監査ログには、Livespaceで誰が、いつ、どこから、何をしたかが記録されます。ログは追記専用で、記録を回避することはできません。ログを検索したり、CSVやJSON形式でエクスポートしたり、すべてのイベントをセキュリティツールにストリーミングしたりできます。
監査ログはEnterpriseプランで利用できます。オーナーと管理者は、設定 › 監査ログから開けます。
記録される内容
イベントは次のカテゴリに分類され、カテゴリで絞り込めます。
- サインイン、シングルサインオン、プロビジョニング（SCIM）、2段階認証：サインイン、失敗したサインインやブロックされたサインイン、サインアウト、IDプロバイダーとSCIMトークンの変更。
- メンバー、シート：招待、参加、ロールの変更、メンバーの削除とコンテンツの引き継ぎ、すべてのシートが使用中で参加できなかった人。
- ポリシー、モデル、データ保護、使用状況、保持、リーガルホールド：管理者によるすべての設定変更と、データ保護によるメッセージのマスキングやブロック。
- アシスタントのアクション：Dvinaによるアプリの使用、サイトの閲覧、コンピュータの操作を誰かが許可または停止したすべての操作。
- 共有、データ、テーブル：何を誰と共有したか、公開リンク、エクスポート、誰がテーブルにクエリを実行したか。
- APIキー、Webhook、目標、監査ログ：キーとWebhook、タスクの目標、監査ログ自体のエクスポートと送信先の変更。
各イベントには、操作を行ったメンバー、管理者、IDプロバイダー、Dvina、またはアシスタントが記録されます。
イベントを探す
- 設定を開き、監査ログを選択します。
- イベントを選択します。
- 検索（アクション、人、アドレス）、カテゴリ、ユーザー、開始日時、終了日時でリストを絞り込みます。
- イベントを選択すると、日時、実行者、IPアドレス、アクション、対象、デバイスの詳細を確認できます。
イベントは新しい順に表示されます。古いイベントを見るには、さらに表示を選択します。
ログをエクスポートする
- イベントで、エクスポートしたい内容に合わせてフィルタを設定します。
- スプレッドシート用にはCSVとしてエクスポート、ツール用にはJSONとしてエクスポートを選択します。
イベントが多い場合は、新しいイベントのみがエクスポートされ、そのことがDvinaから通知されます。残りをエクスポートするには、日付の範囲を絞り込んでください。各エクスポートもログに記録されます。
テーブルにクエリを実行した人を確認する
テーブルのオーナーと管理者は、そのテーブルに対するすべてのクエリ実行を確認できます。テーブルの共有シートを開き、アクセス権を持つユーザー、このテーブルにクエリを実行したユーザーの順に選択します。各項目には、返された行数と、クエリの実行元（チャット、カード、インサイト）が表示されます。ユーザーに表示する行と列を管理するを参照してください。
イベントをSIEMに送信する
- 設定 › 監査ログのSIEM送信先で、送信先を追加を選択します。
- SIEMを選択し、送信先の名前を入力します。
- SIEMの接続フィールドに必要な情報を入力し（下記参照）、追加を選択します。
Webhook送信先の場合、Dvinaは署名シークレットを一度だけ表示します。各リクエストの署名を検証するために使用してください。
| SIEM | 入力する内容 |
|---|---|
| Splunk | HTTP Event Collector の URL（…/services/collector/event）を URL に入力し、ヘッダー の Authorization ヘッダーで “Splunk ” の後にトークンを入力します。 |
| Microsoft Sentinel | カスタムテーブル用のデータ収集エンドポイントとルールを作成し、アプリ登録にそのルールの Monitoring Metrics Publisher ロールを付与します。次に、エンドポイント、テナント ID、クライアント ID、クライアントシークレット、ルール ID、ストリーム を入力します。 |
| IBM QRadar | Universal LEEF を使用する TLS Syslog ログソースを追加し、その ホスト と TLS ポート を入力します。 |
| Google SecOps (Chronicle) | Webhook フィードを作成します。そのエンドポイント URL を URL に入力し、Google Cloud API キーとフィードのシークレットキーを ヘッダー に入力します。 |
Dvina は、Elastic Security、CrowdStrike Falcon LogScale、Datadog、Sumo Logic、ArcSight、Exabeam、Securonix、LogRhythm、Wazuh や Graylog などの syslog サーバーへの送信にも対応しています。また、任意の HTTPS エンドポイントに送信できる カスタム Webhook もあります。
補足
送信先には、公開 HTTPS アドレスまたは公開 syslog ホストが必要です。
送信先を管理する
送信先を選択すると、ステータス、送信済み のイベント数、最終送信日時、最新のエラー を確認できます。
- 一時停止するには、イベントを送信 をオフにします。
- 待たずにすぐイベントを送信するには、今すぐ送信 を選択します。
- その送信先への送信を停止するには、送信先を削除… を選択します。
失敗、再試行中 の送信先は、自動で再試行を続けます。