Подтверждённые сигналы о раскрытии данных для принятия решений о рисках учётных записей

Перед началом

• Права владельца аккаунта LeakData и доступ к интеграции Enterprise SIEM. Пользователи дополнительных рабочих мест не могут настраивать подключение.
• Администратор Okta с правами на установку и авторизацию интеграций API-сервисов, а также организация с поддержкой приёмника Shared Signals. Для соответствующих функций политик риска требуется Identity Threat Protection.
• Активный мониторинг личного адреса электронной почты, владение которым подтверждено или который принадлежит одному из ваших подтверждённых доменов. Для тестирования подписанного сигнала используйте контролируемого тестового пользователя с тем же адресом электронной почты в тестовой организации Okta.

1. Установите и авторизуйте интеграцию в Okta

Публикация в общедоступном каталоге ожидается. Если LeakData недоступна в вашем каталоге, прежде чем продолжить, обратитесь в поддержку, чтобы узнать актуальный способ настройки.

1. В консоли администратора Okta откройте «Приложения и ресурсы» > «Интеграции API-сервисов» и установите LeakData Shared Signals, когда интеграция станет доступна в вашем каталоге.
2. Предоставьте только разрешение okta.securityEventsProviders.manage. Сразу скопируйте Client Secret, который отображается только один раз, затем запишите Client ID и домен Okta из того же экземпляра.
3. Используйте базовый URL организации без пользовательского домена, например https://integrator-1234567.okta.com. Удалите -admin, пути, строки запроса и номера портов.

Эти учётные данные выдаются при установке интеграции API-сервиса из OIN. API-токен или обычное сервисное приложение OAuth, созданное через «Создать интеграцию приложения», не предоставляют аналогичную пару Client ID/Secret для OIN.

2. Подключите интеграцию в LeakData

1. Войдите как владелец аккаунта и откройте «Панель управления» > «Интеграции» > Okta Shared Signals.
2. Введите URL организации, Client ID и Client Secret из одного и того же авторизованного экземпляра. Выберите «Высокая и критическая» или «Только критическая».
3. Ознакомьтесь с ограничением на отправку данных только для подтверждённых адресов и с последствиями применения ваших политик риска Okta, подтвердите их, затем выберите «Подключить Okta». LeakData проверит учётные данные и создаст или повторно использует своего поставщика событий безопасности.
4. После настройки поставщик активен. LeakData шифрует секрет и больше не отображает его.

3. Проверьте подключение

1. Выберите «Проверить подключение», чтобы проверить учётные данные и состояние поставщика без отправки сигнала риска. Убедитесь, что поставщик активен и его ID указан в разделе «Сведения о подключении».
2. Проверьте, какие отслеживаемые адреса электронной почты соответствуют условиям отправки. Подходят только конкретные адреса, владение которыми подтверждено или которые принадлежат одному из ваших подтверждённых доменов; данные мониторинга самого домена никогда не отправляются.
3. В отдельном аккаунте Test/QA и контролируемой организации Okta Integrator проверьте тестовый адрес электронной почты и подтверждение ознакомления с политиками, прежде чем выбрать «Проверить подписанный сигнал». Этот тест может запустить настроенные политики риска.
4. HTTP 202 подтверждает только приём запроса. Проверьте наличие событий security.events.provider.receive_event и user.risk.detect для тестового пользователя в системном журнале Okta. Неизвестный адрес электронной почты может быть проигнорирован без уведомления.

4. Замените учётные данные или смените организацию

1. Для той же организации выберите «Заменить учётные данные» и введите новую пару Client ID/Secret из авторизованного экземпляра API-сервиса LeakData в этой организации. При сохранении подключение проверяется и активируется.
2. Действие «Приостановить доставку» сохраняет привязку к организации и сохранённые учётные данные. Оно не подготавливает аккаунт к подключению другой организации.
3. Чтобы возобновить доставку в ту же организацию, выберите «Запустить доставку», затем «Проверить подключение» и убедитесь, что поставщик активен.
4. Чтобы использовать другую организацию, сначала ознакомьтесь с действием «Удалить подключение». При подтверждении удаления удаляются поставщик, зашифрованные учётные данные и локальная история доставки. Затем настройте новую организацию. Если удаление не удалось, обратитесь в поддержку; не считайте, что прежний поставщик удалён.

Устранение неполадок

Учётные данные отклонены

Убедитесь, что все три значения получены из одного и того же установленного и авторизованного экземпляра API-сервиса из OIN. Во время проверки используйте экземпляр текущей версии, отправленной на рассмотрение. API-токены и учётные данные обычных сервисных приложений OAuth не взаимозаменяемы с учётными данными этой интеграции.

Отказано в предоставлении разрешения или в доступе к приёмнику

Убедитесь, что разрешение okta.securityEventsProviders.manage предоставлено и ваша организация Okta поддерживает приёмник SSF. Проверьте права администратора и политики организации.

Уже подключено к другой организации

Заменяйте учётные данные только для отображаемой организации. Приостановка не удаляет подключение. Перед сменой организации ознакомьтесь с приведёнными выше шагами удаления.

Нет сигнала или события риска пользователя

Убедитесь, что владение адресом подтверждено или адрес принадлежит подтверждённому домену, мониторинг личного адреса активен, а обнаруженная проблема безопасности подтверждена и имеет высокую или критическую степень серьёзности. Также проверьте выбранный порог серьёзности. Сам по себе приём запроса не подтверждает ни сопоставление с пользователем, ни выполнение действий по политике.

Нужна помощь?

Обратитесь в поддержку LeakData и укажите операцию, которая завершилась сбоем, и код ошибки. Не передавайте пароли, значения Client Secret или токены доступа.