Risk Scoring

Okta 공식문서

Risk Scoring

필요 라이선스

• Adaptive Single Sign On

• Adaptive MFA License

1. Risk Score란?

• Risk Score는 데이터 기반 위험 엔진을 사용하여 로그인 이벤트가 악의적인 활동을 나타낼 가능성을 평가해줍니다.

• 예를 들어 '높음' 위험으로 식별되는 경우 접근을 허용하기 전에 추가 인증을 요구하도록 정책을 구성할 수 있습니다.

• 위험 엔진은 모든 새로운 사용자 로그인 시도를 자동으로 '높은' 위험도 이벤트로 식별합니다. 이후 로그인 시도가 성공할 때마다 위험 엔진은 사용자의 로그인 활동 및 패턴에 대한 자세한 정보를 수집하고 이 기준과 비교하여 로그인 시도를 평가합니다.

• Okta는 아래 정보를 기반으로 로그인 시도의 위험 등급을 할당하고 위험 수준에 따라 정책을 구성 가능합니다.

  1. 로그인 요청에 사용된 IP 주소

  2. 로그인 요청을 한 사용자에 대한 행동 정보

  3. 이전에 성공한 로그인 시도 및 실패한 로그인 시도

  4. 요청과 관련된 라우팅 정보

---

2. 시스템 로그 이벤트 안에 위험 관련 정보

• 시스템 로그 이벤트는 각 인증 시도에 대해 위험 수준이 어떻게 결정됐는지에 대한 정보를 기록합니다.

Behaviors에 New Device=POSITIVE를 보면 사용자가 이전에 사용하던 디바이스가 아닌 다른 디바이스로 로그인 시도를 했다는 것을 알 수 있습니다.

Risk 수준이 '중간'인데도 ThreatSuspected가 'fales'인 것을 알 수 있습니다. 이 로그인 시도가 잠재적으로 악의적인 활동으로 의심되는 IP 주소에서 발생한 것이라면 ThreatSuspected가 'True'로 표시됩니다.

---

3. 시스템 로그에서 Risk Score 이벤트를 검색하는 방법

경로: Reports ➡ System log ➡ Search에 검색할 로그 쿼리 입력

위험 수준	시스템 로그 필터링 쿼리
높음	debugContext.debugData.risk eq "{level=HIGH}" 복사하기
중간	debugContext.debugData.risk eq "{level=MEDIUM}" 복사하기
낮음	debugContext.debugData.risk eq "{level=LOW}" 복사하기