Auditní protokol zaznamenává, kdo, co, kdy a odkud udělal ve vašem Livespace. Záznamy lze pouze přidávat a nic nemůže záznam do protokolu obejít. V protokolu můžete vyhledávat, exportovat ho ve formátu CSV nebo JSON nebo průběžně odesílat všechny události do svých bezpečnostních nástrojů.
Auditní protokol je součástí tarifu Enterprise. Vlastníci a správci ho najdou v Nastavení › Auditní protokol.
Co se zaznamenává
Události jsou seskupené do oblastí, podle kterých je můžete filtrovat:
- Přihlášení, Jednotné přihlášení, Zřizování (SCIM) a Dvoufázové ověření: přihlášení, neúspěšná a zablokovaná přihlášení, odhlášení, změny poskytovatele identity a tokenu SCIM.
- Lidé a Licence: pozvánky, připojení, změny rolí, odebrání a předání obsahu i případy, kdy se někdo nemohl připojit, protože byly všechny licence obsazené.
- Zásady, Modely, Ochrana dat, Využití, Uchovávání dat a Právní pozastavení mazání: každá změna nastavení provedená správcem a případy, kdy ochrana dat maskuje nebo blokuje zprávu.
- Akce asistenta: pokaždé, když někdo povolí Dvina použít aplikaci, otevřít web nebo používat počítač, nebo ji zastaví.
- Sdílení, Data a Tabulky: co se sdílí a s kým, veřejné odkazy, exporty a kdo zadal dotaz na tabulku.
- Klíče API, Webhooky, Cíle a Auditní protokol: klíče a webhooky, cíle úkolů a změny exportů a cílových umístění samotného protokolu.
U každé události je uvedeno, kdo akci provedl: člen, správce, váš poskytovatel identity, Dvina nebo asistent.
Vyhledání události
- Otevřete Nastavení a vyberte Auditní protokol.
- Vyberte Události.
- Zužte seznam pomocí filtrů Hledat (akce, osoba nebo adresa), Oblast, Osoba, Od a Do.
- Vyberte událost a zobrazte její podrobnosti: Kdy, Kdo, IP adresa, Akce, Cíl a Zařízení.
Nejnovější události jsou na začátku. Starší zobrazíte výběrem možnosti Zobrazit další.
Export protokolu
- V části Události nastavte filtry podle toho, co chcete exportovat.
- Vyberte Exportovat jako CSV pro tabulkový procesor nebo Exportovat jako JSON pro zpracování nástrojem.
Pokud je událostí hodně, exportují se jen ty nejnovější a Dvina vás na to upozorní. Pro export zbývajících událostí zužte rozsah dat. Každý export se také zaznamená do protokolu.
Zjištění, kdo zadal dotaz na tabulku
Vlastník tabulky a správci mohou vidět každý případ, kdy někdo zadal dotaz na tabulku. Otevřete panel sdílení tabulky, vyberte Lidé s přístupem a potom Kdo zadal dotaz na tuto tabulku. Každý záznam uvádí počet vrácených řádků (Řádky) a zdroj dotazu (Odkud): chat, kartu nebo přehled. Viz Určete, které řádky a sloupce lidé uvidí.
Odesílání událostí do systému SIEM
- V Nastavení › Auditní protokol v části Cílová umístění SIEM vyberte Přidat cílové umístění.
- Vyberte svůj systém SIEM a vyplňte Název cílového umístění.
- Vyplňte pole v části Připojení pro svůj systém SIEM (viz níže) a vyberte Přidat.
U cílového umístění typu webhook Dvina zobrazí Tajný klíč pro podepisování pouze jednou. Použijte ho k ověření podpisu každého požadavku.
| SIEM | Co zadat |
|---|---|
| Splunk | Do pole URL zadejte adresu URL služby HTTP Event Collector (…/services/collector/event) a v části Hlavičky vložte její token za „Splunk “ v hlavičce Authorization. |
| Microsoft Sentinel | Vytvořte koncový bod a pravidlo pro sběr dat do vlastní tabulky a registraci aplikace přiřaďte u tohoto pravidla roli Monitoring Metrics Publisher. Pak zadejte Koncový bod, ID tenanta, ID klienta, Tajný klíč klienta, ID pravidla a Datový proud. |
| IBM QRadar | Přidejte zdroj protokolů TLS Syslog s formátem Universal LEEF a pak zadejte jeho Hostitele a Port pro TLS. |
| Google SecOps (Chronicle) | Vytvořte kanál webhooku. Do pole URL zadejte adresu URL jeho koncového bodu a do části Hlavičky vložte svůj klíč Google Cloud API a tajný klíč kanálu. |
Dvina nabízí také cíle pro Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix a LogRhythm, servery syslog, jako jsou Wazuh nebo Graylog, a Vlastní webhook pro libovolný koncový bod HTTPS.
Poznámka
Cíl musí mít veřejnou adresu HTTPS nebo veřejně dostupného hostitele syslog.
Správa cíle
Vyberte cíl a zobrazte jeho Stav, počet událostí v poli Odesláno, čas v poli Poslední odeslání a případnou chybu v poli Poslední chyba.
- Pokud chcete odesílání pozastavit, vypněte Odesílat události.
- Pokud chcete události odeslat hned, bez čekání, vyberte Odeslat nyní.
- Pokud chcete odesílání do tohoto cíle ukončit, vyberte Smazat cíl….
Cíl se stavem Selhává, opakuje pokus se dál automaticky pokouší o odeslání.