Dorothy é uma ferramenta para equipes de segurança testarem os recursos de visibilidade e detecção para o ambiente Okta. As soluções IAM costumam ser alvo de invasores, mas pouco monitoradas. Saiba como começar a usar a Dorothy.

Quando questionadas, poucas equipes de segurança conseguem demonstrar com confiança que seus registros e alertas estão funcionando como esperado. O trabalho se tornou mais distribuído nas empresas e mais dependente da nuvem para casos de uso como gestão de identidade e acesso, produtividade do usuário e armazenamento de arquivos. Enquanto isso, os invasores ampliaram suas capacidades operacionais nos ambientes de nuvem. É muito importante que as equipes de segurança consigam monitorar esses sistemas para evitar abusos e proteger os dados da empresa.
A <a href="https://github.com/elastic/dorothy">Dorothy</a> é uma ferramenta grátis e open-source que ajuda as empresas de segurança a testar suas capacidades de visibilidade, monitoramento e detecção para ambientes Okta Single Sign-On (SSO). Demonstraremos como a Dorothy pode ser usada para executar testes e como o <a href="/pt/security">Elastic Security</a> pode ser usado para alertar sobre comportamentos relevantes e suspeitos usando nossas <a href="https://github.com/elastic/detection-rules/">regras de detecção grátis e abertas</a>.
 <h2>O que é Okta SSO?</h2>Para quem não conhece, <a href="https://www.okta.com/products/single-sign-on/">Okta SSO</a> é uma solução de gestão de identidade baseada em nuvem que permite que os usuários autentiquem uma série de sistemas e aplicativos dentro da empresa com uma única conta de usuário. Informar aos usuários finais que eles só precisam se lembrar de um nome de usuário e senha em vez de mais de 10 reduz o risco de os usuários não gerirem de forma correta as senhas e permite que os administradores empreendam políticas de senhas fortes. Além disso, as políticas de autenticação multifator (MFA) podem ser configuradas no Okta, o que aumenta a barreira contra ataques. Muitas vezes, os invasores desistem e buscam um alvo mais fácil quando descobrem que o MFA está habilitado na rede ou conta de usuário do alvo.
Embora as soluções de SSO ofereçam uma experiência de usuário conveniente e reduzam o risco de segurança cibernética para uma empresa, esses sistemas centralizados oferecem uma espécie de chave esqueleto para diversos sistemas e aplicativos e costumam ser um alvo atraente para invasores. É imprescindível que as equipes de segurança entendam o que é um comportamento normal no ambiente Okta para que consigam identificar atividades suspeitas com mais facilidade.
 <h2>Conheça a Dorothy</h2>A <a href="https://github.com/elastic/dorothy">Dorothy</a> tem mais de 25 módulos para simular possíveis ações de um ataque enquanto opera em um ambiente Okta e os comportamentos que as equipes de segurança devem monitorar, detectar e alertar. Todos os módulos estão mapeados para a tática <a href="https://attack.mitre.org/">MITRE ATT&CK®</a> relevante, como Persistence, Defense Evasion, Discovery e Impact.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt8eae61fb97d445e6/5fcbb9e859bd313bf83113fc/1-Dorothy-blog-listing-modules.png" data-sys-asset-uid="blt8eae61fb97d445e6" alt="1-Dorothy-blog-listing-modules.png" style="display: block; margin: auto">
<figcaption>Figura 1 — Como começar a usar a Dorothy e listar seus módulos</figcaption>A Dorothy foi criada para ajudar os profissionais de segurança a testar a visibilidade e os controles de segurança de seus sistemas e não oferece módulos para obter acesso inicial ou ampliar privilégios em um ambiente Okta. Para executar ações com a Dorothy, é necessário utilizar um token de API válido do Okta vinculado a um usuário com uma ou mais funções de administrador atribuídas.
Ela oferece uma interface shell fácil de usar com ajuda contextual para navegação entre menus e módulos que ajuda o usuário a entender cenários simulados de invasão. Entre outros recursos interessantes, também estão os perfis de configuração para gerenciar conexões a ambientes Okta individuais e logging detalhado com a opção de indexação de eventos no Elasticsearch para oferecer uma trilha de auditoria das ações que foram executadas usando a Dorothy.
 <h2>Como executar ações em um ambiente Okta usando a Dorothy</h2>Nesta seção, vamos demonstrar como executar alguns dos módulos da Dorothy em um ambiente Okta. Na figura 2, é possível ver um fluxo de trabalho típico para um usuário do Elastic Security. Após essa demonstração, vai ser mais fácil entrar no repositório do GitHub da Dorothy e seguir as orientações de como começar na <a href="https://github.com/elastic/dorothy/wiki">wiki</a> do projeto.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt005b0e7a6479bf43/5fcbba02e5f85744d50f1a57/2-Dorothy-blog-example_workflow.png" data-sys-asset-uid="blt005b0e7a6479bf43" alt="2-Dorothy-blog-example_workflow.png" redactor"="" style="display: block; margin: auto data-verified=">
<figcaption>Figura 2 — Exemplo de fluxo de trabalho para execução de ações em um ambiente Okta usando a Dorothy</figcaption> 
<h3>whoami?</h3>Vamos pensar como um invasor e imaginar quais ações seriam realizadas ao operar em um ambiente Okta. A primeira pergunta seria sobre o usuário para o qual tenho o token de API. Vamos simular a ação do invasor pelo comando <code>whoami</code> da Dorothy para ver a ID de login do usuário associado, o horário do último login e a última troca de senha.
Agora que entendemos melhor a conta de usuário que estamos controlando, vamos listar os módulos da Dorothy e verificar o menu de ajuda antes do próximo passo.
<div class=" video=" "="" embed-container"="">
	<img class="vidyard-player-embed" src="https://play.vidyard.com/iG2cr4pHfUSwwVyk3paivS.jpg" data-uuid="iG2cr4pHfUSwwVyk3paivS" data-v="4" data-type="inline" data-autoplay="1" data-loop="1" data-disable_analytics="1" data-hidden_controls="1" data-muted="1" disable_analytics="1" style="width: 100%; margin: auto; display: block;">
	<figcaption>Figura 3 — Execução do whoami da Dorothy e comandos list-modules </figcaption>
	<h3>Discovery</h3>
	A Dorothy tem diversos módulos de descoberta que podemos usar para simular o conhecimento que um invasor poderia obter sobre um ambiente Okta. É comum que um invasor dedique um tempo para aprender detalhes de um ambiente depois de obter acesso inicial. Detalhes essenciais antes de planejar as próximas etapas.
	
