Integra Okta con Google SecOps

En este documento, se proporcionan instrucciones para integrar Okta en Google Security Operations.

Casos de uso

La integración de Okta usa las capacidades de Google SecOps para admitir los siguientes casos de uso:

  • Administra los ciclos de vida de los usuarios: Habilita, inhabilita o restablece automáticamente las contraseñas de los usuarios en función de las alertas de seguridad para mitigar el riesgo.

  • Finaliza las sesiones activas: Borra de forma instantánea todas las sesiones activas de Okta para las cuentas hackeadas para evitar el acceso no autorizado en las aplicaciones integradas.

  • Automatiza las asignaciones de roles: Asigna o anula la asignación de roles administrativos a los usuarios de forma dinámica para mantener el principio de privilegio mínimo durante las investigaciones.

  • Sincroniza los indicadores de amenazas: Envía indicadores de Identity Threat Protection (ITP) a Okta para compartir el contexto de riesgo y activar respuestas de seguridad automatizadas.

  • Enriquece el contexto de identidad: Recupera perfiles de usuario y membresías de grupos detallados para proporcionar a los analistas una visibilidad profunda de la actividad de la cuenta.

Antes de comenzar

Antes de configurar la integración en Google SecOps, verifica que cumplas con los siguientes requisitos en tu entorno de Okta:

  • Método de autenticación: Determina si tu organización usa un token de API o OAuth 2.0 para la autenticación:

    • Token de API: Genera un token de API en la Consola del administrador de Okta. Para obtener más información, consulta la documentación del token de la API de Okta.
    • OAuth 2.0: Registra una app de servicio en Okta para obtener un Client ID, Key ID y Private Key, y otorgarle a la app los permisos de OAuth 2.0 okta.users.read, okta.users.manage y okta.groups.read. Para obtener más detalles, consulta la documentación de OAuth de Okta.

  • Permisos de la cuenta: Verifica que la cuenta o la app de servicio de OAuth tengan permisos suficientes para ver grupos y realizar acciones de administración de usuarios y finalización de sesiones.

Parámetros de integración

La integración de Okta requiere los siguientes parámetros:

Parámetro Descripción
Api Root

Obligatorio.

Es la URL base de tu instancia de Okta, que se usa para acceder a la API.

El valor predeterminado es https://{okta_domain}.com/.
Api Token

Es opcional.

Es el token de la API (SSWS) que se usa para la autenticación con la instancia de Okta.

Si Use Oauth Authentication está inhabilitado, este parámetro es obligatorio.
Use Oauth Authentication

Obligatorio.

Si está habilitada, la integración usa OAuth 2.0 para la autenticación en lugar de un token de API.

Cuando se usa OAuth, Client ID, Key ID y Private Key son obligatorios, y Api Token debe dejarse en blanco.

Si se inhabilita, Api Token es obligatorio.
Client ID

Es opcional.

Es el identificador único de la aplicación de OAuth de Okta.

Si Use Oauth Authentication está habilitado, este parámetro es obligatorio.

Si te autenticas con un token de API, deja este campo en blanco.
Key ID

Es opcional.

Es el ID de la clave pública asociada con la clave privada que se usa para la autenticación de OAuth.

Si Use Oauth Authentication está habilitado, este parámetro es obligatorio.

Si te autenticas con un token de API, deja este campo en blanco.
Private Key

Es opcional.

Es la clave privada en formato PEM que se usa para la autenticación de OAuth.

Si Use Oauth Authentication está habilitado, este parámetro es obligatorio.

Si te autenticas con un token de API, deja este campo en blanco.
Verify SSL

Es opcional.

Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Okta.

Habilitada de forma predeterminada.

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Agregar grupo

Agrega un grupo.

Parámetros

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Asignar rol

Asignar un rol a un usuario

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario String N/A Son los IDs de los usuarios en Okta.
Tipos de roles String N/A Es el tipo de rol que se asignará a los usuarios.
También se ejecuta en el alcance Casilla de verificación Marcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
Funciones Devuelve si existe en el resultado JSON
Estadísticas

N/A

Borra la sesión del usuario de Okta

Usa la acción Borrar sesión de usuario de Okta para finalizar todas las sesiones activas de Okta de usuarios específicos en todos los dispositivos y las aplicaciones integradas.

Esta acción se ejecuta en la entidad Username de Google SecOps.

Entradas de acción

La acción Borrar sesión del usuario de Okta requiere los siguientes parámetros:

Parámetro Descripción
User IDs Or Logins

Es opcional.

Es una lista separada por comas de IDs de usuario o identificadores de acceso de Okta.
Also Run On Scope

Es opcional.

