יומן הביקורת מתעד מי עשה מה, מתי ומאיפה ב-Livespace שלכם. ניתן רק להוסיף אליו רשומות, ושום פעולה לא יכולה להתבצע בלי להירשם בו. אפשר לחפש ביומן, לייצא אותו כ-CSV או כ-JSON, או להזרים כל אירוע לכלי האבטחה שלכם.
יומן הביקורת כלול בתוכנית Enterprise. בעלים ומנהלי מערכת יכולים לפתוח אותו דרך הגדרות › יומן הביקורת.
מה מתועד
האירועים מקובצים לפי תחומים, ואפשר לסנן לפיהם:
- כניסה, כניסה יחידה, הקצאת משתמשים (SCIM) ואימות דו-שלבי: כניסות, ניסיונות כניסה שנכשלו או נחסמו, יציאות ושינויים בספק הזהויות ובאסימוני SCIM.
- אנשים ומקומות: הזמנות, הצטרפויות, שינויי תפקידים, הסרות והעברת תוכן, וכן מקרים שבהם מישהו לא הצליח להצטרף כי כל המקומות היו תפוסים.
- מדיניות, מודלים, הגנה על נתונים, שימוש, שמירת נתונים ושימור לצרכים משפטיים: כל הגדרה שמנהל מערכת משנה, וכל מקרה שבו מנגנון ההגנה על נתונים מסתיר מידע בהודעה או חוסם אותה.
- פעולות העוזר: כל פעם שמישהו מאפשר ל-Dvina להשתמש באפליקציה, לפתוח אתר או להשתמש במחשב, או עוצר את הפעולה.
- שיתוף, נתונים וטבלאות: מה משותף ועם מי, קישורים ציבוריים, ייצוא נתונים ומי הריץ שאילתה על טבלה.
- מפתחות API, Webhooks, יעדים ויומן הביקורת: מפתחות ו-webhooks, יעדים במשימות ושינויים בהגדרות הייצוא והיעדים של היומן עצמו.
בכל אירוע מצוין מי ביצע אותו: חבר, מנהל מערכת, ספק הזהויות שלכם, Dvina או העוזר.
חיפוש אירוע
- פתחו את ההגדרות ובחרו יומן הביקורת.
- בחרו אירועים.
- צמצמו את הרשימה באמצעות חיפוש (פעולה, אדם או כתובת), תחום, אדם, מתאריך ועד תאריך.
- בחרו אירוע כדי לראות את פרטיו: מתי, מי, כתובת IP, פעולה, יעד ומכשיר.
האירועים החדשים ביותר מופיעים ראשונים. בחרו הצגת עוד כדי לראות אירועים ישנים יותר.
ייצוא היומן
- תחת אירועים, הגדירו את המסננים לפי מה שתרצו לייצא.
- בחרו ייצוא כ-CSV לשימוש בגיליון אלקטרוני, או ייצוא כ-JSON לשימוש בכלי.
אם יש אירועים רבים, רק החדשים ביותר מיוצאים, ו-Dvina מודיעה לכם על כך. צמצמו את טווח התאריכים כדי לייצא את השאר. גם כל פעולת ייצוא נרשמת ביומן.
בדיקה מי הריץ שאילתה על טבלה
הבעלים של טבלה ומנהלי המערכת יכולים לראות כל פעם שמישהו הריץ עליה שאילתה. פתחו את חלונית השיתוף של הטבלה, בחרו אנשים עם גישה ואז מי הריץ שאילתה על הטבלה הזו. כל רשומה מציגה כמה שורות הוחזרו ומה היה מקור השאילתה: צ'אט, כרטיס או תובנה. ראו שליטה בשורות ובעמודות שאנשים רואים.
שליחת אירועים למערכת ה-SIEM שלכם
- בהגדרות › יומן הביקורת, תחת יעדי SIEM, בחרו הוספת יעד.
- בחרו את מערכת ה-SIEM שלכם, ואז תנו ליעד שם.
- מלאו את שדות החיבור עבור מערכת ה-SIEM שלכם (ראו בהמשך), ואז בחרו הוספה.
ליעד מסוג webhook, Dvina מציגה סוד חתימה פעם אחת בלבד. השתמשו בו כדי לאמת את החתימה של כל בקשה.
| SIEM | מה להזין |
|---|---|
| Splunk | הזינו את כתובת ה-HTTP Event Collector שלכם (…/services/collector/event) בשדה כתובת URL, ואת הטוקן שלו אחרי “Splunk ” בכותרת Authorization תחת כותרות. |
| Microsoft Sentinel | צרו נקודת קצה וכלל לאיסוף נתונים עבור טבלה מותאמת אישית, והקצו לרישום אפליקציה את התפקיד Monitoring Metrics Publisher בכלל. לאחר מכן הזינו את נקודת הקצה, מזהה הדייר, מזהה הלקוח, סוד הלקוח, מזהה הכלל והזרם. |
| IBM QRadar | הוסיפו מקור יומנים מסוג TLS Syslog עם Universal LEEF, ואז הזינו את המארח ואת יציאת ה-TLS שלו. |
| Google SecOps (Chronicle) | צרו פיד webhook. הזינו את כתובת ה-URL של נקודת הקצה שלו בשדה כתובת URL, ולאחר מכן את מפתח ה-API שלכם ב-Google Cloud ואת המפתח הסודי של הפיד תחת כותרות. |
ב-Dvina יש גם יעדים עבור Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix ו-LogRhythm, שרתי syslog כמו Wazuh או Graylog, וכן webhook מותאם אישית לכל נקודת קצה של HTTPS.
הערה
יעד דורש כתובת HTTPS ציבורית או מארח syslog ציבורי.
ניהול יעד
בחרו יעד כדי לראות את המצב שלו, כמה אירועים נשלחו, מתי הייתה השליחה האחרונה ומהי השגיאה האחרונה, אם יש כזו.
- כדי להשהות את השליחה, כבו את שליחת אירועים.
- כדי לשלוח אירועים מיד במקום להמתין, בחרו שליחה עכשיו.
- כדי להפסיק לשלוח אליו, בחרו מחיקת יעד….
יעד במצב נכשל, מנסה שוב ממשיך לנסות באופן אוטומטי.