Jurnalul de audit înregistrează cine a făcut ce, când și de unde în Livespace. Înregistrările pot fi doar adăugate, iar nicio acțiune nu poate ocoli jurnalul. Poți căuta în el, îl poți exporta în format CSV sau JSON ori poți transmite fiecare eveniment către instrumentele tale de securitate.
Jurnalul de audit este inclus în planul Enterprise. Proprietarii și administratorii îl pot deschide din Setări › Jurnal de audit.
Ce se înregistrează
Evenimentele sunt grupate în categorii după care poți filtra:
- Autentificare, Autentificare unică, Provizionare (SCIM) și Verificare în doi pași: autentificări, autentificări eșuate și blocate, deconectări, modificări ale furnizorului de identitate și ale tokenurilor SCIM.
- Persoane și Locuri: invitații, alăturări, schimbări de rol, eliminări și transferuri de conținut, precum și cazurile în care cineva nu s-a putut alătura deoarece toate locurile erau ocupate.
- Politici, Modele, Protecția datelor, Utilizare, Păstrarea datelor și Păstrare în scop juridic: fiecare setare modificată de un administrator și situațiile în care protecția datelor maschează sau blochează un mesaj.
- Acțiunile asistentului: fiecare situație în care cineva îi permite Dvina să folosească o aplicație, să deschidă un site sau să folosească computerul ori o oprește.
- Partajare, Date și Tabele: ce se partajează și cu cine, linkuri publice, exporturi și cine a interogat un tabel.
- Chei API, Webhookuri, Obiective și Jurnal de audit: chei și webhookuri, obiective pentru sarcini și modificări ale exporturilor și destinațiilor jurnalului.
Fiecare eveniment indică cine a efectuat acțiunea: un membru, un administrator, furnizorul tău de identitate, Dvina sau asistentul.
Găsește un eveniment
- Deschide Setări și alege Jurnal de audit.
- Alege Evenimente.
- Restrânge lista folosind Căutare (o acțiune, o persoană sau o adresă), Categorie, Persoană, De la și Până la.
- Alege un eveniment pentru a-i vedea detaliile: Când, Cine, Adresă IP, Acțiune, Țintă și Dispozitiv.
Cele mai recente evenimente apar primele. Alege Afișează mai multe pentru a le vedea pe cele mai vechi.
Exportă jurnalul
- În Evenimente, setează filtrele pentru ceea ce vrei să exporți.
- Alege Exportă ca CSV pentru o foaie de calcul sau Exportă ca JSON pentru un instrument.
Dacă sunt multe evenimente, se exportă doar cele mai recente, iar Dvina te anunță. Restrânge intervalul de date pentru a le exporta pe celelalte. Fiecare export este înregistrat și el în jurnal.
Vezi cine a interogat un tabel
Proprietarul unui tabel și administratorii pot vedea fiecare situație în care cineva l-a interogat. Deschide panoul de partajare al tabelului, alege Persoane cu acces, apoi Cine a interogat acest tabel. Fiecare înregistrare arată câte Rânduri au fost returnate și De unde a venit interogarea: dintr-o conversație, de pe un card sau dintr-o analiză. Consultă Controlează ce rânduri și coloane văd persoanele.
Trimite evenimente către SIEM-ul tău
- În Setări › Jurnal de audit, la Destinații SIEM, alege Adaugă o destinație.
- Alege SIEM-ul tău, apoi dă-i destinației un Nume.
- Completează câmpurile din Conexiune pentru SIEM-ul tău (vezi mai jos), apoi alege Adaugă.
Pentru o destinație webhook, Dvina afișează o singură dată un Secret de semnare. Folosește-l pentru a verifica semnătura fiecărei cereri.
| SIEM | Ce trebuie să introduci |
|---|---|
| Splunk | Adresa URL a HTTP Event Collector (…/services/collector/event) în câmpul URL și tokenul acestuia după „Splunk ” în antetul Authorization din secțiunea Antete. |
| Microsoft Sentinel | Creează un punct de colectare a datelor și o regulă pentru un tabel personalizat și atribuie unei înregistrări de aplicație rolul Monitoring Metrics Publisher pentru regulă. Apoi introdu Punct final, ID entitate găzduită, ID client, Secret client, ID regulă și Flux. |
| IBM QRadar | Adaugă o sursă de jurnale TLS Syslog cu Universal LEEF, apoi introdu Gazdă și Port TLS. |
| Google SecOps (Chronicle) | Creează un flux webhook. Introdu adresa URL a punctului final în câmpul URL, apoi cheia API Google Cloud și cheia secretă a fluxului în secțiunea Antete. |
Dvina oferă și destinații pentru Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix și LogRhythm, servere syslog precum Wazuh sau Graylog și un Webhook personalizat pentru orice punct final HTTPS.
Notă
O destinație are nevoie de o adresă HTTPS publică sau de o gazdă syslog publică.
Gestionează o destinație
Selectează o destinație pentru a vedea Starea, câte evenimente au fost Trimise, data Ultimei trimiteri și orice Ultimă eroare.
- Pentru a întrerupe trimiterea, dezactivează Trimite evenimente.
- Pentru a trimite evenimente imediat, fără să aștepți, selectează Trimite acum.
- Pentru a opri trimiterea către destinație, selectează Șterge destinația….
O destinație cu starea Eșec, se reîncearcă continuă să încerce automat.