Si se selecciona, la acción revoca las sesiones activas del proveedor de identidad (IdP) para todos los usuarios identificados en el permiso de la entidad, además de los que se indican explícitamente en User IDs Or Logins.

Resultados de la acción

La acción Borrar sesión del usuario de Okta proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

La acción Borrar sesión del usuario de Okta puede devolver los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully cleared sessions for the following users: ENTITY_IDS.

The sessions failed to clear for the following user in Okta: ENTITY_ID.

No users were found to clear sessions.

 La acción se realizó correctamente.
Error executing action "Clear Okta User Session". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Borrar la sesión del usuario de Okta:

Nombre del resultado de la secuencia de comandos Valor
is_success true o false

Inhabilitar usuario

Inhabilita al usuario especificado.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario o accesos String N/A Son los IDs de los usuarios en Okta.
Is Deactivate Casilla de verificación Marcado Indica si se debe desactivar o solo suspender al usuario.
Enviar correo electrónico si se desactiva Casilla de verificación Marcado Indica si se debe enviar un correo electrónico después de la desactivación o no.
También se ejecuta en el alcance Casilla de verificación Marcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
is_deactivate Si es True, el usuario está inhabilitado. De lo contrario, es falso.
is_send_email_deactivate Si es True, el usuario está inhabilitado. De lo contrario, es falso.
Estadísticas

N/A

Habilitar usuario

Habilita el usuario especificado.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario o accesos String N/A Son los IDs o los accesos de los usuarios en Okta.
Is Activate Casilla de verificación Marcado Indica si se debe activar al usuario o solo anular la suspensión.
Enviar correo electrónico si se activa Casilla de verificación Marcado Indica si se debe enviar un correo electrónico después de la activación.
También se ejecuta en el alcance Casilla de verificación Marcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
is_reactivate Si es True, el usuario está habilitado. De lo contrario, es falso.
is_send_email_reactivate Si es True, el usuario está inhabilitado. De lo contrario, es falso.
Estadísticas

N/A

Obtener grupo

Obtén información sobre un grupo.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs o nombres de los grupos String N/A Son los IDs o nombres de los grupos en Okta.
Is Id Casilla de verificación Marcado Indica si el valor es un ID o un nombre.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Obtener usuario

Obtén información sobre un usuario

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario o accesos String N/A Son los IDs o los accesos (correo electrónico o nombre de correo electrónico corto) de un usuario en Okta, por ejemplo: test@gmail.com o simplemente "test".
También se ejecuta en el alcance Casilla de verificación Marcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultado de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
[
  {
    "status": "ACTIVE",
    "profile": {
      "mobilePhone": null,
      "firstName": "Test",
      "lastName": "User",
      "secondEmail": null,
      "login": "test.user@asd.com",
      "email": "test.user@asd.com"
    },
    "passwordChanged": "2022-07-11T06:11:25.000Z",
    "created": "2022-07-11T06:07:55.000Z",
    "activated": null,
    "lastUpdated": "2022-07-11T06:11:25.000Z",
    "_links": {
      "schema": {
        "href": "https://trial-0000.okta.com/api/v1/meta/schemas/user/osc1xxxxxxxx"
      },
      "suspend": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/suspend",
        "method": "POST"
      },
      "forgotPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/forgot_password",
        "method": "POST"
      },
      "self": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "expirePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/expire_password",
        "method": "POST"
      },
      "resetFactors": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_factors",
        "method": "POST"
      },
      "deactivate": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/deactivate",
        "method": "POST"
      },
      "changePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_password",
        "method": "POST"
      },
      "changeRecoveryQuestion": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_recovery_question",
        "method": "POST"
      },
      "type": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "resetPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_password",
        "method": "POST"
      }
    },
    "lastLogin": "2022-07-11T06:15:14.000Z",
    "credentials": {
      "password": {},
      "provider": {
        "type": "OKTA",
        "name": "OKTA"
      }
    },
    "type": {
      "id": "oty1xxxxxxxxxxxxx"
    },
    "id": "oty1xxxxxxxxxxxxx",
    "statusChanged": "2022-07-11T06:11:25.000Z"
  }
]
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Enumerar proveedores

Enumera los proveedores de identidad (IdP) de tu organización.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
Consulta String N/A Busca una coincidencia en la propiedad de nombre.
Tipo Casilla de verificación Marcado Filtrar por tipo.
Límite String 20 Es la cantidad máxima de resultados que se devolverán.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Enumera roles

Enumera todos los roles asignados a un usuario.

