Como Exportar Logs do Sistema Okta

No Console do Administrador do Okta, Relatórios → Log do Sistema permite que você procure eventos e baixe os resultados. Para JSON, use a API de Log do Sistema: GET /api/v1/logs com since e until, seguindo o próximo link até que acabe. Um pequeno script está abaixo. O Okta mantém eventos do Log do Sistema por 90 dias.

Quando a identidade é o perímetro, o Log do Sistema do Okta é o registro do portão. Ele registra cada login, cada push de MFA, cada redefinição de fator e cada alteração de função de administrador. Prime Core possui 58 regras de detecção para dados Okta, mapeadas para 32 técnicas MITRE ATT&CK. Dentre elas: ataque de pulverização de senhas (T1110.003), fadiga de MFA (T1621) e invasores adulterando o registro de MFA (T1556.006).

Comece Grátis

Antes de começar

Retenção é de 90 dias. Qualquer coisa mais antiga existe somente onde você tem transmitido ou encaminhado logs Okta, como para um SIEM.

Você precisa de um token. Um token de API (Segurança → API → Tokens) herda as permissões do administrador que o criou. Um administrador de leitura apenas é suficiente para logs. Para qualquer coisa automatizada, um aplicativo de serviço OAuth com o escopo okta.logs.read é a escolha mais limpa. De qualquer modo, o token é uma credencial. Mantenha-o fora do histórico do shell e revogue-o quando terminar.

Limites de taxa se aplicam. O endpoint de logs possui seu próprio limite de taxa. Grandes janelas são permitidas, só não instantaneamente.

Exportar com a API de Log do Sistema

Este script Python percorre uma janela de tempo e escreve um evento por linha. Ele precisa de requests (pip install requests):

import json, os, requests



org = "https://yourorg.okta.com"

headers = {"Authorization": f"SSWS {os.environ['OKTA_TOKEN']}", "Accept": "application/json"}

url = f"{org}/api/v1/logs"

params = {"since": "2026-10-19T00:00:00Z", "until": "2026-10-20T00:00:00Z", "limit": 1000}



with open("okta_1019.jsonl", "w") as out:

    while url:

        r = requests.get(url, headers=headers, params=params, timeout=60)

        r.raise_for_status()

        events = r.json()

        for e in events:

            out.write(json.dumps(e) + "n")

        if not events:

            break

        url = r.links.get("next", {}).get("url")

        params = None  # o próximo link já carrega a consulta

Sempre defina until. Sem isso, Okta trata a requisição como uma enquete ao vivo e continua fornecendo um próximo link. Seu loop rodaria para sempre, esperando por novos eventos.

Para restringir, adicione um filtro aos params, por exemplo “filter”: ‘eventType eq “user.session.start”‘. Ou use “q”: “jane” para uma busca por palavra-chave.

O que procurar

Os campos que contam a história: actor.alternateId (quem), client.ipAddress e client.geographicalContext (de onde), outcome (o que aconteceu) e debugContext.debugData (os detalhes).

Envie, saneie e revise no LogTotal

1. Envie. Abrir logtotal.com e solte o arquivo .jsonl. [PROVA: tela de upload, limite de tamanho]
2. Sanitize. [PROOF: what gets masked: usernames and emails, IPs, device and session IDs]. Look it over before you continue.
3. Rever. [PROOF: what the results screen shows]

Quando algo dá errado