	Vamos tentar aprender um pouco sobre o ambiente Okta buscando as seguintes informações:
	
	<ul>
		<li>Usuários — Uma lista de nomes, IDs de login, endereços de e-mail, perguntas de recuperação de senha e o status de cada usuário são dados úteis na hora de escolher assumir o controle, modificar ou deixar intacta uma conta para evitar exposição.</li>
		<li>Políticas — As <a href="https://help.okta.com/en/prod/Content/Topics/Security/Security_Policies.htm">políticas do Okta</a> são úteis para controlar elementos de segurança, como complexidade de senha e exigências de MFA, além dos dispositivos que os usuários estão autorizados a usar. Esse conhecimento é muito útil se decidirmos enfraquecer alguns componentes da configuração de segurança do alvo.</li>
		<li>Zonas — As <a href="https://help.okta.com/en/prod/Content/Topics/Security/network/network-zones.htm">zonas da rede</a> podem ser usadas para definir perímetros de segurança para um ambiente Okta. Assim como as políticas, essa informação nos ajuda a entender como o ambiente está configurado e tomar decisões mais informadas antes de implementar mudanças na forma como o tráfego é permitido ou bloqueado.</li>
	</ul>
	Por fim, executaremos o módulo <code>find-admins</code> para enumerar as funções de cada usuário do Okta e identificar quais usuários têm uma ou mais funções de administrador atribuídas a ele. 
	
	<div class="video embed-container" style="height: 319.725px;">
		<img class="vidyard-player-embed" src="https://play.vidyard.com/TkDuAJQwKabkyj375rfYPe.jpg" data-uuid="TkDuAJQwKabkyj375rfYPe" data-v="4" data-type="inline" data-autoplay="1" data-loop="1" data-disable_analytics="1" data-hidden_controls="1" data-muted="1" disable_analytics="1" style="width: 100%; margin: auto; display: block;">
	</div><figcaption>Figura 4 — Execução dos módulos Discovery para obter informações sobre o ambiente Okta</figcaption>
	Existem outros módulos de descoberta que ajudam na obtenção de informações, como <code>find-users-without-mfa</code>, para encontrar usuários que possam se autenticar com nome do usuário e senha, e <code>find-admin-groups</code>, para identificar grupos de usuários que tenham uma ou mais funções de administrador.
	 
	<h3>Persistence</h3>
	Depois que um invasor obtiver acesso ao ambiente pretendido, poderá procurar oportunidades de estabelecer persistência. Ela ajuda o invasor a manter o acesso caso perca o caminho inicial. Um exemplo bom de como um invasor pode perder o acesso é quando a equipe de segurança detecta a sua presença e desativa a conta de usuário comprometida ou bloqueia as comunicações no perímetro da rede.
	
