Dziennik audytu zapisuje, kto, co, kiedy i skąd zrobił w Twoim Livespace. Wpisy można tylko dodawać, a żadne działanie nie może ominąć dziennika. Możesz go przeszukiwać, eksportować jako CSV lub JSON albo przesyłać każde zdarzenie do swoich narzędzi bezpieczeństwa.
Dziennik audytu jest dostępny w planie Enterprise. Właściciele i administratorzy mogą go otworzyć w Ustawieniach › Dziennik audytu.
Co jest rejestrowane
Zdarzenia są pogrupowane według obszarów, po których możesz filtrować:
- Logowanie, Logowanie jednokrotne, Aprowizacja (SCIM) i Weryfikacja dwuetapowa: logowania, nieudane i zablokowane próby logowania, wylogowania oraz zmiany dostawcy tożsamości i tokenów SCIM.
- Osoby i Miejsca: zaproszenia, dołączenia, zmiany ról, usunięcia i przekazanie treści oraz przypadki, gdy ktoś nie mógł dołączyć, bo wszystkie miejsca były zajęte.
- Zasady, Modele, Ochrona danych, Użycie, Przechowywanie i Blokady prawne: każda zmiana ustawień przez administratora oraz przypadki, gdy ochrona danych maskuje lub blokuje wiadomość.
- Działania asystenta: każde zezwolenie Dvina na użycie aplikacji, otwarcie strony lub korzystanie z komputera oraz każde zatrzymanie takiego działania.
- Udostępnianie, Dane i Tabele: co jest udostępniane i komu, linki publiczne, eksporty oraz kto wykonał zapytanie do tabeli.
- Klucze API, Webhooki, Cele i Dziennik audytu: klucze i webhooki, cele w zadaniach oraz zmiany eksportów i miejsc docelowych samego dziennika.
Każde zdarzenie wskazuje, kto wykonał działanie: członek, administrator, Twój dostawca tożsamości, Dvina lub asystent.
Znajdź zdarzenie
- Otwórz Ustawienia i wybierz Dziennik audytu.
- Wybierz Zdarzenia.
- Zawęź listę za pomocą filtrów Szukaj (działanie, osoba lub adres), Obszar, Osoba, Od i Do.
- Wybierz zdarzenie, aby zobaczyć jego szczegóły: Kiedy, Kto, Adres IP, Działanie, Cel i Urządzenie.
Najnowsze zdarzenia są wyświetlane na początku. Wybierz Pokaż więcej, aby zobaczyć starsze.
Wyeksportuj dziennik
- W sekcji Zdarzenia ustaw filtry tak, aby wyświetlić zdarzenia, które chcesz wyeksportować.
- Wybierz Eksportuj jako CSV, aby użyć danych w arkuszu kalkulacyjnym, lub Eksportuj jako JSON, aby użyć ich w narzędziu.
Jeśli zdarzeń jest dużo, eksportowane są tylko najnowsze, o czym Dvina Cię informuje. Zawęź zakres dat, aby wyeksportować pozostałe. Każdy eksport również jest zapisywany w dzienniku.
Sprawdź, kto wykonał zapytanie do tabeli
Właściciel tabeli i administratorzy mogą zobaczyć każde zapytanie do niej. Otwórz panel udostępniania tabeli, wybierz Osoby z dostępem, a następnie Kto wykonał zapytanie do tej tabeli. Każdy wpis pokazuje liczbę zwróconych wierszy w polu Wiersze i źródło zapytania w polu Z: czat, kartę lub analizę. Zobacz Kontroluj, które wiersze i kolumny widzą użytkownicy.
Wysyłaj zdarzenia do swojego systemu SIEM
- W Ustawieniach › Dziennik audytu, w sekcji Miejsca docelowe SIEM, wybierz Dodaj miejsce docelowe.
- Wybierz swój system SIEM, a następnie nadaj miejscu docelowemu Nazwę.
- Wypełnij pola w sekcji Połączenie dla swojego systemu SIEM (zobacz poniżej), a następnie wybierz Dodaj.
W przypadku miejsca docelowego typu webhook Dvina wyświetla Sekret podpisywania tylko raz. Użyj go, aby sprawdzać podpis każdego żądania.
| SIEM | Co wpisać |
|---|---|
| Splunk | Podaj adres URL usługi HTTP Event Collector (…/services/collector/event) w polu URL, a jej token po „Splunk ” w nagłówku Authorization w sekcji Nagłówki. |
| Microsoft Sentinel | Utwórz punkt końcowy i regułę zbierania danych dla tabeli niestandardowej oraz nadaj zarejestrowanej aplikacji rolę Monitoring Metrics Publisher w tej regule. Następnie wypełnij pola Punkt końcowy, Identyfikator dzierżawy, Identyfikator klienta, Klucz tajny klienta, Identyfikator reguły i Strumień. |
| IBM QRadar | Dodaj źródło logów TLS Syslog z formatem Universal LEEF, a następnie podaj jego Host i Port TLS. |
| Google SecOps (Chronicle) | Utwórz kanał webhook. Podaj adres URL jego punktu końcowego w polu URL, a następnie klucz API Google Cloud i klucz tajny kanału w sekcji Nagłówki. |
Dvina obsługuje również miejsca docelowe dla Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix i LogRhythm, serwery syslog, takie jak Wazuh lub Graylog, oraz Niestandardowy webhook dla dowolnego punktu końcowego HTTPS.
Informacja
Miejsce docelowe wymaga publicznego adresu HTTPS lub publicznego hosta syslog.
Zarządzanie miejscem docelowym
Wybierz miejsce docelowe, aby zobaczyć jego Status, liczbę zdarzeń w polu Wysłano, czas w polu Ostatnia wysyłka oraz ewentualny Ostatni błąd.
- Aby wstrzymać wysyłanie, wyłącz opcję Wysyłaj zdarzenia.
- Aby wysłać zdarzenia od razu, zamiast czekać, wybierz Wyślij teraz.
- Aby przestać wysyłać zdarzenia do tego miejsca, wybierz Usuń miejsce docelowe….
Miejsce docelowe ze statusem Błąd, ponawianie próby automatycznie ponawia próby wysyłania.