Integra Okta con Google SecOps

Questo documento fornisce indicazioni su come integrare Okta con Google Security Operations.

Casi d'uso

L'integrazione di Okta utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Gestisci i cicli di vita degli utenti: attiva, disattiva o reimposta automaticamente le password degli utenti in base agli avvisi di sicurezza per mitigare i rischi.

  • Termina le sessioni attive: cancella immediatamente tutte le sessioni Okta attive per gli account compromessi per impedire l'accesso non autorizzato alle applicazioni integrate.

  • Automatizza le assegnazioni dei ruoli: assegna o annulla l'assegnazione dei ruoli amministrativi agli utenti in modo dinamico per mantenere il principio del privilegio minimo durante le indagini.

  • Sincronizza gli indicatori di minaccia: invia gli indicatori di Identity Threat Protection (ITP) a Okta per condividere il contesto di rischio e attivare risposte di sicurezza automatizzate.

  • Arricchisci il contesto dell'identità: recupera profili utente dettagliati e appartenenze ai gruppi per fornire agli analisti una visibilità approfondita sull'attività dell'account.

Prima di iniziare

Prima di configurare l'integrazione in Google SecOps, verifica che nel tuo ambiente Okta siano soddisfatti i seguenti requisiti:

  • Metodo di autenticazione: determina se la tua organizzazione utilizza un token API (SSWS) o OAuth 2.0 per l'autenticazione.

  • Autorizzazioni dell'account: verifica che l'account disponga di autorizzazioni sufficienti per eseguire azioni di gestione degli utenti e di interruzione della sessione.

Parametri di integrazione

L'integrazione di Okta richiede i seguenti parametri:

Parametro Descrizione
Api Root

Obbligatorio.

L'URL di base dell'istanza Okta, utilizzato per accedere all'API.

Il valore predefinito è https://{okta_domain}.com/.
Api Token

Facoltativo.

Il token API (SSWS) utilizzato per l'autenticazione con l'istanza Okta.

Se Use Oauth Authentication è disattivato, questo parametro è obbligatorio.
Use Oauth Authentication

Obbligatorio.

Se abilitata, l'integrazione utilizza OAuth 2.0 per l'autenticazione anziché un token API.

Quando utilizzi OAuth, Client ID, Key ID e Private Key sono obbligatori, mentre Api Token deve essere lasciato vuoto.

Se l'opzione è disattivata, Api Token è obbligatorio.
Client ID

Facoltativo.

L'identificatore univoco dell'applicazione Okta OAuth.

Se Use Oauth Authentication è abilitato, questo parametro è obbligatorio.

Se l'autenticazione avviene tramite un token API, lascia vuoto questo campo.
Key ID

Facoltativo.

L'ID della chiave pubblica associata alla chiave privata utilizzata per l'autenticazione OAuth.

Se Use Oauth Authentication è abilitato, questo parametro è obbligatorio.

Se l'autenticazione avviene tramite un token API, lascia vuoto questo campo.
Private Key

Facoltativo.

La chiave privata in formato PEM utilizzata per l'autenticazione OAuth.

Se Use Oauth Authentication è abilitato, questo parametro è obbligatorio.

Se l'autenticazione avviene tramite un token API, lascia vuoto questo campo.
Verify SSL

Facoltativo.

Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Okta.

Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Aggiungi gruppo

Aggiungi un gruppo.

Parametri

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità

N/D

Insight

N/D

Assegna ruolo

Assegna un ruolo a un utente.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente Stringa N/D ID degli utenti in Okta.
Tipi di ruolo Stringa N/D Il tipo di ruolo da assegnare agli utenti.
Esegui anche su ambito Casella di controllo Selezionata Indica se l'esecuzione deve avvenire sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
Ruoli Restituisce se esiste nel risultato JSON
Insight

N/D

Cancella sessione utente Okta

Utilizza l'azione Cancella sessione utente Okta per terminare tutte le sessioni Okta attive per utenti specifici su tutti i dispositivi e le applicazioni integrate.

Questa azione viene eseguita sull'entità Google SecOps Username.

Input azione

L'azione Cancella sessione utente Okta richiede i seguenti parametri:

Parametro Descrizione
User IDs Or Logins

Facoltativo.

Un elenco separato da virgole di ID utente o identificatori di accesso Okta.
Also Run On Scope

Facoltativo.

Se selezionata, l'azione revoca le sessioni attive del provider di identità (IdP) per tutti gli utenti identificati nell'ambito dell'entità, oltre a quelli elencati esplicitamente in User IDs Or Logins.

Output azione

L'azione Cancella sessione utente Okta fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

L'azione Cancella sessione utente Okta può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully cleared sessions for the following users: ENTITY_IDS.

