Le journal d’audit consigne qui a fait quoi, quand et depuis où dans votre Livespace. Il fonctionne uniquement par ajout, et aucune action ne peut échapper au journal. Vous pouvez y effectuer des recherches, l’exporter au format CSV ou JSON, ou transmettre chaque événement à vos outils de sécurité.
Le journal d’audit est inclus dans l’offre Enterprise. Les propriétaires et les administrateurs y accèdent dans Réglages › Journal d’audit.
Ce qui est enregistré
Les événements sont regroupés par domaines, que vous pouvez utiliser pour filtrer le journal :
- Connexion, Authentification unique, Provisionnement (SCIM) et Vérification en deux étapes : connexions, tentatives de connexion échouées et bloquées, déconnexions, modifications du fournisseur d’identité et des jetons SCIM.
- Personnes et Places : invitations, arrivées, changements de rôle, suppressions de membres et transferts de contenu, ainsi que les personnes qui n’ont pas pu rejoindre l’espace parce que toutes les places étaient prises.
- Politiques, Modèles, Protection des données, Utilisation, Conservation et Gels juridiques : chaque réglage modifié par un administrateur, ainsi que les cas où la protection des données masque ou bloque un message.
- Actions de l’assistant : chaque fois qu’une personne autorise Dvina à utiliser une application, à ouvrir un site ou à utiliser l’ordinateur, ou l’arrête.
- Partage, Données et Tables : les éléments partagés et leurs destinataires, les liens publics, les exportations et les personnes qui ont interrogé une table.
- Clés API, Webhooks, Objectifs et Journal d’audit : clés et webhooks, objectifs des tâches et modifications des exportations et des destinations du journal lui-même.
Chaque événement indique qui en est à l’origine : un membre, un administrateur, votre fournisseur d’identité, Dvina ou l’assistant.
Rechercher un événement
- Ouvrez Réglages et choisissez Journal d’audit.
- Choisissez Événements.
- Affinez la liste avec Rechercher (une action, une personne ou une adresse), Domaine, Personne, Du et Au.
- Choisissez un événement pour consulter ses détails : Quand, Qui, Adresse IP, Action, Cible et Appareil.
Les événements les plus récents s’affichent en premier. Choisissez Afficher plus pour voir les plus anciens.
Exporter le journal
- Dans Événements, réglez les filtres pour sélectionner ce que vous souhaitez exporter.
- Choisissez Exporter au format CSV pour un tableur, ou Exporter au format JSON pour un outil.
Si le nombre d’événements est élevé, seuls les plus récents sont exportés, et Dvina vous en informe. Réduisez la plage de dates pour exporter les autres. Chaque exportation est également consignée dans le journal.
Voir qui a interrogé une table
Le propriétaire d’une table et les administrateurs peuvent consulter chaque requête effectuée sur cette table. Ouvrez le panneau de partage de la table, choisissez Personnes ayant accès, puis Qui a interrogé cette table. Chaque entrée indique le nombre de Lignes renvoyées et la Provenance de la requête : une conversation, une carte ou une analyse. Consultez Contrôler les lignes et les colonnes visibles par chacun.
Envoyer des événements à votre SIEM
- Dans Réglages › Journal d’audit, sous Destinations SIEM, choisissez Ajouter une destination.
- Choisissez votre SIEM, puis donnez un Nom à la destination.
- Remplissez les champs de Connexion correspondant à votre SIEM (voir ci-dessous), puis choisissez Ajouter.
Pour une destination webhook, Dvina affiche une seule fois un Secret de signature. Utilisez-le pour vérifier la signature de chaque requête.
| SIEM | Informations à saisir |
|---|---|
| Splunk | Saisissez l’URL de votre HTTP Event Collector (…/services/collector/event) dans URL, puis son jeton après « Splunk » dans l’en-tête Authorization, sous En-têtes. |
| Microsoft Sentinel | Créez un point de terminaison et une règle de collecte de données pour une table personnalisée, puis attribuez à une inscription d’application le rôle Monitoring Metrics Publisher sur la règle. Saisissez ensuite le Point de terminaison, l’ID du locataire, l’ID client, le Secret client, l’ID de la règle et le Flux. |
| IBM QRadar | Ajoutez une source de journaux Syslog TLS avec Universal LEEF, puis saisissez son Hôte et son Port TLS. |
| Google SecOps (Chronicle) | Créez un flux webhook. Saisissez l’URL de son point de terminaison dans URL, puis votre clé API Google Cloud et la clé secrète du flux sous En-têtes. |
Dvina propose aussi des destinations pour Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix et LogRhythm, des serveurs syslog comme Wazuh ou Graylog, ainsi qu’un Webhook personnalisé pour tout point de terminaison HTTPS.
Remarque
Une destination doit disposer d’une adresse HTTPS publique ou d’un hôte syslog public.
Gérer une destination
Sélectionnez une destination pour voir son État, le nombre d’événements Envoyés, la date du Dernier envoi et toute Dernière erreur.
- Pour suspendre l’envoi, désactivez Envoyer les événements.
- Pour envoyer les événements immédiatement sans attendre, sélectionnez Envoyer maintenant.
- Pour ne plus envoyer d’événements à cette destination, sélectionnez Supprimer la destination….
Une destination dont l’état est Échec, nouvelle tentative en cours continue de réessayer automatiquement.