Parámetros

IDs de usuario String N/A Son los IDs de los usuarios en Okta.
También se ejecuta en el alcance Casilla de verificación Marcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Enumera los grupos de usuarios

Obtener los grupos de los que el usuario es miembro

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario o accesos String N/A Son los IDs o los accesos de los usuarios en Okta.
También se ejecuta en el alcance Casilla de verificación Marcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
perfil Devuelve si existe en el resultado JSON
nombre Devuelve si existe en el resultado JSON
Estadísticas

N/A

Enumerar usuarios

Obtén la lista de usuarios.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
Consulta String N/A Busca una coincidencia en el nombre, el apellido o el correo electrónico.
Filtro String N/A Es una búsqueda personalizada para un subconjunto de propiedades.
Buscar String N/A Búsqueda personalizada para la mayoría de las propiedades.
Límite String 200 Es la cantidad máxima de resultados que se devolverán.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
perfil Devuelve si existe en el resultado JSON
nombre Devuelve si existe en el resultado JSON
Estadísticas

N/A

Ping

Prueba la conexión con Okta.

Parámetros

N/A

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Restablecer contraseña

Genera un token de un solo uso que se puede usar para restablecer la contraseña de un usuario.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario o accesos String N/A Son los IDs o los accesos de los usuarios en Okta.
Enviar correo electrónico Casilla de verificación Desmarcado Indica si se debe enviar un correo electrónico para restablecer la contraseña o devolver el token para cada usuario.
También se ejecuta en el alcance Casilla de verificación Desmarcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
send_email Devuelve si existe en el resultado JSON
Estadísticas

N/A

Establecer contraseña

Establecer la contraseña de un usuario sin validar las credenciales existentes.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario o accesos String N/A Son los IDs o los accesos de los usuarios en Okta.
Nueva contraseña String N/A La contraseña nueva.
Agregar 10 caracteres aleatorios Casilla de verificación Desmarcado Indica si se deben agregar caracteres adicionales a la contraseña de cada usuario o no.
También se ejecuta en el alcance Casilla de verificación Desmarcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
set_password Devuelve si existe en el resultado JSON
Estadísticas

N/A

Envía un indicador de ITP

Distribuye los indicadores de Identity Threat Protection (ITP) a los consumidores pertinentes con Shared Signals Framework (SSF).

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
ID de clave String N/A Es el ID de la clave pública que se usa para verificar la firma de la clave privada.
Cadena de clave privada Contraseña N/A Es la clave privada que se usa para firmar el indicador.

La clave se proporciona en un formato de cadena y, además, incluye las declaraciones "BEGIN" y "END".
Correo electrónico del usuario Dirección de correo postal N/A La dirección de correo electrónico del usuario afectado.
Marca de tiempo timestamp N/A Es la marca de tiempo de la ocurrencia del indicador.

El formato de la marca de tiempo es ISO 8601.
Motivo String N/A Es una descripción breve que explica por qué se generó el indicador.
Gravedad String o DDL N/A Es el nivel de gravedad de la señal.
URL del emisor URL N/A Es el sistema de origen que creó el indicador.

Resultados de la acción

Resultado de JSON
{
   "status":200,
   "payload":{
      "iss":"https://www.google.com/",
      "jti":"3c5fbf0c-3977-11f0-a195-7e498c84a3dd",
      "iat":1748184472,
      "aud":"https://<your-okta-domain>.oktapreview.com",
      "events":{
         "https://schemas.okta.com/secevent/okta/event-type/user-risk-change":{
            "subject":{
               "user":{
                  "format":"email",
                  "email":"user@domain.net"
               }
            },
            "current_level":"medium",
            "previous_level":"low",
            "reason_admin":{
               "en":"BadNavigationEvent"
            },
            "event_timestamp":1742199770057
         }
      }
   }
}
Mensajes de salida
Mensaje de salida Descripción del mensaje

Successfully sent the ITP signal to Okta.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 La acción se realizó correctamente.
Failed to send the ITP signal to Okta. Error is {0}".format(exception.stacktrace)

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success True o False

Anular la asignación de la función

Anula la asignación de un rol a un usuario.

Parámetros

Nombre del parámetro Tipo Valor predeterminado Descripción
IDs de usuario String N/A Son los IDs de los usuarios en Okta.
IDs o nombres de roles String N/A Son los IDs o nombres de los roles en Okta.
También se ejecuta en el alcance Casilla de verificación Desmarcado Indica si se debe ejecutar en las entidades y en la entrada.

Casos de uso

N/A

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Usuario
  • Nombre de host

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
ScriptResult N/A N/A
Resultado de JSON
N/A
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
unassign_role Devuelve si existe en el resultado JSON
Estadísticas

N/A

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.