Okta

IBM QRadar DSM for Okta는 Okta 디바이스에서 Okta REST API 이벤트를 수집합니다.

다음 표는 Okta DSM의 스펙을 식별합니다.
표 1. Okta DSM 스펙
스펙 값
제조업체 Okta
DSM 이름 Okta
RPM 파일 이름 DSM-OktaIdentityManagement-QRadar_version-build_number.noarch.rpm
프로토콜 Okta REST API
이벤트 형식 JSON
기록되는 이벤트 유형 모두
자동 감지 여부 아니오
ID 포함 여부 예
사용자 정의 특성 포함 여부 아니오
자세한 정보 Okta웹 사이트 (https://www.okta.com/)
Okta를 QRadar와 통합하려면 다음 단계를 완료하십시오.
  1. 자동 업데이트가 활성화되어 있지 않은 경우, IBM® 지원 웹사이트(http://www.ibm.com/support)에서 RPM을 다운로드할 수 있습니다. QRadar Console에 다음 RPM의 최신 버전을 다운로드하여 설치하십시오.
    • 프로토콜 공통
    • Okta REST API 프로토콜 RPM
    • Okta DSM RPM

    다중 DSM RPM이 필요한 경우 통합 시퀀스는 DSM RPM 종속성을 반영해야 합니다.

  2. QRadar Console에서 Okta 로그 소스를 추가하십시오.
    표 2. Okta DSM 로그 소스 매개변수
    매개변수 값
    로그 소스 유형 Okta
    프로토콜 유형 Okta REST API
    이름 로그 소스의 이름
    설명 (선택사항) 로그 소스에 대한 설명

Okta REST API 프로토콜 매개변수 및 해당 값의 목록은 Okta REST API 프로토콜 구성 옵션을 참조하십시오.

다음 표는 Okta DSM에 대한 샘플 이벤트 메시지를 제공합니다.
중요: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오.
표 3. Okta 디바이스에서 지원하는 okta 샘플 메시지
이벤트 이름 하위 레벨 카테고리 샘플 로그 메시지
코어-사용자 권한-로그인 성공 사용자 로그인 완료 
{"eventId":"xxxxxxxxxxxxxxxxxxxxx-xxxxxxxxxxxxxxxx","sessionId":"xxxxxxxxxxxxxxxxxxxxxxxxx","requestId":"xxxxxxxxxxxxxxxxxxxxxxxxxx","published":"2016-04-06T16:16:40.000Z","action":{"message":"Sign-in successful","categories":["Sign-in Success"],"objectType":"core.user_auth.login_success","requestUri":"/api/v1/authn"},"actors":[{"id":"xxxxxxxxxxxxxxxxxxxx","displayName":"User","login":"username@example.com","objectType":"User"},{"id":"Mozilla/5.0 (Windows NT 6.1; WOW64; rv:45.0) Gecko/20100101 Firefox/45.0","displayName":"FIREFOX","ipAddress":"<IP_address>","objectType":"Client"}],"targets":[{"id":"xxxxxxxxxxxxxxxxxxxx","displayName":"User","login":"username@example.com","objectType":"User"}]}
코어-사용자 권한-로그인 실패 사용자 로그인 실패 
{"eventId":"xxxxxxxxxxxxxxxx_xxxxxxxxxxxxxxxxxxxxxx","sessionId":"","requestId":"xxxxxxxxxxxxxxxxxxx-xxxxxxx","published":"2015-08-19T17:08:37.000Z","action":{"message":"Sign-in Failed - Not Specified","categories":["Sign-in Failure","Suspicious Activity"],"objectType":"core.user_auth.login_failed","requestUri":"/login/do-login"},"actors":[{"id":"Mozilla/5.0 (Windows NT 6.3; WOW64; Trident/7.0; rv:11.0) like Gecko","displayName":"x x","ipAddress":"<IP_address>","objectType":"Client"}],"targets":[{"id":"","objectType":"User"}]}