Auditloggen registrerer, hvem der gjorde hvad, hvornår og hvorfra i dit Livespace. Der kan kun føjes poster til loggen, og intet kan springe den over. Du kan søge i den, eksportere den som CSV eller JSON eller streame alle hændelser til dine sikkerhedsværktøjer.
Auditloggen er inkluderet i Enterprise-abonnementet. Ejere og administratorer åbner den i Indstillinger › Auditlog.
Hvad bliver registreret?
Hændelser er grupperet i områder, som du kan filtrere efter:
- Login, Single sign-on, Provisionering (SCIM) og Totrinsbekræftelse: login, mislykkede og blokerede login, logout samt ændringer af identitetsudbyder og SCIM-tokens.
- Personer og Pladser: invitationer, tilmeldinger, rolleændringer, fjernelser og overdraget indhold samt personer, der ikke kunne tilmelde sig, fordi alle pladser var optaget.
- Politikker, Modeller, Databeskyttelse, Forbrug, Opbevaring og Juridiske tilbageholdelser: alle indstillinger, en administrator ændrer, og når databeskyttelsen maskerer eller blokerer en besked.
- Assistenthandlinger: hver gang nogen lader Dvina bruge en app, åbne et websted eller bruge computeren eller stopper den.
- Deling, Data og Tabeller: hvad der deles og med hvem, offentlige links, eksporter, og hvem der forespurgte en tabel.
- API-nøgler, Webhooks, Mål og Auditlog: nøgler og webhooks, mål for opgaver samt ændringer af loggens egne eksporter og destinationer.
Hver hændelse angiver, hvem der udførte den: et medlem, en administrator, din identitetsudbyder, Dvina eller assistenten.
Find en hændelse
- Åbn Indstillinger, og vælg Auditlog.
- Vælg Hændelser.
- Afgræns listen med Søg (en handling, en person eller en adresse), Område, Person, Fra og Til.
- Vælg en hændelse for at se dens detaljer: Hvornår, Hvem, IP-adresse, Handling, Mål og Enhed.
De nyeste hændelser vises først. Vælg Vis flere for at se ældre hændelser.
Eksportér loggen
- Indstil filtrene under Hændelser til det, du vil eksportere.
- Vælg Eksportér som CSV til et regneark eller Eksportér som JSON til et værktøj.
Hvis der er mange hændelser, eksporteres kun de nyeste, og Dvina giver dig besked. Afgræns datointervallet for at eksportere resten. Hver eksport registreres også i loggen.
Se, hvem der forespurgte en tabel
Tabellens ejer og administratorerne kan se, hver gang nogen har forespurgt den. Åbn tabellens delingspanel, vælg Personer med adgang og derefter Hvem forespurgte denne tabel. Hver post viser, hvor mange Rækker der blev returneret, og hvor forespørgslen kom Fra: en chat, et kort eller en indsigt. Se Styr, hvilke rækker og kolonner personer kan se.
Send hændelser til dit SIEM
- Vælg Tilføj destination under SIEM-destinationer i Indstillinger › Auditlog.
- Vælg dit SIEM, og giv derefter destinationen et Navn.
- Udfyld felterne under Forbindelse til dit SIEM (se nedenfor), og vælg derefter Tilføj.
For en webhook-destination viser Dvina en Signeringshemmelighed én gang. Brug den til at kontrollere signaturen på hver anmodning.
| SIEM | Det skal du indtaste |
|---|---|
| Splunk | URL'en til din HTTP Event Collector (…/services/collector/event) som URL, og dens token efter “Splunk ” i Authorization-headeren under Headere. |
| Microsoft Sentinel | Opret et dataindsamlingsslutpunkt og en regel for en brugerdefineret tabel, og tildel en appregistrering rollen Monitoring Metrics Publisher på reglen. Indtast derefter Slutpunkt, Lejer-id, Klient-id, Klienthemmelighed, Regel-id og Datastrøm. |
| IBM QRadar | Tilføj en TLS Syslog-logkilde med Universal LEEF, og indtast derefter dens Vært og TLS-Port. |
| Google SecOps (Chronicle) | Opret et webhook-feed. Indtast feedets slutpunkts-URL som URL, og indtast derefter din Google Cloud API-nøgle og feedets hemmelige nøgle under Headere. |
Dvina har også destinationer til Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix og LogRhythm, syslog-servere som Wazuh eller Graylog samt en Brugerdefineret webhook til ethvert HTTPS-slutpunkt.
Bemærk
En destination skal have en offentlig HTTPS-adresse eller en offentlig syslog-vært.
Administrer en destination
Vælg en destination for at se dens Status, hvor mange hændelser der er Sendt, hvornår den Sidst sendte, og en eventuel Seneste fejl.
- Slå Send hændelser fra for at sætte den på pause.
- Vælg Send nu for at sende hændelser med det samme i stedet for at vente.
- Vælg Slet destination… for at stoppe med at sende til den.
En destination med status Fejler, prøver igen fortsætter automatisk med at prøve.