	Tendo um ou mais mecanismos de persistência, o invasor conseguirá continuar sua missão se um ou mais caminhos estiverem bloqueados ou interrompidos. Neste exemplo, usaremos os módulos <code>create-user</code> e <code>create-admin-user</code> para criar um usuário do Okta e <a href="https://github.com/elastic/detection-rules/blob/main/rules/okta/persistence_administrator_role_assigned_to_okta_user.toml">atribuir uma função de administrador</a> a ele. Depois, criaremos uma pergunta de recuperação para outro usuário Okta para podermos verificar o processo de redefinição de senha para aquele usuário e invadir a conta como outro método de persistência.
	
	<div class="video embed-container" style="height: 319.725px;">
		<img class="vidyard-player-embed" src="https://play.vidyard.com/GBE6rQG2gxPGLhysSSTZet.jpg" data-uuid="GBE6rQG2gxPGLhysSSTZet" data-v="4" data-type="inline" data-autoplay="1" data-loop="1" data-disable_analytics="1" data-hidden_controls="1" data-muted="1" disable_analytics="1" style="width: 100%; margin: auto; display: block;">
	</div><figcaption>Figura 5 — Criação e modificação de contas de usuário do Okta para estabelecer persistência</figcaption>
	A Dorothy tem outros módulos de persistência que nos ajudam a entender os comportamentos prováveis de um invasor, como <code>reset-factors</code> para <a href="https://github.com/elastic/detection-rules/blob/main/rules/okta/persistence_attempt_to_reset_mfa_factors_for_okta_user_account.toml">remover os fatores de autenticação do um usuário</a> e <code>reset-password</code> para gerar um link de uso único para redefinir a senha de um usuário.
	 
	<h3>Defense Evasion</h3>
	Os invasores tentarão executar técnicas de evasão de defesas para evitar a detecção ao longo da missão. Por exemplo, um invasor pode desativar o logging de segurança para impedir que a equipe de segurança veja o que ele está fazendo.
	
	Nesse momento, já obtivemos conhecimento sobre o ambiente e configuramos algumas formas de persistência. Vamos executar os módulos <a href="https://github.com/elastic/detection-rules/blob/main/rules/okta/okta_attempt_to_deactivate_okta_policy.toml"><code>change-policy-state</code></a> e <a href="https://github.com/elastic/detection-rules/blob/main/rules/okta/attempt_to_deactivate_okta_network_zone.toml"><code>change-zone-state</code></a> para enfraquecer os controles de segurança do alvo.
	
	<div class="video embed-container" style="height: 319.725px;">
		<img class="vidyard-player-embed" src="https://play.vidyard.com/ibEzpdD2KPKKK83d3n556d.jpg" data-uuid="ibEzpdD2KPKKK83d3n556d" data-v="4" data-type="inline" data-autoplay="1" data-loop="1" data-disable_analytics="1" data-hidden_controls="1" data-muted="1" disable_analytics="1" style="width: 100%; margin: auto; display: block;">
	</div><figcaption>Figura 6 — Desativação da política do Okta e objetos da zona da rede</figcaption>
	Outros módulos de evasão de defesa podem ativar, desativar ou modificar outros objetos Okta, como aplicativos e regras de políticas individuais.
	
	Vamos interromper nosso cenário fictício de ataque aqui, mas se quiser saber o que mais a Dorothy pode fazer, acesse o <a href="https://github.com/elastic/dorothy">repositório do GitHub</a>.
	 
	<h2>Como detectar comportamentos suspeitos com o Elastic Security</h2>
	Nesta seção, vamos demonstrar como o <a href="https://help.okta.com/en/prod/Content/Topics/Reports/Reports_SysLog.htm">log do sistema</a> do Okta ajuda nossas regras de detecção a monitorar e alertar as equipes de comportamentos suspeitos.
	
	O log do sistema do Okta oferece uma trilha de auditoria das atividades que foram observadas no ambiente da organização. Isso inclui atividades como login ou troca de senha de usuário, administradores fazendo mudanças na configuração e muito mais. Essa fonte de dados e incrivelmente útil para o monitoramento de segurança, investigações, compliance e atividades de resposta.
	 
	<h3>Ingestão de logs de sistema do Okta com o Fleet</h3>
	O <a href="/guide/en/fleet/current/fleet-overview.html">Fleet</a> oferece uma UI baseada na web no Kibana para adicionar e gerenciar integrações para os serviços e plataformas mais comuns, como Okta, AWS, Azure, Google Cloud Platform, Google Workspace e muito mais. A integração do Okta com o Fleet é uma forma fácil de ingerir e normalizar os eventos de log do sistema.
	
