Revisjonsloggen registrerer hvem som gjorde hva, når og hvorfra i ditt Livespace. Det kan bare legges til nye oppføringer, og ingen hendelser kan omgå loggen. Du kan søke i den, eksportere den som CSV eller JSON, eller strømme alle hendelser til sikkerhetsverktøyene dine.
Revisjonsloggen er inkludert i Enterprise-abonnementet. Eiere og administratorer åpner den under Innstillinger › Revisjonslogg.
Hva som registreres
Hendelser er gruppert i områder som du kan filtrere etter:
- Pålogging, Engangspålogging, Klargjøring (SCIM) og Totrinnsverifisering: pålogginger, mislykkede og blokkerte pålogginger, utlogginger og endringer i identitetsleverandør og SCIM-token.
- Personer og Plasser: invitasjoner, innmeldinger, rolleendringer, fjerning av medlemmer og overføring av innhold, samt personer som ikke kunne bli med fordi alle plassene var opptatt.
- Retningslinjer, Modeller, Databeskyttelse, Bruk, Oppbevaring og Juridiske bevaringspålegg: alle innstillinger en administrator endrer, og når databeskyttelse maskerer eller blokkerer en melding.
- Assistenthandlinger: hver gang noen lar Dvina bruke en app, åpne et nettsted eller bruke datamaskinen, eller stopper det.
- Deling, Data og Tabeller: hva som deles og med hvem, offentlige lenker, eksporter og hvem som kjørte spørringer mot en tabell.
- API-nøkler, Webhooks, Mål og Revisjonslogg: nøkler og webhooks, mål for oppgaver og endringer i loggens egne eksporter og destinasjoner.
Hver hendelse viser hvem som utførte den: et medlem, en administrator, identitetsleverandøren din, Dvina eller assistenten.
Finn en hendelse
- Åpne Innstillinger og velg Revisjonslogg.
- Velg Hendelser.
- Avgrens listen med Søk (en handling, en person eller en adresse), Område, Person, Fra og Til.
- Velg en hendelse for å se detaljene: Når, Hvem, IP-adresse, Handling, Mål og Enhet.
De nyeste hendelsene vises først. Velg Vis mer for å se eldre hendelser.
Eksporter loggen
- Under Hendelser angir du filtrene for det du vil eksportere.
- Velg Eksporter som CSV for et regneark, eller Eksporter som JSON for et verktøy.
Hvis det er mange hendelser, eksporteres bare de nyeste, og Dvina gir deg beskjed. Avgrens datointervallet for å eksportere resten. Hver eksport registreres også i loggen.
Se hvem som kjørte spørringer mot en tabell
Tabellens eier og administratorene kan se hver gang noen har kjørt en spørring mot den. Åpne tabellens delingspanel, velg Personer med tilgang, og deretter Hvem kjørte spørringer mot denne tabellen. Hver oppføring viser hvor mange Rader som ble returnert, og hvor spørringen kom Fra: en chat, et kort eller en innsikt. Se Styr hvilke rader og kolonner folk ser.
Send hendelser til SIEM-systemet ditt
- Gå til Innstillinger › Revisjonslogg, og velg Legg til destinasjon under SIEM-destinasjoner.
- Velg SIEM-systemet ditt, og gi deretter destinasjonen et Navn.
- Fyll ut Tilkobling-feltene for SIEM-systemet ditt (se nedenfor), og velg deretter Legg til.
For en webhook-destinasjon viser Dvina en Signeringshemmelighet én gang. Bruk den til å kontrollere signaturen for hver forespørsel.
| SIEM | Hva du skal angi |
|---|---|
| Splunk | Angi URL-en til HTTP Event Collector (…/services/collector/event) som URL, og tokenet etter «Splunk » i Authorization-headeren under Headere. |
| Microsoft Sentinel | Opprett et endepunkt og en regel for datainnsamling til en egendefinert tabell, og gi en appregistrering rollen Monitoring Metrics Publisher på regelen. Angi deretter Endepunkt, Leier-ID, Klient-ID, Klienthemmelighet, Regel-ID og Strøm. |
| IBM QRadar | Legg til en TLS Syslog-loggkilde med Universal LEEF, og angi deretter Vert og TLS-Port. |
| Google SecOps (Chronicle) | Opprett en webhook-feed. Angi feedens endepunkt-URL som URL, og legg deretter inn Google Cloud API-nøkkelen og feedens hemmelige nøkkel under Headere. |
Dvina har også destinasjoner for Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix og LogRhythm, syslog-servere som Wazuh eller Graylog, og en Egendefinert webhook for ethvert HTTPS-endepunkt.
Merk
En destinasjon trenger en offentlig HTTPS-adresse eller en offentlig syslog-vert.
Administrer en destinasjon
Velg en destinasjon for å se Status, hvor mange hendelser som er Sendt, tidspunktet for Sist sendt og eventuell Siste feil.
- Slå av Send hendelser for å sette sendingen på pause.
- Velg Send nå for å sende hendelser med en gang i stedet for å vente.
- Velg Slett destinasjon… for å slutte å sende til den.
En destinasjon med statusen Feiler, prøver igjen fortsetter å prøve automatisk.