Integrar o Okta ao Google SecOps

Este documento fornece orientações sobre como integrar o Okta ao Google Security Operations.

Casos de uso

A integração do Okta usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:

  • Gerenciar ciclos de vida do usuário: ative, desative ou redefina automaticamente as senhas dos usuários com base em alertas de segurança para reduzir riscos.

  • Encerrar sessões ativas: limpe instantaneamente todas as sessões ativas da Okta para contas comprometidas para evitar o acesso não autorizado em aplicativos integrados.

  • Automatizar atribuições de papéis: atribua ou remova dinamicamente papéis administrativos de usuários para manter o princípio de privilégio mínimo durante investigações.

  • Sincronizar indicadores de ameaças: envie indicadores de proteção contra ameaças de identidade (ITP, na sigla em inglês) para a Okta para compartilhar o contexto de risco e acionar respostas de segurança automatizadas.

  • Enriquecer o contexto de identidade: recupere perfis de usuário detalhados e associações a grupos para fornecer aos analistas uma visibilidade profunda da atividade da conta.

Antes de começar

Antes de configurar a integração no Google SecOps, verifique se você atende aos seguintes requisitos no ambiente do Okta:

  • Método de autenticação: determine se sua organização usa um token de API ou o OAuth 2.0 para autenticação:

    • Token de API: gere um token de API no Admin Console do Okta. Para mais detalhes, consulte a documentação do token da API Okta.
    • OAuth 2.0: registre um app de serviço no Okta para receber um Client ID, Key ID e Private Key e conceda ao app os escopos do OAuth 2.0 okta.users.read, okta.users.manage e okta.groups.read. Para mais detalhes, consulte a documentação do OAuth do Okta.

  • Permissões da conta: verifique se a conta ou o app de serviço OAuth tem permissões suficientes para visualizar grupos e realizar ações de gerenciamento de usuários e encerramento de sessões.

Parâmetros de integração

A integração do Okta requer os seguintes parâmetros:

Parâmetro Descrição
Api Root

Obrigatório.

O URL de base da sua instância do Okta, usado para acessar a API.

O valor padrão é https://{okta_domain}.com/.
Api Token

Opcional.

O token de API (SSWS) usado para autenticação com a instância do Okta.

Se Use Oauth Authentication estiver desativado, esse parâmetro será obrigatório.
Use Oauth Authentication

Obrigatório.

Se ativada, a integração usa o OAuth 2.0 para autenticação em vez de um token de API.

Ao usar o OAuth, Client ID, Key ID e Private Key são obrigatórios, e Api Token precisa ser deixado em branco.

Se desativado, Api Token é obrigatório.
Client ID

Opcional.

O identificador exclusivo do aplicativo OAuth da Okta.

Se Use Oauth Authentication estiver ativado, esse parâmetro será obrigatório.

Se você estiver autenticando com um token de API, deixe esse campo em branco.
Key ID

Opcional.

O ID da chave pública associada à chave privada usada para autenticação OAuth.

Se Use Oauth Authentication estiver ativado, esse parâmetro será obrigatório.

Se você estiver autenticando com um token de API, deixe esse campo em branco.
Private Key

Opcional.

A chave privada no formato PEM usada para autenticação OAuth.

Se Use Oauth Authentication estiver ativado, esse parâmetro será obrigatório.

Se você estiver autenticando com um token de API, deixe esse campo em branco.
Verify SSL

Opcional.

Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Okta.

Ativado por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Adicionar grupo

Adicione um grupo.

Parâmetros

Casos de uso

N/A

Corrida

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades

N/A

Insights

N/A

Atribuir função

Atribuir um papel a um usuário.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuários String N/A IDs de usuários no Okta.
Tipos de papel String N/A O tipo de função a ser atribuída aos usuários.
Também Correr ao Mirar Caixa de seleção Selecionado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
Papéis Retorna se existir no resultado JSON
Insights

N/A

Limpar sessão do usuário do Okta

Use a ação Limpar sessão do usuário do Okta para encerrar todas as sessões ativas do Okta para usuários específicos em todos os dispositivos e aplicativos integrados.

Essa ação é executada na entidade Username do Google SecOps.

Entradas da ação

A ação Limpar sessão do usuário do Okta requer os seguintes parâmetros:

Parâmetro Descrição
User IDs Or Logins

Opcional.

Uma lista separada por vírgulas de IDs de usuário ou identificadores de login do Okta.
Also Run On Scope

Opcional.

Se selecionada, a ação revoga as sessões ativas do provedor de identidade (IdP) para todos os usuários identificados no escopo da entidade, além daqueles explicitamente listados em User IDs Or Logins.

