Auditointiloki tallentaa, kuka teki mitä, milloin ja mistä käsin Livespacessasi. Lokiin voi vain lisätä tietoja, eikä mikään voi ohittaa sitä. Voit tehdä hakuja lokista, viedä sen CSV- tai JSON-muodossa tai lähettää jokaisen tapahtuman tietoturvatyökaluihisi.
Auditointiloki sisältyy Enterprise-tilaukseen. Omistajat ja ylläpitäjät voivat avata sen kohdasta Asetukset › Auditointiloki.
Mitä lokiin tallennetaan
Tapahtumat on ryhmitelty osa-alueisiin, joiden perusteella voit suodattaa niitä:
- Kirjautuminen, Kertakirjautuminen, Käyttäjien provisiointi (SCIM) ja Kaksivaiheinen vahvistus: kirjautumiset, epäonnistuneet ja estetyt kirjautumiset, uloskirjautumiset sekä muutokset identiteetintarjoajaan ja SCIM-tunnisteeseen.
- Henkilöt ja Käyttäjäpaikat: kutsut, liittymiset, roolien muutokset, poistot ja sisällön siirrot sekä tilanteet, joissa joku ei voinut liittyä, koska kaikki käyttäjäpaikat olivat käytössä.
- Käytännöt, Mallit, Tietosuoja, Käyttö, Säilytys ja Oikeudelliset säilytysvelvoitteet: kaikki ylläpitäjän tekemät asetusmuutokset sekä tilanteet, joissa tietosuoja peittää tai estää viestin.
- Avustajan toiminnot: jokainen kerta, kun joku antaa Dvina-palvelun käyttää sovellusta, avata sivuston tai käyttää tietokonetta tai keskeyttää toiminnon.
- Jakaminen, Data ja Taulukot: mitä jaetaan ja kenen kanssa, julkiset linkit, viennit sekä taulukkoon kyselyjä tehneet henkilöt.
- API-avaimet, Webhookit, Tavoitteet ja Auditointiloki: avaimet ja webhookit, tehtävien tavoitteet sekä muutokset lokin omiin vienteihin ja kohteisiin.
Jokaisessa tapahtumassa näkyy tekijä: jäsen, ylläpitäjä, identiteetintarjoajasi, Dvina tai avustaja.
Etsi tapahtuma
- Avaa Asetukset ja valitse Auditointiloki.
- Valitse Tapahtumat.
- Rajaa luetteloa suodattimilla Haku (toiminto, henkilö tai osoite), Osa-alue, Henkilö, Alkaen ja Päättyen.
- Valitse tapahtuma, niin näet sen tiedot: Ajankohta, Tekijä, IP-osoite, Toiminto, Kohde ja Laite.
Uusimmat tapahtumat näkyvät ensin. Näet vanhempia tapahtumia valitsemalla Näytä lisää.
Vie loki
- Aseta Tapahtumat-näkymässä suodattimet sen mukaan, mitä haluat viedä.
- Valitse Vie CSV-muodossa, jos viet tiedot laskentataulukkoon, tai Vie JSON-muodossa, jos viet ne työkaluun.
Jos tapahtumia on paljon, vain uusimmat viedään, ja Dvina ilmoittaa siitä. Vie loput rajaamalla aikaväliä. Myös jokainen vienti tallennetaan lokiin.
Katso, kuka teki kyselyjä taulukkoon
Taulukon omistaja ja ylläpitäjät näkevät jokaisen taulukkoon tehdyn kyselyn. Avaa taulukon jakamisikkuna, valitse Henkilöt, joilla on käyttöoikeus ja sitten Kuka teki kyselyjä tähän taulukkoon. Jokaisesta merkinnästä näet palautettujen Rivien määrän ja kyselyn Lähteen: keskustelun, kortin tai oivalluksen. Katso Määritä, mitkä rivit ja sarakkeet käyttäjät näkevät.
Lähetä tapahtumat SIEM-järjestelmääsi
- Avaa Asetukset › Auditointiloki ja valitse SIEM-kohteet-kohdasta Lisää kohde.
- Valitse SIEM-järjestelmäsi ja anna kohteelle Nimi.
- Täytä SIEM-järjestelmäsi Yhteys-kentät (katso alla) ja valitse Lisää.
Webhook-kohdetta varten Dvina näyttää Allekirjoitussalaisuuden kerran. Tarkista sen avulla jokaisen pyynnön allekirjoitus.
| SIEM | Mitä syötät |
|---|---|
| Splunk | Syötä HTTP Event Collector -osoitteesi (…/services/collector/event) URL-kenttään ja sen tunnus merkkijonon “Splunk ” jälkeen Authorization-otsakkeeseen kohdassa Otsakkeet. |
| Microsoft Sentinel | Luo tiedonkeruun päätepiste ja sääntö mukautettua taulukkoa varten ja anna sovellusrekisteröinnille Monitoring Metrics Publisher -rooli sääntöön. Syötä sitten Päätepiste, Vuokraajan tunnus, Asiakastunnus, Asiakkaan salaisuus, Säännön tunnus ja Virta. |
| IBM QRadar | Lisää TLS Syslog -lokilähde, joka käyttää Universal LEEF -muotoa, ja syötä sitten sen Isäntä ja TLS-Portti. |
| Google SecOps (Chronicle) | Luo webhook-syöte. Syötä sen päätepisteen URL-osoite URL-kenttään ja sitten Google Cloud -API-avaimesi ja syötteen salainen avain kohtaan Otsakkeet. |
Dvina tarjoaa myös kohteet palveluille Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix ja LogRhythm sekä syslog-palvelimille, kuten Wazuh ja Graylog. Lisäksi Mukautettu webhook tukee mitä tahansa HTTPS-päätepistettä.
Huomio
Kohde tarvitsee julkisen HTTPS-osoitteen tai julkisen syslog-isännän.
Hallitse kohdetta
Valitse kohde, niin näet sen Tilan, Lähetettyjen tapahtumien määrän, Viimeksi lähetetty -ajankohdan ja mahdollisen Viimeisimmän virheen.
- Keskeytä lähettäminen poistamalla Lähetä tapahtumat käytöstä.
- Lähetä tapahtumat heti odottamisen sijaan valitsemalla Lähetä nyt.
- Lopeta lähettäminen kohteeseen valitsemalla Poista kohde….
Kohde, jonka tila on Epäonnistuu, yritetään uudelleen, jatkaa yrittämistä automaattisesti.