# Audit-Protokoll verwenden > Sieh nach, wer in deinem Livespace wann was getan hat, exportiere das Protokoll und übertrage jedes Ereignis an dein SIEM. Das Audit-Protokoll hält fest, wer in deinem Livespace wann und von wo aus was getan hat. Es lässt sich nur um neue Einträge ergänzen, und nichts kann die Protokollierung umgehen. Du kannst es durchsuchen, als CSV oder JSON exportieren oder jedes Ereignis an deine Sicherheitstools übertragen. Das Audit-Protokoll ist im Enterprise-Tarif enthalten. Eigentümer und Admins öffnen es unter Einstellungen › **Audit-Protokoll**. ## Was aufgezeichnet wird Ereignisse sind in Bereiche gegliedert, nach denen du filtern kannst: - **Anmeldung**, **Single Sign-on**, **Bereitstellung (SCIM)** und **Zweistufige Verifizierung**: Anmeldungen, fehlgeschlagene und blockierte Anmeldungen, Abmeldungen sowie Änderungen am Identitätsanbieter und an SCIM-Tokens. - **Personen** und **Plätze**: Einladungen, Beitritte, Rollenänderungen, Entfernungen und übertragene Inhalte sowie Personen, die nicht beitreten konnten, weil alle Plätze belegt waren. - **Richtlinien**, **Modelle**, **Datenschutz**, **Nutzung**, **Aufbewahrung** und **Rechtliche Aufbewahrungspflichten**: jede Einstellung, die ein Admin ändert, und jeder Fall, in dem der Datenschutz eine Nachricht maskiert oder blockiert. - **Assistentenaktionen**: jedes Mal, wenn jemand Dvina erlaubt, eine App zu verwenden, eine Website zu öffnen oder den Computer zu bedienen, oder Dvina dabei stoppt. - **Freigaben**, **Daten** und **Tabellen**: was mit wem geteilt wird, öffentliche Links, Exporte und wer eine Tabelle abgefragt hat. - **API-Schlüssel**, **Webhooks**, **Ziele** und **Audit-Protokoll**: Schlüssel und Webhooks, Ziele für Aufgaben sowie Änderungen an den Exporten und Übertragungszielen des Protokolls selbst. Jedes Ereignis nennt den Akteur: ein Mitglied, einen Admin, deinen Identitätsanbieter, Dvina oder den Assistenten. ## Ein Ereignis finden 1. Öffne die Einstellungen und wähle **Audit-Protokoll**. 2. Wähle **Ereignisse**. 3. Grenze die Liste mit **Suche** (nach einer Aktion, einer Person oder einer Adresse), **Bereich**, **Person**, **Von** und **Bis** ein. 4. Wähle ein Ereignis, um seine Details anzuzeigen: **Wann**, **Wer**, **IP-Adresse**, **Aktion**, **Ziel** und **Gerät**. Die neuesten Ereignisse stehen oben. Wähle **Mehr anzeigen**, um ältere Ereignisse zu sehen. ## Das Protokoll exportieren 1. Stelle unter **Ereignisse** die Filter für die Ereignisse ein, die du exportieren möchtest. 2. Wähle **Als CSV exportieren** für eine Tabellenkalkulation oder **Als JSON exportieren** für ein Tool. Wenn es viele Ereignisse gibt, werden nur die neuesten exportiert. Dvina weist dich darauf hin. Grenze den Zeitraum ein, um die übrigen zu exportieren. Jeder Export wird ebenfalls im Protokoll aufgezeichnet. ## Nachsehen, wer eine Tabelle abgefragt hat Der Eigentümer einer Tabelle und die Admins können jede Abfrage dieser Tabelle einsehen. Öffne den Freigabedialog der Tabelle, wähle **Personen mit Zugriff** und dann **Wer diese Tabelle abgefragt hat**. Jeder Eintrag zeigt, wie viele **Zeilen** zurückgegeben wurden und **Woher** die Abfrage kam: aus einem Chat, einer Karte oder einer Erkenntnis. Siehe [Festlegen, welche Zeilen und Spalten Personen sehen](/docs/connectors/row-and-column-access). ## Ereignisse an dein SIEM senden 1. Wähle unter Einstellungen › **Audit-Protokoll** im Bereich **SIEM-Ziele** die Option **Ziel hinzufügen**. 2. Wähle dein SIEM und gib dem Ziel einen **Namen**. 3. Fülle die Felder unter **Verbindung** für dein SIEM aus (siehe unten) und wähle dann **Hinzufügen**. Bei einem Webhook-Ziel zeigt Dvina einmalig ein **Signaturgeheimnis** an. Verwende es, um die Signatur jeder Anfrage zu prüfen. | SIEM | Was du eingeben musst | | ----------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Splunk** | Gib die URL deines HTTP Event Collector (…/services/collector/event) als **URL** ein. Trage unter **Header** den Token nach „Splunk “ im Authorization-Header ein. | | **Microsoft Sentinel** | Erstelle einen Datensammlungsendpunkt und eine Regel für eine benutzerdefinierte Tabelle. Weise einer App-Registrierung für diese Regel die Rolle Monitoring Metrics Publisher zu. Gib dann **Endpunkt**, **Mandanten-ID**, **Client-ID**, **Clientgeheimnis**, **Regel-ID** und **Stream** ein. | | **IBM QRadar** | Füge eine TLS-Syslog-Protokollquelle mit Universal LEEF hinzu und gib dann ihren **Host** und den TLS-**Port** ein. | | **Google SecOps (Chronicle)** | Erstelle einen Webhook-Feed. Gib seine Endpunkt-URL als **URL** ein und trage dann deinen Google Cloud API-Schlüssel und den geheimen Schlüssel des Feeds unter **Header** ein. | Dvina bietet außerdem Ziele für Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix und LogRhythm, Syslog-Server wie Wazuh oder Graylog sowie einen **Benutzerdefinierten Webhook** für beliebige HTTPS-Endpunkte. > [!NOTE] > Ein Ziel benötigt eine öffentliche HTTPS-Adresse oder einen öffentlichen Syslog-Host. ### Ein Ziel verwalten Wähle ein Ziel aus, um seinen **Status**, die Anzahl der **Gesendeten** Ereignisse, den Zeitpunkt unter **Zuletzt gesendet** und einen möglichen **Letzten Fehler** anzuzeigen. - Um das Senden zu pausieren, deaktiviere **Ereignisse senden**. - Um Ereignisse sofort zu senden, statt zu warten, wähle **Jetzt senden**. - Um keine Ereignisse mehr an dieses Ziel zu senden, wähle **Ziel löschen…**. Ein Ziel mit dem Status **Fehler, erneuter Versuch** versucht es automatisch weiter. ## Verwandte Themen - [Single Sign-on und Bereitstellung](/docs/teams/sso) - [Mitglieder und Rollen](/docs/teams/members-and-roles) - [Dvina für Teams und Unternehmen](/docs/teams/overview) - [Datenschutz und Daten](/docs/help/privacy-and-data)