Het auditlog legt vast wie wat, wanneer en vanaf waar heeft gedaan in je Livespace. Er kunnen alleen gegevens aan worden toegevoegd en niets kan buiten het log om gebeuren. Je kunt het doorzoeken, exporteren als CSV of JSON, of elke gebeurtenis streamen naar je beveiligingstools.
Het auditlog is inbegrepen bij het Enterprise-abonnement. Eigenaren en beheerders openen het via Instellingen › Auditlog.
Wat wordt vastgelegd
Gebeurtenissen zijn gegroepeerd per onderdeel, waarop je kunt filteren:
- Aanmelden, Eenmalige aanmelding, Provisioning (SCIM) en Tweestapsverificatie: aanmeldingen, mislukte en geblokkeerde aanmeldingen, afmeldingen en wijzigingen aan de identiteitsprovider en SCIM-tokens.
- Personen en Licenties: uitnodigingen, toetredingen, rolwijzigingen, verwijderingen en overgedragen inhoud, en iemand die niet kon toetreden omdat alle licenties in gebruik waren.
- Beleid, Modellen, Gegevensbescherming, Gebruik, Bewaartermijnen en Juridische bewaarplichten: elke instelling die een beheerder wijzigt en wanneer gegevensbescherming een bericht maskeert of blokkeert.
- Assistentacties: elke keer dat iemand Dvina toestemming geeft om een app te gebruiken, een site te openen of de computer te gebruiken, of dit stopzet.
- Delen, Gegevens en Tabellen: wat er wordt gedeeld en met wie, openbare links, exports en wie een tabel heeft bevraagd.
- API-sleutels, Webhooks, Doelen en Auditlog: sleutels en webhooks, doelen voor taken en wijzigingen aan de exports en bestemmingen van het log zelf.
Elke gebeurtenis vermeldt wie de actie heeft uitgevoerd: een lid, een beheerder, je identiteitsprovider, Dvina of de assistent.
Een gebeurtenis zoeken
- Open Instellingen en kies Auditlog.
- Kies Gebeurtenissen.
- Verfijn de lijst met Zoeken (een actie, een persoon of een adres), Onderdeel, Persoon, Van en Tot.
- Kies een gebeurtenis om de details te bekijken: Wanneer, Wie, IP-adres, Actie, Doel en Apparaat.
De nieuwste gebeurtenissen staan bovenaan. Kies Meer weergeven om oudere gebeurtenissen te bekijken.
Het log exporteren
- Stel in Gebeurtenissen de filters in voor wat je wilt exporteren.
- Kies Exporteren als CSV voor een spreadsheet of Exporteren als JSON voor een tool.
Als er veel gebeurtenissen zijn, worden alleen de nieuwste geëxporteerd. Dvina laat je dit weten. Verklein het datumbereik om de rest te exporteren. Elke export wordt ook in het log vastgelegd.
Bekijken wie een tabel heeft bevraagd
De eigenaar van een tabel en de beheerders kunnen elke keer zien dat iemand de tabel heeft bevraagd. Open het deelvenster van de tabel, kies Personen met toegang en vervolgens Wie heeft deze tabel bevraagd. Elke vermelding toont hoeveel Rijen zijn teruggegeven en wat de Bron van de query was: een chat, een kaart of een inzicht. Zie Bepalen welke rijen en kolommen mensen zien.
Gebeurtenissen naar je SIEM sturen
- Ga naar Instellingen › Auditlog en kies onder SIEM-bestemmingen de optie Bestemming toevoegen.
- Kies je SIEM en geef de bestemming een Naam.
- Vul de velden onder Verbinding in voor je SIEM (zie hieronder) en kies Toevoegen.
Voor een webhookbestemming toont Dvina eenmalig een Ondertekeningsgeheim. Gebruik dit om de handtekening van elk verzoek te controleren.
| SIEM | Wat je moet invoeren |
|---|---|
| Splunk | Voer je HTTP Event Collector-URL (…/services/collector/event) in bij URL en plaats het bijbehorende token na “Splunk ” in de Authorization-header onder Headers. |
| Microsoft Sentinel | Maak een eindpunt en een regel voor gegevensverzameling voor een aangepaste tabel en geef een app-registratie de rol Monitoring Metrics Publisher voor die regel. Voer vervolgens het Eindpunt, de Tenant-ID, de Client-ID, het Clientgeheim, de Regel-ID en de Stream in. |
| IBM QRadar | Voeg een TLS Syslog-logbron met Universal LEEF toe en voer vervolgens de Host en TLS-Poort in. |
| Google SecOps (Chronicle) | Maak een webhookfeed. Voer de eindpunt-URL in bij URL en voeg vervolgens je Google Cloud API-sleutel en de geheime sleutel van de feed toe onder Headers. |
Dvina biedt ook bestemmingen voor Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix en LogRhythm, syslogservers zoals Wazuh of Graylog, en een Aangepaste webhook voor elk HTTPS-eindpunt.
Opmerking
Een bestemming heeft een openbaar HTTPS-adres of een openbare sysloghost nodig.
Een bestemming beheren
Kies een bestemming om de Status te bekijken, hoeveel gebeurtenissen er zijn Verzonden, wanneer er Laatst verzonden is en wat de eventuele Laatste fout is.
- Schakel Gebeurtenissen verzenden uit om het verzenden te pauzeren.
- Kies Nu verzenden om gebeurtenissen meteen te verzenden in plaats van te wachten.
- Kies Bestemming verwijderen… om niet meer naar deze bestemming te verzenden.
Een bestemming met de status Mislukt, opnieuw proberen blijft het automatisch opnieuw proberen.