The sessions failed to clear for the following user in Okta: ENTITY_ID.

No users were found to clear sessions.

 L'azione è andata a buon fine.
Error executing action "Clear Okta User Session". Reason: ERROR_REASON

L'azione non è andata a buon fine.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Cancella sessione utente Okta:

Nome del risultato dello script Valore
is_success true o false

Disabilita utente

Disattiva l'utente specificato.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente o dati di accesso Stringa N/D ID degli utenti in Okta.
Is Deactivate Casella di controllo Selezionata Indica se disattivare o solo sospendere l'utente.
Invia email se disattivato Casella di controllo Selezionata Indica se inviare o meno un'email dopo la disattivazione.
Esegui anche su ambito Casella di controllo Selezionata Indica se l'esecuzione deve avvenire sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
is_deactivate Se è impostato su True, l'utente è disattivato. Altrimenti: False
is_send_email_deactivate Se è impostato su True, l'utente è disattivato. Altrimenti: False
Insight

N/D

Abilita utente

Abilita l'utente specificato.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente o dati di accesso Stringa N/D ID o dati di accesso degli utenti in Okta.
È attivo Casella di controllo Selezionata Se attivare l'utente o semplicemente annullarne la sospensione.
Invia email se attivato Casella di controllo Selezionata Indica se inviare o meno un'email dopo l'attivazione.
Esegui anche su ambito Casella di controllo Selezionata Indica se l'esecuzione deve avvenire sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
is_reactivate Se è True, l'utente è abilitato. Altrimenti: False
is_send_email_reactivate Se è impostato su True, l'utente è disattivato. Altrimenti: False
Insight

N/D

Get Group

Recupera informazioni su un gruppo.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID o nomi dei gruppi Stringa N/D ID o nomi dei gruppi in Okta.
Is Id Casella di controllo Selezionata Se il valore è un ID o un nome.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità

N/D

Insight

N/D

Ottieni utente

Ottenere informazioni su un utente

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente o dati di accesso Stringa N/D ID o dati di accesso (indirizzo email o nome email breve) di un utente in Okta, ad esempio test@gmail.com o semplicemente "test".
Esegui anche su ambito Casella di controllo Selezionata Indica se l'esecuzione deve avvenire sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultato dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
[
  {
    "status": "ACTIVE",
    "profile": {
      "mobilePhone": null,
      "firstName": "Test",
      "lastName": "User",
      "secondEmail": null,
      "login": "test.user@asd.com",
      "email": "test.user@asd.com"
    },
    "passwordChanged": "2022-07-11T06:11:25.000Z",
    "created": "2022-07-11T06:07:55.000Z",
    "activated": null,
    "lastUpdated": "2022-07-11T06:11:25.000Z",
    "_links": {
      "schema": {
        "href": "https://trial-0000.okta.com/api/v1/meta/schemas/user/osc1xxxxxxxx"
      },
      "suspend": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/suspend",
        "method": "POST"
      },
      "forgotPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/forgot_password",
        "method": "POST"
      },
      "self": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "expirePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/expire_password",
        "method": "POST"
      },
      "resetFactors": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_factors",
        "method": "POST"
      },
      "deactivate": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/deactivate",
        "method": "POST"
      },
      "changePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_password",
        "method": "POST"
      },
      "changeRecoveryQuestion": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_recovery_question",
        "method": "POST"
      },
      "type": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "resetPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_password",
        "method": "POST"
      }
    },
    "lastLogin": "2022-07-11T06:15:14.000Z",
    "credentials": {
      "password": {},
      "provider": {
        "type": "OKTA",
        "name": "OKTA"
      }
    },
    "type": {
      "id": "oty1xxxxxxxxxxxxx"
    },
    "id": "oty1xxxxxxxxxxxxx",
    "statusChanged": "2022-07-11T06:11:25.000Z"
  }
]
Arricchimento delle entità

N/D

Insight

N/D

Elenca provider

Elenca i provider di identità (IdP) della tua organizzazione.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
Query Stringa N/D Cerca una corrispondenza nella proprietà name.
Tipo Casella di controllo Selezionata Filtra per tipo.
Limite Stringa 20 Numero massimo di risultati da restituire.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità

N/D

Insight

N/D

Elenco dei ruoli

Elenca tutti i ruoli assegnati a un utente.

