/745cb4e6-5afd-3d23-5d6c-6e7d6d340c7c.png)

5. その他にも様々なイベントを検知可能です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/c578f03a-6939-e868-7847-f7c2a21b41e1.png)

# まとめ
SysdigとOktaを簡単に連携させ、OktaアクティビティをSysdigで監視し、疑わしいイベントを検知できることが確認できました。