Saídas da ação

A ação Limpar sessão do usuário do Okta fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Limpar sessão do usuário do Okta pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully cleared sessions for the following users: ENTITY_IDS.

The sessions failed to clear for the following user in Okta: ENTITY_ID.

No users were found to clear sessions.

 A ação foi concluída.
Error executing action "Clear Okta User Session". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Limpar sessão do usuário do Okta:

Nome do resultado do script Valor
is_success true ou false

Desativar usuário

Desativa o usuário especificado.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuário ou logins String N/A IDs de usuários no Okta.
Desativado Caixa de seleção Selecionado Se o usuário deve ser desativado ou apenas suspenso.
Enviar e-mail se desativado Caixa de seleção Selecionado Se um e-mail deve ser enviado após a desativação ou não.
Também Correr ao Mirar Caixa de seleção Selecionado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
is_deactivate Se for True, o usuário está desativado. Caso contrário: False
is_send_email_deactivate Se for True, o usuário está desativado. Caso contrário: False
Insights

N/A

Ativar usuário

Ativa o usuário especificado.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuário ou logins String N/A IDs ou logins de usuários no Okta.
Está ativado Caixa de seleção Selecionado Se o usuário deve ser ativado ou apenas ter a suspensão cancelada.
Enviar e-mail se ativado Caixa de seleção Selecionado Se um e-mail deve ser enviado após a ativação ou não.
Também Correr ao Mirar Caixa de seleção Selecionado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
is_reactivate Se for True, o usuário está ativado. Caso contrário: False
is_send_email_reactivate Se for True, o usuário está desativado. Caso contrário: False
Insights

N/A

Get Group

Receber informações sobre um grupo.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs ou nomes de grupos String N/A IDs ou nomes de grupos no Okta.
É ID Caixa de seleção Selecionado Se o valor é um ID ou um nome.

Casos de uso

N/A

Corrida

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades

N/A

Insights

N/A

getUser

Receber informações sobre um usuário

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuário ou logins String N/A IDs ou logins (e-mail ou nome de e-mail curto) de um usuário no Okta, por exemplo: test@gmail.com ou simplesmente "test".
Também Correr ao Mirar Caixa de seleção Selecionado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultado da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
[
  {
    "status": "ACTIVE",
    "profile": {
      "mobilePhone": null,
      "firstName": "Test",
      "lastName": "User",
      "secondEmail": null,
      "login": "test.user@asd.com",
      "email": "test.user@asd.com"
    },
    "passwordChanged": "2022-07-11T06:11:25.000Z",
    "created": "2022-07-11T06:07:55.000Z",
    "activated": null,
    "lastUpdated": "2022-07-11T06:11:25.000Z",
    "_links": {
      "schema": {
        "href": "https://trial-0000.okta.com/api/v1/meta/schemas/user/osc1xxxxxxxx"
      },
      "suspend": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/suspend",
        "method": "POST"
      },
      "forgotPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/forgot_password",
        "method": "POST"
      },
      "self": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "expirePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/expire_password",
        "method": "POST"
      },
      "resetFactors": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_factors",
        "method": "POST"
      },
      "deactivate": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/deactivate",
        "method": "POST"
      },
      "changePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_password",
        "method": "POST"
      },
      "changeRecoveryQuestion": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_recovery_question",
        "method": "POST"
      },
      "type": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "resetPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_password",
        "method": "POST"
      }
    },
    "lastLogin": "2022-07-11T06:15:14.000Z",
    "credentials": {
      "password": {},
      "provider": {
        "type": "OKTA",
        "name": "OKTA"
      }
    },
    "type": {
      "id": "oty1xxxxxxxxxxxxx"
    },
    "id": "oty1xxxxxxxxxxxxx",
    "statusChanged": "2022-07-11T06:11:25.000Z"
  }
]
Enriquecimento de entidades

N/A

Insights

N/A

Listar provedores

Listar provedores de identidade (IdPs) na sua organização.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
Consulta String N/A Pesquise a propriedade de nome para encontrar uma correspondência.
Tipo Caixa de seleção Selecionado Filtrar por tipo.
Limite String 20 Quantidade máxima de resultados a serem retornados.

Casos de uso

N/A

Corrida

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades

N/A

Insights

N/A

Listar papéis

Lista todas as funções atribuídas a um usuário.

