O registro de auditoria guarda quem fez o quê, quando e de onde no seu Livespace. Ele só permite adicionar registros, e nada pode ficar de fora. Você pode pesquisar nele, exportá-lo como CSV ou JSON ou transmitir todos os eventos para suas ferramentas de segurança.
O registro de auditoria está incluído no plano Enterprise. Proprietários e administradores podem acessá-lo em Ajustes › Registro de auditoria.
O que é registrado
Os eventos são agrupados em áreas, que você pode usar como filtros:
- Login, Login único, Provisionamento (SCIM) e Verificação em duas etapas: logins, tentativas de login que falharam ou foram bloqueadas, logouts, alterações no provedor de identidade e nos tokens SCIM.
- Pessoas e Vagas: convites, entradas, mudanças de função, remoções e transferências de conteúdo, além de tentativas de entrada impedidas porque todas as vagas estavam ocupadas.
- Políticas, Modelos, Proteção de dados, Uso, Retenção e Retenções legais: cada ajuste alterado por um administrador e cada vez que a proteção de dados mascara ou bloqueia uma mensagem.
- Ações do assistente: cada vez que alguém permite que Dvina use um app, abra um site ou use o computador, ou interrompe essas ações.
- Compartilhamento, Dados e Tabelas: o que é compartilhado e com quem, links públicos, exportações e quem consultou uma tabela.
- Chaves de API, Webhooks, Metas e Registro de auditoria: chaves e webhooks, metas em tarefas e alterações nas exportações e nos destinos do próprio registro.
Cada evento identifica quem realizou a ação: um membro, um administrador, seu provedor de identidade, Dvina ou o assistente.
Encontre um evento
- Abra Ajustes e selecione Registro de auditoria.
- Selecione Eventos.
- Refine a lista com Busca (uma ação, uma pessoa ou um endereço), Área, Pessoa, De e Até.
- Selecione um evento para ver os detalhes: Quando, Quem, Endereço IP, Ação, Alvo e Dispositivo.
Os eventos mais recentes aparecem primeiro. Selecione Mostrar mais para ver os mais antigos.
Exporte o registro
- Em Eventos, defina os filtros para o que você quer exportar.
- Selecione Exportar como CSV para usar em uma planilha ou Exportar como JSON para usar em uma ferramenta.
Se houver muitos eventos, apenas os mais recentes serão exportados, e Dvina avisará você. Reduza o intervalo de datas para exportar o restante. Cada exportação também fica registrada.
Veja quem consultou uma tabela
O proprietário de uma tabela e os administradores podem ver cada vez que alguém a consultou. Abra o painel de compartilhamento da tabela, selecione Pessoas com acesso e depois Quem consultou esta tabela. Cada entrada mostra quantas Linhas foram retornadas e a Origem da consulta: um chat, um cartão ou um insight. Veja Controle quais linhas e colunas as pessoas podem ver.
Envie eventos para o seu SIEM
- Em Ajustes › Registro de auditoria, na seção Destinos SIEM, selecione Adicionar destino.
- Escolha seu SIEM e dê um Nome ao destino.
- Preencha os campos de Conexão do seu SIEM (veja abaixo) e selecione Adicionar.
Para um destino de webhook, Dvina mostra um Segredo de assinatura uma única vez. Use-o para verificar a assinatura de cada solicitação.
| SIEM | O que inserir |
|---|---|
| Splunk | Insira a URL do seu HTTP Event Collector (…/services/collector/event) em URL e o token após “Splunk ” no cabeçalho Authorization, em Cabeçalhos. |
| Microsoft Sentinel | Crie um ponto de extremidade e uma regra de coleta de dados para uma tabela personalizada e atribua a um registro de aplicativo a função Monitoring Metrics Publisher na regra. Depois, insira Ponto de extremidade, ID do locatário, ID do cliente, Segredo do cliente, ID da regra e Fluxo. |
| IBM QRadar | Adicione uma fonte de logs TLS Syslog com Universal LEEF e insira o Host e a Porta TLS. |
| Google SecOps (Chronicle) | Crie um feed de webhook. Insira a URL do ponto de extremidade em URL e, em Cabeçalhos, a chave de API do Google Cloud e a chave secreta do feed. |
Dvina também oferece destinos para Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix e LogRhythm, servidores syslog como Wazuh ou Graylog e um Webhook personalizado para qualquer ponto de extremidade HTTPS.
Nota
Um destino precisa de um endereço HTTPS público ou de um host syslog público.
Gerenciar um destino
Selecione um destino para ver seu Status, quantos eventos foram Enviados, quando ocorreu o Último envio e qualquer Último erro.
- Para pausar o envio, desative Enviar eventos.
- Para enviar eventos imediatamente, sem esperar, selecione Enviar agora.
- Para parar de enviar eventos para esse destino, selecione Excluir destino….
Um destino com o status Falha, tentando novamente continua tentando automaticamente.