Das Audit-Protokoll hält fest, wer in deinem Livespace wann und von wo aus was getan hat. Es lässt sich nur um neue Einträge ergänzen, und nichts kann die Protokollierung umgehen. Du kannst es durchsuchen, als CSV oder JSON exportieren oder jedes Ereignis an deine Sicherheitstools übertragen.
Das Audit-Protokoll ist im Enterprise-Tarif enthalten. Eigentümer und Admins öffnen es unter Einstellungen › Audit-Protokoll.
Was aufgezeichnet wird
Ereignisse sind in Bereiche gegliedert, nach denen du filtern kannst:
- Anmeldung, Single Sign-on, Bereitstellung (SCIM) und Zweistufige Verifizierung: Anmeldungen, fehlgeschlagene und blockierte Anmeldungen, Abmeldungen sowie Änderungen am Identitätsanbieter und an SCIM-Tokens.
- Personen und Plätze: Einladungen, Beitritte, Rollenänderungen, Entfernungen und übertragene Inhalte sowie Personen, die nicht beitreten konnten, weil alle Plätze belegt waren.
- Richtlinien, Modelle, Datenschutz, Nutzung, Aufbewahrung und Rechtliche Aufbewahrungspflichten: jede Einstellung, die ein Admin ändert, und jeder Fall, in dem der Datenschutz eine Nachricht maskiert oder blockiert.
- Assistentenaktionen: jedes Mal, wenn jemand Dvina erlaubt, eine App zu verwenden, eine Website zu öffnen oder den Computer zu bedienen, oder Dvina dabei stoppt.
- Freigaben, Daten und Tabellen: was mit wem geteilt wird, öffentliche Links, Exporte und wer eine Tabelle abgefragt hat.
- API-Schlüssel, Webhooks, Ziele und Audit-Protokoll: Schlüssel und Webhooks, Ziele für Aufgaben sowie Änderungen an den Exporten und Übertragungszielen des Protokolls selbst.
Jedes Ereignis nennt den Akteur: ein Mitglied, einen Admin, deinen Identitätsanbieter, Dvina oder den Assistenten.
Ein Ereignis finden
- Öffne die Einstellungen und wähle Audit-Protokoll.
- Wähle Ereignisse.
- Grenze die Liste mit Suche (nach einer Aktion, einer Person oder einer Adresse), Bereich, Person, Von und Bis ein.
- Wähle ein Ereignis, um seine Details anzuzeigen: Wann, Wer, IP-Adresse, Aktion, Ziel und Gerät.
Die neuesten Ereignisse stehen oben. Wähle Mehr anzeigen, um ältere Ereignisse zu sehen.
Das Protokoll exportieren
- Stelle unter Ereignisse die Filter für die Ereignisse ein, die du exportieren möchtest.
- Wähle Als CSV exportieren für eine Tabellenkalkulation oder Als JSON exportieren für ein Tool.
Wenn es viele Ereignisse gibt, werden nur die neuesten exportiert. Dvina weist dich darauf hin. Grenze den Zeitraum ein, um die übrigen zu exportieren. Jeder Export wird ebenfalls im Protokoll aufgezeichnet.
Nachsehen, wer eine Tabelle abgefragt hat
Der Eigentümer einer Tabelle und die Admins können jede Abfrage dieser Tabelle einsehen. Öffne den Freigabedialog der Tabelle, wähle Personen mit Zugriff und dann Wer diese Tabelle abgefragt hat. Jeder Eintrag zeigt, wie viele Zeilen zurückgegeben wurden und Woher die Abfrage kam: aus einem Chat, einer Karte oder einer Erkenntnis. Siehe Festlegen, welche Zeilen und Spalten Personen sehen.
Ereignisse an dein SIEM senden
- Wähle unter Einstellungen › Audit-Protokoll im Bereich SIEM-Ziele die Option Ziel hinzufügen.
- Wähle dein SIEM und gib dem Ziel einen Namen.
- Fülle die Felder unter Verbindung für dein SIEM aus (siehe unten) und wähle dann Hinzufügen.
Bei einem Webhook-Ziel zeigt Dvina einmalig ein Signaturgeheimnis an. Verwende es, um die Signatur jeder Anfrage zu prüfen.
| SIEM | Was du eingeben musst |
|---|---|
| Splunk | Gib die URL deines HTTP Event Collector (…/services/collector/event) als URL ein. Trage unter Header den Token nach „Splunk “ im Authorization-Header ein. |
| Microsoft Sentinel | Erstelle einen Datensammlungsendpunkt und eine Regel für eine benutzerdefinierte Tabelle. Weise einer App-Registrierung für diese Regel die Rolle Monitoring Metrics Publisher zu. Gib dann Endpunkt, Mandanten-ID, Client-ID, Clientgeheimnis, Regel-ID und Stream ein. |
| IBM QRadar | Füge eine TLS-Syslog-Protokollquelle mit Universal LEEF hinzu und gib dann ihren Host und den TLS-Port ein. |
| Google SecOps (Chronicle) | Erstelle einen Webhook-Feed. Gib seine Endpunkt-URL als URL ein und trage dann deinen Google Cloud API-Schlüssel und den geheimen Schlüssel des Feeds unter Header ein. |
Dvina bietet außerdem Ziele für Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix und LogRhythm, Syslog-Server wie Wazuh oder Graylog sowie einen Benutzerdefinierten Webhook für beliebige HTTPS-Endpunkte.
Hinweis
Ein Ziel benötigt eine öffentliche HTTPS-Adresse oder einen öffentlichen Syslog-Host.
Ein Ziel verwalten
Wähle ein Ziel aus, um seinen Status, die Anzahl der Gesendeten Ereignisse, den Zeitpunkt unter Zuletzt gesendet und einen möglichen Letzten Fehler anzuzeigen.
- Um das Senden zu pausieren, deaktiviere Ereignisse senden.
- Um Ereignisse sofort zu senden, statt zu warten, wähle Jetzt senden.
- Um keine Ereignisse mehr an dieses Ziel zu senden, wähle Ziel löschen….
Ein Ziel mit dem Status Fehler, erneuter Versuch versucht es automatisch weiter.