# Utiliser le journal d’audit

> Consultez qui a fait quoi et quand dans votre Livespace, exportez le journal et transmettez chaque événement à votre SIEM.

Le journal d’audit consigne qui a fait quoi, quand et depuis où dans votre Livespace. Il fonctionne uniquement par ajout, et aucune action ne peut échapper au journal. Vous pouvez y effectuer des recherches, l’exporter au format CSV ou JSON, ou transmettre chaque événement à vos outils de sécurité.

Le journal d’audit est inclus dans l’offre Enterprise. Les propriétaires et les administrateurs y accèdent dans Réglages › **Journal d’audit**.

## Ce qui est enregistré

Les événements sont regroupés par domaines, que vous pouvez utiliser pour filtrer le journal :

- **Connexion**, **Authentification unique**, **Provisionnement (SCIM)** et **Vérification en deux étapes** : connexions, tentatives de connexion échouées et bloquées, déconnexions, modifications du fournisseur d’identité et des jetons SCIM.
- **Personnes** et **Places** : invitations, arrivées, changements de rôle, suppressions de membres et transferts de contenu, ainsi que les personnes qui n’ont pas pu rejoindre l’espace parce que toutes les places étaient prises.
- **Politiques**, **Modèles**, **Protection des données**, **Utilisation**, **Conservation** et **Gels juridiques** : chaque réglage modifié par un administrateur, ainsi que les cas où la protection des données masque ou bloque un message.
- **Actions de l’assistant** : chaque fois qu’une personne autorise Dvina à utiliser une application, à ouvrir un site ou à utiliser l’ordinateur, ou l’arrête.
- **Partage**, **Données** et **Tables** : les éléments partagés et leurs destinataires, les liens publics, les exportations et les personnes qui ont interrogé une table.
- **Clés API**, **Webhooks**, **Objectifs** et **Journal d’audit** : clés et webhooks, objectifs des tâches et modifications des exportations et des destinations du journal lui-même.

Chaque événement indique qui en est à l’origine : un membre, un administrateur, votre fournisseur d’identité, Dvina ou l’assistant.

## Rechercher un événement

1. Ouvrez Réglages et choisissez **Journal d’audit**.
2. Choisissez **Événements**.
3. Affinez la liste avec **Rechercher** (une action, une personne ou une adresse), **Domaine**, **Personne**, **Du** et **Au**.
4. Choisissez un événement pour consulter ses détails : **Quand**, **Qui**, **Adresse IP**, **Action**, **Cible** et **Appareil**.

Les événements les plus récents s’affichent en premier. Choisissez **Afficher plus** pour voir les plus anciens.

## Exporter le journal

1. Dans **Événements**, réglez les filtres pour sélectionner ce que vous souhaitez exporter.
2. Choisissez **Exporter au format CSV** pour un tableur, ou **Exporter au format JSON** pour un outil.

Si le nombre d’événements est élevé, seuls les plus récents sont exportés, et Dvina vous en informe. Réduisez la plage de dates pour exporter les autres. Chaque exportation est également consignée dans le journal.

## Voir qui a interrogé une table

Le propriétaire d’une table et les administrateurs peuvent consulter chaque requête effectuée sur cette table. Ouvrez le panneau de partage de la table, choisissez **Personnes ayant accès**, puis **Qui a interrogé cette table**. Chaque entrée indique le nombre de **Lignes** renvoyées et la **Provenance** de la requête : une conversation, une carte ou une analyse. Consultez [Contrôler les lignes et les colonnes visibles par chacun](/docs/connectors/row-and-column-access).

## Envoyer des événements à votre SIEM

1. Dans Réglages › **Journal d’audit**, sous **Destinations SIEM**, choisissez **Ajouter une destination**.
2. Choisissez votre SIEM, puis donnez un **Nom** à la destination.
3. Remplissez les champs de **Connexion** correspondant à votre SIEM (voir ci-dessous), puis choisissez **Ajouter**.

Pour une destination webhook, Dvina affiche une seule fois un **Secret de signature**. Utilisez-le pour vérifier la signature de chaque requête.

| SIEM                          | Informations à saisir                                                                                                                                                                                                                                    |
| ----------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Splunk**                    | Saisissez l’URL de votre HTTP Event Collector (…/services/collector/event) dans **URL**, puis son jeton après « Splunk » dans l’en-tête Authorization, sous **En-têtes**.                                                                                     |
| **Microsoft Sentinel**        | Créez un point de terminaison et une règle de collecte de données pour une table personnalisée, puis attribuez à une inscription d’application le rôle Monitoring Metrics Publisher sur la règle. Saisissez ensuite le **Point de terminaison**, l’**ID du locataire**, l’**ID client**, le **Secret client**, l’**ID de la règle** et le **Flux**. |
| **IBM QRadar**                | Ajoutez une source de journaux Syslog TLS avec Universal LEEF, puis saisissez son **Hôte** et son **Port** TLS.                                                                                                                                             |
| **Google SecOps (Chronicle)** | Créez un flux webhook. Saisissez l’URL de son point de terminaison dans **URL**, puis votre clé API Google Cloud et la clé secrète du flux sous **En-têtes**.                                                                                               |

Dvina propose aussi des destinations pour Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix et LogRhythm, des serveurs syslog comme Wazuh ou Graylog, ainsi qu’un **Webhook personnalisé** pour tout point de terminaison HTTPS.

> [!NOTE]
> Une destination doit disposer d’une adresse HTTPS publique ou d’un hôte syslog public.

### Gérer une destination

Sélectionnez une destination pour voir son **État**, le nombre d’événements **Envoyés**, la date du **Dernier envoi** et toute **Dernière erreur**.

- Pour suspendre l’envoi, désactivez **Envoyer les événements**.
- Pour envoyer les événements immédiatement sans attendre, sélectionnez **Envoyer maintenant**.
- Pour ne plus envoyer d’événements à cette destination, sélectionnez **Supprimer la destination…**.

Une destination dont l’état est **Échec, nouvelle tentative en cours** continue de réessayer automatiquement.

## Voir aussi

- [Authentification unique et provisionnement](/docs/teams/sso)
- [Membres et rôles](/docs/teams/members-and-roles)
- [Dvina pour les équipes et les entreprises](/docs/teams/overview)
- [Confidentialité et données](/docs/help/privacy-and-data)