安全警告：Okta 遭破坏

三月22nd，2022CyberHoot 正在调查 Okta 可能存在的数据泄露事件。Okta 是一家云身份和访问管理解决方案的开发商，其解决方案已被全球数千家公司使用。Okta 目前正在调查此事，并已在其网站上发布了一份事件摘要。 开始这篇博文写道：

"Okta 客户可能受到的影响仅限于支持工程师的访问权限。这些工程师无法创建或删除用户，也无法下载客户数据库。支持工程师可以访问屏幕截图中显示的有限数据，例如 Jira 工单和用户列表。支持工程师还可以协助用户重置密码和多因素身份验证因素，但无法获取这些密码。"

路透社首先报道称，一个名为 Lapsus$ 的黑客组织声称对该事件负责，并发布了声称可以访问 Okta 内部管理账户和该公司 Slack 频道的截图，Okta 正在调查可能存在数字泄露的报告。 

黑客组织 Lapsus$ 于去年 12 月首次出现，据称从包括英伟达、微软、三星和育碧在内的多家知名公司窃取了源代码和其他重要数据。他们还通过泄露部分关键代码来佐证自己的说法，显然是在进行敲诈勒索。安全研究人员的早期调查普遍认为，他们似乎利用网络钓鱼来攻击受害者。现在看来，其中一些备受瞩目的数据泄露事件可能源于该组织对 Okta 系统的入侵。

截至 5 年 3 月 22 日下午 2022 点，我们知道什么：

Lapsus$ 今天纠正了 Okta 关于笔记本电脑被入侵的说法，称他们“访问的是瘦客户端而不是笔记本电脑”，并且“发现 Okta 在 Slack 频道中存储了 AWS 密钥”。

你该怎么办？

考虑到这种情况正在不断演变，我们可能会了解到更多需要采取进一步行动的信息，CyberHoot 为所有使用 Okta 进行身份和访问管理的用户提出了以下早期建议：

1. 调查您的 Okta 系统日志中是否存在以下两个事件，以查看是否有任何非您自身管理员的参与者登录。请留意标记为“Okta 系统”或“system@okta.com”的租户。尤其要留意停用或密码更新操作。
   • 事件类型 eq “user.mfa.factor.deactivate”
   • 事件类型 eq “用户.账户.更新密码”
2. 考虑撤销 Okta 支持访问权限，直至另行通知。一个超级工程师账户曾被用来禁用 MFA 并重置密码，这可能导致了上述其他违规行为。
3. 保持在 与 Okta 联系 看看他们是否会随着防御措施的出现而改变他们的建议。确保你 双因素身份验证（2FA/MFA）  为访问 Okta 身份验证服务的用户启用此功能，然后他们才能访问其他地方。
4. 设置访问控制列表 (ACL)，限制仅从您自己公司的位置对 Okta 管理控制台进行管理访问，以防止随机互联网用户连接。这可能需要仔细测试并考虑远程用户的 VPN 访问。
5. 确保您的网络活动监控已启用，并密切关注针对内部系统的身份验证。
6. 确保工作人员注意到此 Okta 违规行为并注意可疑活动。
7. 将所有远程管理工具的访问限制为仅限内部 IP。
8. 考虑取消员工日常使用的管理权限，并暂时限制管理权限。

您有一个漏洞警报管理流程，对吗？

如果您订阅了 CyberHoot 的服务，您将可以访问我们的政策和流程库，其中包含漏洞警报管理流程文档。该文档规定了如何应对此类情况以及在什么时间范围内进行响应。如果您的公司尚未采用类似 VAMP 的流程，那么现在正是开始的好时机。

来源

立即使用 CyberHoot 保护您的业务！！！

注册领取优惠