گزارش حسابرسی ثبت می‌کند که چه کسی، چه کاری، چه زمانی و از کجا در Livespace شما انجام داده است. این گزارش فقط امکان افزودن رکورد دارد و هیچ کاری از ثبت در آن مستثنا نیست. می‌توانید در آن جستجو کنید، از آن خروجی CSV یا JSON بگیرید یا همهٔ رویدادها را به‌صورت جریانی به ابزارهای امنیتی خود بفرستید.
گزارش حسابرسی در طرح Enterprise ارائه می‌شود. مالکان و مدیران می‌توانند از مسیر تنظیمات › گزارش حسابرسی آن را باز کنند.
چه چیزهایی ثبت می‌شود
رویدادها بر اساس حوزه دسته‌بندی می‌شوند و می‌توانید آن‌ها را بر همین اساس فیلتر کنید:
- ورود، ورود یکپارچه، تأمین حساب‌ها (SCIM) و تأیید دومرحله‌ای: ورودها، ورودهای ناموفق و مسدودشده، خروج‌ها، تغییرات ارائه‌دهندهٔ هویت و توکن SCIM.
- افراد و ظرفیت کاربران: دعوت‌ها، پیوستن‌ها، تغییر نقش‌ها، حذف افراد و واگذاری محتوا، و مواردی که فردی به‌دلیل پر بودن ظرفیت کاربران نتوانسته است بپیوندد.
- سیاست‌ها، مدل‌ها، حفاظت از داده‌ها، میزان استفاده، نگهداری داده‌ها و نگهداری قانونی: هر تنظیمی که مدیر تغییر می‌دهد و هر بار که حفاظت از داده‌ها پیامی را پنهان یا مسدود می‌کند.
- اقدامات دستیار: هر بار که کسی به Dvina اجازه می‌دهد از برنامه‌ای استفاده کند، سایتی را باز کند یا از رایانه استفاده کند، یا آن را متوقف می‌کند.
- اشتراک‌گذاری، داده‌ها و جدول‌ها: چه چیزی و با چه کسی به اشتراک گذاشته شده است، پیوندهای عمومی، خروجی‌ها و اینکه چه کسی از یک جدول پرس‌وجو کرده است.
- کلیدهای API، وب‌هوک‌ها، هدف‌ها و گزارش حسابرسی: کلیدها و وب‌هوک‌ها، هدف‌های وظایف و تغییرات مربوط به خروجی‌ها و مقصدهای خود گزارش.
هر رویداد مشخص می‌کند چه کسی آن را انجام داده است: یک عضو، یک مدیر، ارائه‌دهندهٔ هویت شما، Dvina یا دستیار.
پیدا کردن یک رویداد
- تنظیمات را باز کنید و گزارش حسابرسی را انتخاب کنید.
- رویدادها را انتخاب کنید.
- با استفاده از جستجو (یک اقدام، شخص یا نشانی)، حوزه، شخص، از و تا، فهرست را محدود کنید.
- یک رویداد را انتخاب کنید تا جزئیات آن را ببینید: زمان، شخص، نشانی IP، اقدام، هدف و دستگاه.
جدیدترین رویدادها در ابتدای فهرست نمایش داده می‌شوند. برای دیدن رویدادهای قدیمی‌تر، نمایش بیشتر را انتخاب کنید.
گرفتن خروجی از گزارش
- در رویدادها، فیلترها را برای مواردی که می‌خواهید از آن‌ها خروجی بگیرید تنظیم کنید.
- برای استفاده در صفحه‌گسترده، خروجی CSV و برای استفاده در یک ابزار، خروجی JSON را انتخاب کنید.
اگر تعداد رویدادها زیاد باشد، فقط از جدیدترین رویدادها خروجی گرفته می‌شود و Dvina این موضوع را به شما اطلاع می‌دهد. برای گرفتن خروجی از باقی رویدادها، بازهٔ تاریخ را محدود کنید. هر بار گرفتن خروجی نیز در گزارش ثبت می‌شود.
دیدن اینکه چه کسی از یک جدول پرس‌وجو کرده است
مالک جدول و مدیران می‌توانند هر بار که کسی از آن پرس‌وجو کرده است را ببینند. پنل اشتراک‌گذاری جدول را باز کنید، افراد دارای دسترسی و سپس چه کسی از این جدول پرس‌وجو کرده است را انتخاب کنید. هر رکورد نشان می‌دهد چند ردیف برگردانده شده و پرس‌وجو از کجا آمده است: یک گفتگو، یک کارت یا یک بینش. به کنترل ردیف‌ها و ستون‌هایی که افراد می‌بینند مراجعه کنید.
ارسال رویدادها به SIEM
- در تنظیمات › گزارش حسابرسی، در بخش مقصدهای SIEM، افزودن مقصد را انتخاب کنید.
- SIEM خود را انتخاب کنید، سپس برای مقصد یک نام وارد کنید.
- فیلدهای اتصال مربوط به SIEM خود را پر کنید (در ادامه ببینید)، سپس افزودن را انتخاب کنید.
برای مقصد وب‌هوک، Dvina یک کلید محرمانهٔ امضا را فقط یک بار نمایش می‌دهد. از آن برای بررسی امضای هر درخواست استفاده کنید.
| SIEM | چه چیزی وارد کنید |
|---|---|
| Splunk | نشانی HTTP Event Collector خود (…/services/collector/event) را در بخش URL وارد کنید و توکن آن را پس از «Splunk » در هدر Authorization در بخش هدرها قرار دهید. |
| Microsoft Sentinel | برای یک جدول سفارشی، یک نقطهٔ پایانی و یک قاعدهٔ جمع‌آوری داده ایجاد کنید و به یک برنامهٔ ثبت‌شده، نقش Monitoring Metrics Publisher را روی آن قاعده بدهید. سپس نقطهٔ پایانی، شناسهٔ مستأجر، شناسهٔ کلاینت، راز کلاینت، شناسهٔ قاعده و جریان را وارد کنید. |
| IBM QRadar | یک منبع لاگ TLS Syslog با Universal LEEF اضافه کنید، سپس میزبان و پورت TLS آن را وارد کنید. |
| Google SecOps (Chronicle) | یک فید وب‌هوک ایجاد کنید. نشانی نقطهٔ پایانی آن را در بخش URL وارد کنید، سپس کلید Google Cloud API و کلید محرمانهٔ فید را در بخش هدرها قرار دهید. |
Dvina همچنین مقصدهایی برای Elastic Security، CrowdStrike Falcon LogScale، Datadog، Sumo Logic، ArcSight، Exabeam، Securonix و LogRhythm، سرورهای syslog مانند Wazuh یا Graylog و یک وب‌هوک سفارشی برای هر نقطهٔ پایانی HTTPS دارد.
یادداشت
مقصد باید یک نشانی عمومی HTTPS یا یک میزبان عمومی syslog داشته باشد.
مدیریت یک مقصد
یک مقصد را انتخاب کنید تا وضعیت آن، تعداد رویدادهای ارسال‌شده، زمان آخرین ارسال و هرگونه آخرین خطا را ببینید.
- برای توقف موقت ارسال، ارسال رویدادها را خاموش کنید.
- برای ارسال فوری رویدادها به‌جای منتظر ماندن، ارسال همین حالا را انتخاب کنید.
- برای توقف ارسال به آن مقصد، حذف مقصد… را انتخاب کنید.
مقصدی که در وضعیت ارسال ناموفق، تلاش مجدد است، به‌طور خودکار به تلاش ادامه می‌دهد.