Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

AN0339 (DET0120, T1531) cites a non-existent Okta System Log event type

Chiusa Adatta ai principianti
  • Qualcosa non va?
#76 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
75/100
Tipo di issue
Documentazione
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
python
Ambito
documentation, security

Direzione di ricerca

L'issue fa riferimento all'analitica AN0339 nella strategia di rilevamento DET0120. Per prima cosa, individuare il file di dati STIX pertinente che fa riferimento a questa analitica e ai tipi di evento Okta. Controllare il catalogo dei tipi di evento Okta per confermare i nomi degli eventi corretti. Aggiornare la citazione per utilizzare user.lifecycle.deactivate e user.lifecycle.delete.completed invece del user.lifecycle.delete inesistente. Verificare che la modifica sia allineata con la descrizione della tecnica ATT&CK T1531.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

While building a field-presence reference for Okta's System Log ahead of a detection project, I cross-checked the Okta-specific analytic under Detection Strategy DET0120 (T1531, Account Access Removal) against Okta's own primary documentation and found a citation error.

Analytic AN0339 (https://attack.mitre.org/detectionstrategies/DET0120/) reads:

Deletion or disablement of user accounts in platforms like Okta, Salesforce, or Zoom with anomalies in admin session attributes or mass actions within short duration.

Log source cited: User Account Modification (DC0010) via saas:okta with event types user.lifecycle.delete, user.account.lock.

user.lifecycle.delete does not exist as an Okta System Log event type. Checked directly against Okta's own event-types catalog (https://developer.okta.com/docs/reference/api/event-types/) and the management OpenAPI spec. The real, closed event types are:

  • user.lifecycle.deactivate — "Deactivate Okta user."
  • user.lifecycle.delete.completed — the actual completion event for a user deletion.

Separately, user.account.lock is real but likely the wrong event for this technique: its own documented description is "Auto-lock user account for Okta" — an automated security-policy lockout (e.g. repeated bad passwords), not a deliberate admin- or adversary-initiated account disablement, which is what T1531 describes. user.lifecycle.deactivate and/or user.lifecycle.delete.completed look like the semantically correct pairing for this technique; user.account.lock describes a different, benign-by-default event.

Happy to provide more detail if useful. Found this while researching Okta as a telemetry source for an AI-SOC detection pipeline, cross-checking every cited vendor field against primary docs rather than trusting a secondary description — this is the one place that check didn't hold up.

Lingua principale
Python
Stelle
701
Fork
150
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di mitre-attack/attack-stix-data

Tutte le issue di mitre-attack/attack-stix-data

Issue simili

Altre issue su Python

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.