Parametri

ID utente Stringa N/D ID degli utenti in Okta.
Esegui anche su ambito Casella di controllo Selezionata Indica se l'esecuzione deve avvenire sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità

N/D

Insight

N/D

Elenca gruppi di utenti

Recupera i gruppi di cui l'utente è membro.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente o dati di accesso Stringa N/D ID o dati di accesso degli utenti in Okta.
Esegui anche su ambito Casella di controllo Selezionata Indica se l'esecuzione deve avvenire sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
profilo Restituisce se esiste nel risultato JSON
nome Restituisce se esiste nel risultato JSON
Insight

N/D

Elenco utenti

Recupera l'elenco degli utenti.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
Query Stringa N/D Cerca una corrispondenza nel nome, nel cognome o nell'indirizzo email.
Filtro Stringa N/D Query di ricerca personalizzata per un sottoinsieme di proprietà.
Cerca Stringa N/D Query di ricerca personalizzata per la maggior parte delle proprietà.
Limite Stringa 200 Numero massimo di risultati da restituire.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
profilo Restituisce se esiste nel risultato JSON
nome Restituisce se esiste nel risultato JSON
Insight

N/D

Dindin

Testa la connessione con Okta.

Parametri

N/D

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità

N/D

Insight

N/D

Reimposta password

Genera un token monouso che può essere utilizzato per reimpostare la password di un utente.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente o dati di accesso Stringa N/D ID o dati di accesso degli utenti in Okta.
Invia email Casella di controllo Deselezionata Indica se inviare un'email per la reimpostazione della password o restituire il token per ogni utente.
Esegui anche su ambito Casella di controllo Deselezionata Se eseguire l'operazione sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
send_email Restituisce se esiste nel risultato JSON
Insight

N/D

Imposta password

Imposta la password di un utente senza convalidare le credenziali esistenti.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente o dati di accesso Stringa N/D ID o dati di accesso degli utenti in Okta.
Nuova password Stringa N/D La nuova password.
Aggiungi 10 caratteri casuali Casella di controllo Deselezionata Se aggiungere o meno caratteri aggiuntivi a ogni password utente.
Esegui anche su ambito Casella di controllo Deselezionata Se eseguire l'operazione sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
set_password Restituisce se esiste nel risultato JSON
Insight

N/D

Invia indicatore ITP

Distribuisci gli indicatori di Identity Threat Protection (ITP) ai consumatori pertinenti utilizzando il framework degli indicatori condivisi (SSF).

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID chiave Stringa N/D L'ID della chiave pubblica utilizzata per verificare la firma della chiave privata.
Stringa della chiave privata Password N/D La chiave privata utilizzata per firmare l'indicatore.

La chiave viene fornita in un formato stringa e include le istruzioni "BEGIN" ed "END".
Indirizzo email dell'utente Indirizzo postale N/D L'indirizzo email dell'utente interessato.
Timestamp timestamp N/D Il timestamp dell'occorrenza dell'indicatore.

Il formato del timestamp è ISO 8601.
Motivo Stringa N/D Una breve descrizione che spiega il motivo per cui è stato generato l'indicatore.
Gravità Stringa o DDL N/D Il livello di gravità dell'indicatore.
URL emittente URL N/D Il sistema di origine che ha creato l'indicatore.

Risultati dell'azione

Risultato JSON
{
   "status":200,
   "payload":{
      "iss":"https://www.google.com/",
      "jti":"3c5fbf0c-3977-11f0-a195-7e498c84a3dd",
      "iat":1748184472,
      "aud":"https://<your-okta-domain>.oktapreview.com",
      "events":{
         "https://schemas.okta.com/secevent/okta/event-type/user-risk-change":{
            "subject":{
               "user":{
                  "format":"email",
                  "email":"user@domain.net"
               }
            },
            "current_level":"medium",
            "previous_level":"low",
            "reason_admin":{
               "en":"BadNavigationEvent"
            },
            "event_timestamp":1742199770057
         }
      }
   }
}
Messaggi di output
Messaggio di output Descrizione del messaggio

Successfully sent the ITP signal to Okta.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 L'azione è andata a buon fine.
Failed to send the ITP signal to Okta. Error is {0}".format(exception.stacktrace)

L'azione non è andata a buon fine.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato script
Nome del risultato dello script Opzioni del valore
is_success True o False

Annullamento assegnazione ruolo

Annulla l'assegnazione di un ruolo a un utente.

Parametri

Nome parametro Tipo Valore predefinito Descrizione
ID utente Stringa N/D ID degli utenti in Okta.
ID o nomi dei ruoli Stringa N/D ID o nomi dei ruoli in Okta.
Esegui anche su ambito Casella di controllo Deselezionata Se eseguire l'operazione sulle entità e sull'input.

Casi d'uso

N/D

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Utente
  • Nome host

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
ScriptResult N/D N/D
Risultato JSON
N/A
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
unassign_role Restituisce se esiste nel risultato JSON
Insight

N/D

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.