# Používání auditního protokolu

> Zjistěte, kdo, co a kdy udělal ve vašem Livespace, exportujte protokol a průběžně odesílejte všechny události do svého systému SIEM.

Auditní protokol zaznamenává, kdo, co, kdy a odkud udělal ve vašem Livespace. Záznamy lze pouze přidávat a nic nemůže záznam do protokolu obejít. V protokolu můžete vyhledávat, exportovat ho ve formátu CSV nebo JSON nebo průběžně odesílat všechny události do svých bezpečnostních nástrojů.

Auditní protokol je součástí tarifu Enterprise. Vlastníci a správci ho najdou v Nastavení › **Auditní protokol**.

## Co se zaznamenává

Události jsou seskupené do oblastí, podle kterých je můžete filtrovat:

- **Přihlášení**, **Jednotné přihlášení**, **Zřizování (SCIM)** a **Dvoufázové ověření**: přihlášení, neúspěšná a zablokovaná přihlášení, odhlášení, změny poskytovatele identity a tokenu SCIM.
- **Lidé** a **Licence**: pozvánky, připojení, změny rolí, odebrání a předání obsahu i případy, kdy se někdo nemohl připojit, protože byly všechny licence obsazené.
- **Zásady**, **Modely**, **Ochrana dat**, **Využití**, **Uchovávání dat** a **Právní pozastavení mazání**: každá změna nastavení provedená správcem a případy, kdy ochrana dat maskuje nebo blokuje zprávu.
- **Akce asistenta**: pokaždé, když někdo povolí Dvina použít aplikaci, otevřít web nebo používat počítač, nebo ji zastaví.
- **Sdílení**, **Data** a **Tabulky**: co se sdílí a s kým, veřejné odkazy, exporty a kdo zadal dotaz na tabulku.
- **Klíče API**, **Webhooky**, **Cíle** a **Auditní protokol**: klíče a webhooky, cíle úkolů a změny exportů a cílových umístění samotného protokolu.

U každé události je uvedeno, kdo akci provedl: člen, správce, váš poskytovatel identity, Dvina nebo asistent.

## Vyhledání události

1. Otevřete Nastavení a vyberte **Auditní protokol**.
2. Vyberte **Události**.
3. Zužte seznam pomocí filtrů **Hledat** (akce, osoba nebo adresa), **Oblast**, **Osoba**, **Od** a **Do**.
4. Vyberte událost a zobrazte její podrobnosti: **Kdy**, **Kdo**, **IP adresa**, **Akce**, **Cíl** a **Zařízení**.

Nejnovější události jsou na začátku. Starší zobrazíte výběrem možnosti **Zobrazit další**.

## Export protokolu

1. V části **Události** nastavte filtry podle toho, co chcete exportovat.
2. Vyberte **Exportovat jako CSV** pro tabulkový procesor nebo **Exportovat jako JSON** pro zpracování nástrojem.

Pokud je událostí hodně, exportují se jen ty nejnovější a Dvina vás na to upozorní. Pro export zbývajících událostí zužte rozsah dat. Každý export se také zaznamená do protokolu.

## Zjištění, kdo zadal dotaz na tabulku

Vlastník tabulky a správci mohou vidět každý případ, kdy někdo zadal dotaz na tabulku. Otevřete panel sdílení tabulky, vyberte **Lidé s přístupem** a potom **Kdo zadal dotaz na tuto tabulku**. Každý záznam uvádí počet vrácených řádků (**Řádky**) a zdroj dotazu (**Odkud**): chat, kartu nebo přehled. Viz [Určete, které řádky a sloupce lidé uvidí](/docs/connectors/row-and-column-access).

## Odesílání událostí do systému SIEM

1. V Nastavení › **Auditní protokol** v části **Cílová umístění SIEM** vyberte **Přidat cílové umístění**.
2. Vyberte svůj systém SIEM a vyplňte **Název** cílového umístění.
3. Vyplňte pole v části **Připojení** pro svůj systém SIEM (viz níže) a vyberte **Přidat**.

U cílového umístění typu webhook Dvina zobrazí **Tajný klíč pro podepisování** pouze jednou. Použijte ho k ověření podpisu každého požadavku.

| SIEM                          | Co zadat                                                                                                                                                                                                                                                 |
| ----------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Splunk**                    | Do pole **URL** zadejte adresu URL služby HTTP Event Collector (…/services/collector/event) a v části **Hlavičky** vložte její token za „Splunk “ v hlavičce Authorization.                                                                                 |
| **Microsoft Sentinel**        | Vytvořte koncový bod a pravidlo pro sběr dat do vlastní tabulky a registraci aplikace přiřaďte u tohoto pravidla roli Monitoring Metrics Publisher. Pak zadejte **Koncový bod**, **ID tenanta**, **ID klienta**, **Tajný klíč klienta**, **ID pravidla** a **Datový proud**. |
| **IBM QRadar**                | Přidejte zdroj protokolů TLS Syslog s formátem Universal LEEF a pak zadejte jeho **Hostitele** a **Port** pro TLS.                                                                                                                                          |
| **Google SecOps (Chronicle)** | Vytvořte kanál webhooku. Do pole **URL** zadejte adresu URL jeho koncového bodu a do části **Hlavičky** vložte svůj klíč Google Cloud API a tajný klíč kanálu.                                                                                                |

Dvina nabízí také cíle pro Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix a LogRhythm, servery syslog, jako jsou Wazuh nebo Graylog, a **Vlastní webhook** pro libovolný koncový bod HTTPS.

> [!NOTE]
> Cíl musí mít veřejnou adresu HTTPS nebo veřejně dostupného hostitele syslog.

### Správa cíle

Vyberte cíl a zobrazte jeho **Stav**, počet událostí v poli **Odesláno**, čas v poli **Poslední odeslání** a případnou chybu v poli **Poslední chyba**.

- Pokud chcete odesílání pozastavit, vypněte **Odesílat události**.
- Pokud chcete události odeslat hned, bez čekání, vyberte **Odeslat nyní**.
- Pokud chcete odesílání do tohoto cíle ukončit, vyberte **Smazat cíl…**.

Cíl se stavem **Selhává, opakuje pokus** se dál automaticky pokouší o odeslání.

## Související témata

- [Jednotné přihlašování a zřizování](/docs/teams/sso)
- [Členové a role](/docs/teams/members-and-roles)
- [Dvina pro týmy a firmy](/docs/teams/overview)
- [Soukromí a data](/docs/help/privacy-and-data)