Az auditnapló rögzíti, hogy ki mit, mikor és honnan tett a Livespace-ben. A naplóhoz csak hozzáadni lehet, és semmi sem kerülheti meg a naplózást. Kereshetsz benne, exportálhatod CSV- vagy JSON-formátumban, vagy továbbíthatsz minden eseményt a biztonsági eszközeidbe.
Az auditnapló az Enterprise csomag része. A tulajdonosok és az adminisztrátorok a Beállítások › Auditnapló menüpontban nyithatják meg.
Mit rögzít a napló?
Az események területek szerint vannak csoportosítva, amelyekre szűrhetsz:
- Bejelentkezés, Egyszeri bejelentkezés, Felhasználókezelés (SCIM) és Kétlépcsős azonosítás: bejelentkezések, sikertelen és blokkolt bejelentkezések, kijelentkezések, az identitásszolgáltató és a SCIM-token módosításai.
- Személyek és Férőhelyek: meghívások, csatlakozások, szerepkörváltozások, eltávolítások és átadott tartalmak, valamint az, ha valaki nem tudott csatlakozni, mert minden férőhely foglalt volt.
- Szabályzatok, Modellek, Adatvédelem, Használat, Megőrzés és Jogi megőrzési kötelezettségek: az adminisztrátorok által módosított minden beállítás, valamint az, amikor az adatvédelem kitakar vagy blokkol egy üzenetet.
- Az asszisztens műveletei: minden alkalom, amikor valaki engedélyezi, hogy a Dvina használjon egy alkalmazást, megnyisson egy webhelyet vagy használja a számítógépet, illetve amikor leállítja ezt.
- Megosztás, Adatok és Táblák: mit és kivel osztottak meg, nyilvános linkek, exportálások, valamint az, hogy ki kérdezett le egy táblát.
- API-kulcsok, Webhookok, Célok és Auditnapló: kulcsok és webhookok, a feladatokhoz tartozó célok, valamint a napló saját exportálásainak és célhelyeinek módosításai.
Minden esemény megnevezi, ki hajtotta végre: egy tag, egy adminisztrátor, az identitásszolgáltatód, a Dvina vagy az asszisztens.
Esemény keresése
- Nyisd meg a Beállításokat, és válaszd az Auditnapló lehetőséget.
- Válaszd az Események lehetőséget.
- Szűkítsd a listát a Keresés (művelet, személy vagy cím), Terület, Személy, Ettől és Eddig mezőkkel.
- Válassz ki egy eseményt a részleteinek megtekintéséhez: Mikor, Ki, IP-cím, Művelet, Cél és Eszköz.
A legújabb események jelennek meg először. A régebbiek megtekintéséhez válaszd a Továbbiak megjelenítése lehetőséget.
A napló exportálása
- Az Események nézetben állítsd be a szűrőket az exportálni kívánt eseményekhez.
- Válaszd az Exportálás CSV-ként lehetőséget, ha táblázatkezelőben szeretnéd használni az adatokat, vagy az Exportálás JSON-ként lehetőséget, ha egy eszközben.
Ha sok esemény van, csak a legújabbak kerülnek az exportba, és erről a Dvina tájékoztat. A többi exportálásához szűkítsd a dátumtartományt. Minden exportálás is bekerül a naplóba.
Nézd meg, ki kérdezett le egy táblát
A tábla tulajdonosa és az adminisztrátorok minden alkalmat láthatnak, amikor valaki lekérdezte a táblát. Nyisd meg a tábla megosztási paneljét, válaszd a Hozzáféréssel rendelkező személyek, majd a Ki kérdezte le ezt a táblát lehetőséget. Minden bejegyzés mutatja, hány Sor érkezett vissza, és Honnan indult a lekérdezés: egy csevegésből, egy kártyáról vagy egy elemzésből. Lásd: Szabályozd, ki mely sorokat és oszlopokat láthatja.
Események küldése a SIEM-rendszeredbe
- A Beállítások › Auditnapló menüpontban, a SIEM-célhelyek alatt válaszd a Célhely hozzáadása lehetőséget.
- Válaszd ki a SIEM-rendszeredet, majd adj Nevet a célhelynek.
- Töltsd ki a SIEM-rendszeredhez tartozó Kapcsolat mezőit (lásd alább), majd válaszd a Hozzáadás lehetőséget.
Webhook-célhely esetén a Dvina egyszer jelenít meg egy Aláírási titkot. Ezzel ellenőrizheted az egyes kérések aláírását.
| SIEM | Mit adj meg |
|---|---|
| Splunk | Add meg a HTTP Event Collector URL-címét (…/services/collector/event) az URL mezőben, a hozzá tartozó tokent pedig a „Splunk ” után az Authorization fejlécben, a Fejlécek alatt. |
| Microsoft Sentinel | Hozz létre egy adatgyűjtési végpontot és szabályt egy egyéni táblához, és adj egy alkalmazásregisztrációnak Monitoring Metrics Publisher szerepkört a szabályon. Ezután add meg a Végpont, Bérlőazonosító, Ügyfélazonosító, Ügyféltitok, Szabályazonosító és Adatfolyam értékét. |
| IBM QRadar | Adj hozzá egy TLS Syslog naplóforrást Universal LEEF formátummal, majd add meg a Kiszolgáló címét és a TLS-Port számát. |
| Google SecOps (Chronicle) | Hozz létre egy webhook-adatfolyamot. Add meg a végpontjának URL-címét az URL mezőben, majd a Google Cloud API-kulcsodat és az adatfolyam titkos kulcsát a Fejlécek alatt. |
A Dvina az Elastic Security, a CrowdStrike Falcon LogScale, a Datadog, a Sumo Logic, az ArcSight, az Exabeam, a Securonix és a LogRhythm számára is kínál célhelyeket, valamint syslog-kiszolgálókhoz, például a Wazuh vagy a Graylog rendszerhez. Az Egyéni webhook bármely HTTPS-végponthoz használható.
Megjegyzés
A célhelyhez nyilvános HTTPS-cím vagy nyilvános syslog-kiszolgáló szükséges.
Célhely kezelése
Válassz ki egy célhelyet az Állapot, az Elküldött események száma, a Legutóbbi küldés időpontja és az esetleges Legutóbbi hiba megtekintéséhez.
- A küldés szüneteltetéséhez kapcsold ki az Események küldése beállítást.
- Ha várakozás helyett azonnal el szeretnéd küldeni az eseményeket, válaszd a Küldés most lehetőséget.
- Ha meg szeretnéd szüntetni a küldést erre a célhelyre, válaszd a Célhely törlése… lehetőséget.
A Sikertelen, újrapróbálkozás állapotú célhely automatikusan tovább próbálkozik.