Parâmetros

IDs de usuários String N/A IDs de usuários no Okta.
Também Correr ao Mirar Caixa de seleção Selecionado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades

N/A

Insights

N/A

Listar grupos de usuários

Receba os grupos de que o usuário é membro.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuário ou logins String N/A IDs ou logins de usuários no Okta.
Também Correr ao Mirar Caixa de seleção Selecionado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
perfil Retorna se existir no resultado JSON
nome Retorna se existir no resultado JSON
Insights

N/A

Listar usuários

Acesse a lista de usuários.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
Consulta String N/A Pesquise uma correspondência no nome, sobrenome ou e-mail.
Filtro String N/A Consulta de pesquisa personalizada para um subconjunto de propriedades.
Pesquisar String N/A Consulta de pesquisa personalizada para a maioria das propriedades.
Limite String 200 Quantidade máxima de resultados a serem retornados.

Casos de uso

N/A

Corrida

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
perfil Retorna se existir no resultado JSON
nome Retorna se existir no resultado JSON
Insights

N/A

Ping

Teste a conexão com o Okta.

Parâmetros

N/A

Casos de uso

N/A

Corrida

Essa ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades

N/A

Insights

N/A

Redefinir senha

Gere um token único que pode ser usado para redefinir a senha de um usuário.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuário ou logins String N/A IDs ou logins de usuários no Okta.
Enviar e-mail Caixa de seleção Desmarcado Se um e-mail deve ser enviado para a redefinição de senha ou se o token deve ser retornado para cada usuário.
Também Correr ao Mirar Caixa de seleção Desmarcado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
send_email Retorna se existir no resultado JSON
Insights

N/A

Definir senha

Definir a senha de um usuário sem validar as credenciais atuais.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuário ou logins String N/A IDs ou logins de usuários no Okta.
Nova senha String N/A A nova senha.
Adicionar 10 caracteres aleatórios Caixa de seleção Desmarcado Se caracteres extras devem ser adicionados a todas as senhas de usuário ou não.
Também Correr ao Mirar Caixa de seleção Desmarcado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
set_password Retorna se existir no resultado JSON
Insights

N/A

Enviar indicador de ITP

Distribua indicadores de proteção contra ameaças de identidade (ITP, na sigla em inglês) para consumidores relevantes usando o Shared Signals Framework (SSF).

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
ID da chave String N/A O ID da chave pública usada para verificar a assinatura da chave privada.
String de chave privada Senha N/A A chave privada usada para assinar o indicador.

A chave é fornecida em um formato de string e inclui as instruções "BEGIN" e "END".
E-mail do usuário Endereço de correspondência N/A O endereço de e-mail do usuário afetado.
Carimbo de data/hora timestamp N/A O carimbo de data/hora da ocorrência do indicador.

O formato do carimbo de data/hora é ISO 8601.
Motivo String N/A Uma breve descrição explicando por que o indicador foi gerado.
Gravidade String ou DDL N/A O nível de gravidade do indicador.
URL do emissor URL N/A O sistema de origem que criou o indicador.

Resultados da ação

Resultado do JSON
{
   "status":200,
   "payload":{
      "iss":"https://www.google.com/",
      "jti":"3c5fbf0c-3977-11f0-a195-7e498c84a3dd",
      "iat":1748184472,
      "aud":"https://<your-okta-domain>.oktapreview.com",
      "events":{
         "https://schemas.okta.com/secevent/okta/event-type/user-risk-change":{
            "subject":{
               "user":{
                  "format":"email",
                  "email":"user@domain.net"
               }
            },
            "current_level":"medium",
            "previous_level":"low",
            "reason_admin":{
               "en":"BadNavigationEvent"
            },
            "event_timestamp":1742199770057
         }
      }
   }
}
Mensagens de saída
Mensagem de resposta Descrição da mensagem

Successfully sent the ITP signal to Okta.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 A ação foi concluída.
Failed to send the ITP signal to Okta. Error is {0}".format(exception.stacktrace)

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script
Nome do resultado do script Opções de valor
is_success True ou False

Desfazer atribuição de função

Cancelar a atribuição de uma função de um usuário.

Parâmetros

Nome do parâmetro Tipo Valor padrão Descrição
IDs de usuários String N/A IDs de usuários no Okta.
IDs ou nomes de papéis String N/A IDs ou nomes de funções no Okta.
Também Correr ao Mirar Caixa de seleção Desmarcado Se a execução deve ser feita em entidades e na entrada.

Casos de uso

N/A

Corrida

Essa ação é executada nas seguintes entidades:

  • Usuário
  • Nome do host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
ScriptResult N/A N/A
Resultado do JSON
N/A
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
unassign_role Retorna se existir no resultado JSON
Insights

N/A

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.