使用 Purple Knight 检测 Okta 超级管理员攻击

2024 年 6 月综述：伦敦多家医院遭袭凸显运营弹性；被盗凭据绕过 Okta 波及约 400 家 Snowflake 客户；Medibank 事件重申强制 MFA 的教训。

Semperis 扩展身份保护平台以覆盖 Okta。文章介绍 Okta 的 IAM 功能、入侵后果（数据泄露、账户接管、合规风险）及云身份平台需要专门防护的原因。

远程办公浪潮带动零信任与云 IAM（Azure AD、Okta）普及；Semperis 的 Sean Deuby 指出，无论采用 VPN 还是云应用代理，这些策略都依赖本地 Active Directory 的完整性——AD 仍是身份攻击的核心目标。

微软《Microsoft Password Guidance》白皮书基于 Azure AD 海量登录数据（日均超 1000 万次密码攻击），主张取消字符组合要求与强制定期改密、保留 8 位最小长度、封禁常见密码并推行风险驱动的 MFA。

解析攻击者滥用 Azure OAuth 获取初始访问与持久化的三类手法，说明如何借助 Entra ID 登录日志与 JWT 字段识别，附 Wiz 遥测数据与可直接使用的 KQL 检测查询。

CVE-2026-28326 是 SolarWinds ARM 中的未认证远程代码执行漏洞，TCP 55555 端口上的硬编码共享密钥可直接导致 SYSTEM 级代码执行，请尽快修补。