El registro de auditoría guarda quién hizo qué, cuándo y desde dónde en tu Livespace. Solo permite añadir entradas y nada puede quedar sin registrar. Puedes buscar en él, exportarlo como CSV o JSON, o enviar todos los eventos a tus herramientas de seguridad.
El registro de auditoría está incluido en el plan Enterprise. Los propietarios y administradores pueden abrirlo en Ajustes › Registro de auditoría.
Qué se registra
Los eventos se agrupan por áreas que puedes usar para filtrar:
- Inicio de sesión, Inicio de sesión único, Aprovisionamiento (SCIM) y Verificación en dos pasos: inicios de sesión, intentos de inicio de sesión fallidos y bloqueados, cierres de sesión, y cambios en el proveedor de identidad y en los tokens SCIM.
- Personas y Plazas: invitaciones, incorporaciones, cambios de rol, bajas y transferencias de contenido, e intentos de incorporación fallidos porque todas las plazas estaban ocupadas.
- Políticas, Modelos, Protección de datos, Uso, Retención y Retenciones legales: todos los ajustes que cambia un administrador y las ocasiones en que la protección de datos oculta o bloquea un mensaje.
- Acciones del asistente: cada vez que alguien permite que Dvina use una aplicación, abra un sitio o use el ordenador, o lo detiene.
- Uso compartido, Datos y Tablas: qué se comparte y con quién, enlaces públicos, exportaciones y quién consultó una tabla.
- Claves de API, Webhooks, Objetivos y Registro de auditoría: claves y webhooks, objetivos de las tareas y cambios en las exportaciones y los destinos del propio registro.
Cada evento indica quién realizó la acción: un miembro, un administrador, tu proveedor de identidad, Dvina o el asistente.
Busca un evento
- Abre Ajustes y elige Registro de auditoría.
- Elige Eventos.
- Filtra la lista con Buscar (una acción, una persona o una dirección), Área, Persona, Desde y Hasta.
- Elige un evento para ver sus detalles: Cuándo, Quién, Dirección IP, Acción, Destino y Dispositivo.
Los eventos más recientes aparecen primero. Elige Mostrar más para ver los más antiguos.
Exporta el registro
- En Eventos, configura los filtros para lo que quieras exportar.
- Elige Exportar como CSV para usarlo en una hoja de cálculo, o Exportar como JSON para usarlo en una herramienta.
Si hay muchos eventos, solo se exportan los más recientes y Dvina te avisa. Acota el intervalo de fechas para exportar el resto. Cada exportación también queda registrada.
Consulta quién ha consultado una tabla
El propietario de una tabla y los administradores pueden ver cada vez que alguien la ha consultado. Abre el panel para compartir de la tabla, elige Personas con acceso y luego Quién ha consultado esta tabla. Cada entrada muestra cuántas Filas devolvió la consulta y Desde dónde se realizó: un chat, una tarjeta o un análisis. Consulta Controla qué filas y columnas pueden ver las personas.
Envía eventos a tu SIEM
- En Ajustes › Registro de auditoría, en Destinos SIEM, elige Añadir destino.
- Elige tu SIEM y asigna un Nombre al destino.
- Rellena los campos de Conexión de tu SIEM (ver más abajo) y elige Añadir.
Para un destino de webhook, Dvina muestra un Secreto de firma una sola vez. Úsalo para comprobar la firma de cada solicitud.
| SIEM | Qué introducir |
|---|---|
| Splunk | Introduce la URL de tu HTTP Event Collector (…/services/collector/event) en URL y su token después de “Splunk ” en la cabecera Authorization, en Cabeceras. |
| Microsoft Sentinel | Crea un punto de conexión de recopilación de datos y una regla para una tabla personalizada, y asigna a un registro de aplicación el rol Monitoring Metrics Publisher en la regla. Después, introduce el Punto de conexión, el ID de inquilino, el ID de cliente, el Secreto de cliente, el ID de regla y el Flujo. |
| IBM QRadar | Añade un origen de registros TLS Syslog con Universal LEEF y, después, introduce su Host y su Puerto TLS. |
| Google SecOps (Chronicle) | Crea un feed de webhook. Introduce la URL de su punto de conexión en URL y, después, tu clave de API de Google Cloud y la clave secreta del feed en Cabeceras. |
Dvina también ofrece destinos para Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix y LogRhythm, servidores syslog como Wazuh o Graylog, y un Webhook personalizado para cualquier punto de conexión HTTPS.
Nota
Un destino necesita una dirección HTTPS pública o un host syslog público.
Gestionar un destino
Selecciona un destino para ver su Estado, cuántos eventos se han Enviado, cuándo se realizó el Último envío y cualquier Último error.
- Para pausarlo, desactiva Enviar eventos.
- Para enviar eventos de inmediato en lugar de esperar, selecciona Enviar ahora.
- Para dejar de enviarle eventos, selecciona Eliminar destino….
Un destino con el estado Error, reintentando sigue intentándolo automáticamente.