Coletar registros do Okta

Este documento explica como ingerir registros do Okta no Google Security Operations usando a API do Okta. O analisador extrai registros do sistema, processando eventos únicos e em lote em uma matriz JSON. Ele normaliza os dados no formato UDM, mapeando campos do Okta para equivalentes da UDM, enriquecendo os dados com user agents analisados, informações geográficas e detalhes de autenticação, além de gerar eventos de resultados de segurança com base em resultados e informações de risco.

Antes de começar

• Instância do Google SecOps
• Acesso privilegiado ao Okta

Como configurar o Okta

Para configurar o SSO do Okta, conclua as seguintes tarefas:

Criar um usuário administrativo do Okta com privilégios somente leitura

1. Faça login no console de administrador do Okta.

2. Crie um usuário padrão.

   • Acesse Diretório > Pessoas.
   • Clique em Adicionar pessoa e preencha os campos obrigatórios.

3. Selecione Segurança > Administradores.

4. Clique em Adicionar administrador.

5. No campo Atribuição de administrador por administrador, encontre o usuário padrão.

6. Na seção papéis, selecione Administrador somente leitura na lista.

7. Saia da conta de administrador.

Receber chave da API

1. Faça login no Okta Administrator Console com o usuário administrador somente leitura.
2. Acesse Segurança > API > Tokens.
3. Clique em Criar token.
4. Dê um nome significativo ao token.
5. Informe a zona de IP em que a API será usada. Se não tiver certeza, selecione qualquer IP.
6. Clique em Criar token.
7. Copie a chave de API.
8. Clique em OK, entendi.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do Okta.
5. Selecione API de terceiros como o Tipo de origem.
6. Selecione Okta como o Tipo de registro.
7. Clique em Próxima.
8. Especifique valores para os seguintes parâmetros de entrada:
   • Cabeçalho HTTP de autenticação: insira a chave de API do Okta no seguinte formato: Authorization:<API_KEY>.
   • Nome do host da API: especifique o nome de domínio do host do Okta (por exemplo, <your-domain>.okta.com).
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo aplicado aos eventos deste feed.
9. Clique em Próxima.
10. Revise a configuração do feed na tela Finalizar e clique em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Cabeçalhos HTTP de autenticação: usados para autenticar na API de alertas/ameaças e indicadores estáticos do SentinelOne no formato key:value.
• Nome do host da API: o nome de domínio totalmente qualificado da API do SentinelOne.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.