	<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt1fc3d0e8b7275ec1/5fcbba31a84f233eaf60eee8/7-Dorothy-blog-reviewing-fleet.png" data-sys-asset-uid="blt1fc3d0e8b7275ec1" alt="7-Dorothy-blog-reviewing-fleet.png" style="display: block; margin: auto">
	<figcaption>Figura 7 — Análise da integração do Okta com o Fleet no Kibana</figcaption>
	Para equipes que já usam o Beats, também há disponível um <a href="/guide/en/beats/filebeat/current/filebeat-module-okta.html">módulo Okta Filebeat </a>.
	 
	<h3>Como detectar comportamentos suspeitos com as regras de detecção grátis do Elastic Security</h3>
	A equipe do Elastic Security Protections pesquisa tradecraft de invasores para desenvolver detecções e prevenções para endpoint, nuvem e plataformas de rede. Nossas <a href="https://github.com/elastic/detection-rules">regras de detecção</a> são grátis e desenvolvidas open-source juntamente com a comunidade de segurança.
	
	Nossas regras do Okta utilizam os eventos indexados do log de sistema que são normalizados no <a href="/guide/en/ecs/current/ecs-reference.html">Elastic Common Schema (ECS)</a> e alertam as equipes de segurança com relação a comportamentos relevantes e suspeitos.
	
	A figura 8 mostra uma série de alertas no Elastic Security depois que a Dorothy foi usada para simular ações que um invasor poderia realizar operando em um ambiente Okta.
	
	<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt4504667e3ac7b82d/5fcbba4cee448a54fd0cbc2e/8-Dorothy-blog-reviewing-alerts.png" data-sys-asset-uid="blt4504667e3ac7b82d" alt="8-Dorothy-blog-reviewing-alerts.png" style="display: block; margin: auto">
	<figcaption>Figura 8 — Revisão dos alertas abertos no Elastic Security</figcaption>
	Mas e aqueles falsos positivos? Adicionar exceções às regras no Elastic Security depois de filtrar a rotina e o comportamento esperado é muito fácil. Esse recurso inclui uma opção para fechar todos os alertas que correspondem à exceção para economizar tempo.
	
	<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt7ed73d87b82b1650/5fcbba59da1c393383d3dd8d/9-Dorothy-blog-adding_exception.png" data-sys-asset-uid="blt7ed73d87b82b1650" alt="9-Dorothy-blog-adding_exception.png" style="display: block; margin: auto">
	<figcaption>Figura 9 — Adição de exceção a uma regra Okta no Elastic Security</figcaption>
	 
	
	<h2>Meça a cobertura da sua novem com a Dorothy</h2>
	O Okta e outras soluções de gestão de identidade são alvos comuns de invasores, mas são pouco monitorados. Criamos a Dorothy como uma ferramenta para ajudar as equipes de segurança a entender como adversários conseguem operar dentro de ambientes Okta, facilitando a testagem da visibilidade e eficácia de nossas regras de detecção abertas e grátis.
	
	Saiba como começar a usar a Dorothy na <a href="https://github.com/elastic/dorothy/wiki">wiki</a> do projeto. Se você ainda não for usuário do Elastic Security, cadastre-se para uma <a href="/pt/cloud/">avaliação da nuvem gratuita</a> hoje mesmo e confira nossas <a href="/pt/blog/elastic-security-opens-public-detection-rules-repo">regras de detecção grátis</a>.
	
</div>

blog-banner-dorothy-cow.png

blog-thumb-dorothy-cow.png

Testing your Okta visibility and detection with Dorothy and Elastic Security

Como testar a visibilidade detecção do Okta com a Dorothy e o Elastic Security

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Senior Security Research Engineer

David French

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/elastic-cloud-account-terms" target="_self">Termos de Serviço</a> e também concorda em receber <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">comunicações especiais</a> por meio dos dados de contato que forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/serverless-preview-terms" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Ao enviar, você concorda com os <a href="/pt/agreements/global/cloud-services-monthly" rel="nofollow">Termos de Serviço do Elastic Cloud</a>. Seus dados pessoais serão tratados de acordo com a <a href="/pt/legal/privacy-statement">Declaração de Privacidade da Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/terms-of-use" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

Explore similar demos

Explore outras demonstrações semelhantes

Overview

Load More

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

O conteúdo desta página não está disponível no idioma selecionado. A Elastic está trabalhando para garantir que o conteúdo esteja disponível em vários idiomas.Agradecemos a compreensão.

Author

Articles by

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Consultar a hora de início do webinar no meu fuso horário

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Não vai conseguir participar? Inscreva-se e nós lhe enviaremos a gravação. Você também receberá um email com conteúdo relacionado.

Author

Articles by David French

Senior Security Research Engineer, Elastic

Como testar a visibilidade detecção do Okta com a Dorothy e o Elastic Security