Co zbiera
Konektor odpytuje API Okta System Log i zapisuje każde zdarzenie: udane i nieudane logowania, wyzwania MFA, zdarzenia sesji, zmiany użytkowników i grup, przypisania aplikacji oraz działania administratorów. Zdarzenia są oznaczane jako observer.vendor: okta i event.dataset: okta.systemlog. Użytkownik wykonujący działanie trafia do user.name, użytkownik, którego działanie dotyczy, do user.target.name, a adres klienta do source.ip.
Wymagania
- Token API Okta z uprawnieniem do odczytu System Log.
- Wychodzące połączenie HTTPS z wdrożenia do Twojej domeny Okta.
Konfiguracja
Settings › Integrations › Add integration › Okta. Wpisz bazowy adres URL Okta i token API, wybierz organizację, do której należą zdarzenia, i zapisz. Pobieranie zaczyna się kilka minut przed pierwszym odpytaniem; wcześniejsza historia nie jest importowana.
Stan
Settings › Integrations pokazuje liczbę zdarzeń konektora z ostatniej godziny, ostatnie zdarzenie oraz ostatnie odpytanie albo błąd, który je zatrzymał.
Reagowanie
Jeśli poświadczenia mają też uprawnienia do zarządzania użytkownikami, playbooki mogą wyłączyć użytkownika Okta i unieważnić jego sesje. Nadawaj to uprawnienie tylko wtedy, gdy zamierzasz z niego korzystać. Zobacz Akcje reagowania.