Журнал аудита хранит сведения о том, кто, что, когда и откуда сделал в вашем Livespace. Записи в него можно только добавлять, и ни одно действие не может остаться незаписанным. Вы можете искать события в журнале, экспортировать его в CSV или JSON либо передавать каждое событие в свои инструменты безопасности.
Журнал аудита доступен на тарифе Enterprise. Владельцы и администраторы могут открыть его в разделе Настройки › Журнал аудита.
Что записывается
События сгруппированы по категориям, которые можно использовать для фильтрации:
- Вход, Единый вход, Подготовка учетных записей (SCIM) и Двухэтапная проверка: входы, неудачные и заблокированные попытки входа, выходы, изменения поставщика удостоверений и токенов SCIM.
- Участники и Места: приглашения, присоединения, изменения ролей, удаления и передача контента, а также случаи, когда кто-то не смог присоединиться из-за отсутствия свободных мест.
- Политики, Модели, Защита данных, Использование, Хранение и Запреты на удаление по юридическим основаниям: все изменения настроек администратором, а также случаи, когда защита данных маскирует или блокирует сообщение.
- Действия ассистента: каждый случай, когда кто-то разрешает Dvina использовать приложение, открыть сайт или работать с компьютером либо останавливает эти действия.
- Общий доступ, Данные и Таблицы: к чему и кому предоставлен доступ, общедоступные ссылки, экспорт и сведения о том, кто выполнял запросы к таблице.
- Ключи API, Вебхуки, Цели и Журнал аудита: ключи и вебхуки, цели задач, а также изменения настроек экспорта самого журнала и мест назначения.
В каждом событии указано, кто выполнил действие: участник, администратор, ваш поставщик удостоверений, Dvina или ассистент.
Найдите событие
- Откройте Настройки и выберите Журнал аудита.
- Выберите События.
- Сузьте список с помощью Поиска (по действию, человеку или адресу) и фильтров Категория, Участник, С и По.
- Выберите событие, чтобы посмотреть подробности: Когда, Кто, IP-адрес, Действие, Объект и Устройство.
Сначала показаны самые новые события. Выберите Показать еще, чтобы увидеть более ранние.
Экспортируйте журнал
- В разделе События настройте фильтры, чтобы выбрать события для экспорта.
- Выберите Экспортировать в CSV для работы с электронной таблицей или Экспортировать в JSON для обработки в другом инструменте.
Если событий много, экспортируются только самые новые, и Dvina сообщит вам об этом. Сузьте диапазон дат, чтобы экспортировать остальные. Каждый экспорт тоже записывается в журнал.
Посмотрите, кто выполнял запросы к таблице
Владелец таблицы и администраторы могут увидеть каждый случай выполнения запроса к ней. Откройте панель общего доступа к таблице, выберите Участники с доступом, затем Кто выполнял запросы к этой таблице. Каждая запись показывает, сколько Строк вернул запрос и Откуда он поступил: из чата, карточки или инсайта. См. Управление доступом к строкам и столбцам.
Отправляйте события в свою SIEM
- В разделе Настройки › Журнал аудита, в блоке Места назначения SIEM, выберите Добавить место назначения.
- Выберите свою SIEM, затем укажите Название места назначения.
- Заполните поля Подключения для своей SIEM (см. ниже), затем выберите Добавить.
Если место назначения — вебхук, Dvina один раз покажет Секрет подписи. Используйте его для проверки подписи каждого запроса.
| SIEM | Что указать |
|---|---|
| Splunk | Укажите адрес HTTP Event Collector (…/services/collector/event) в поле URL, а его токен — после «Splunk » в заголовке Authorization в разделе Заголовки. |
| Microsoft Sentinel | Создайте конечную точку и правило сбора данных для пользовательской таблицы и назначьте зарегистрированному приложению роль Monitoring Metrics Publisher для этого правила. Затем укажите Конечную точку, ID арендатора, ID клиента, Секрет клиента, ID правила и Поток. |
| IBM QRadar | Добавьте источник журналов TLS Syslog с форматом Universal LEEF, затем укажите его Хост и Порт TLS. |
| Google SecOps (Chronicle) | Создайте канал вебхука. Укажите URL его конечной точки в поле URL, затем добавьте свой ключ Google Cloud API и секретный ключ канала в разделе Заголовки. |
В Dvina также доступны получатели для Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix и LogRhythm, серверов syslog, таких как Wazuh или Graylog, а также Пользовательский вебхук для любой конечной точки HTTPS.
Примечание
Получателю нужен общедоступный адрес HTTPS или общедоступный хост syslog.
Управление получателем
Выберите получателя, чтобы увидеть его Статус, количество Отправленных событий, время Последней отправки и Последнюю ошибку, если она возникла.
- Чтобы приостановить отправку, отключите Отправлять события.
- Чтобы отправить события сразу, не дожидаясь очередной отправки, выберите Отправить сейчас.
- Чтобы прекратить отправку этому получателю, выберите Удалить получателя….
Получатель со статусом Ошибка, повторные попытки продолжает повторять попытки автоматически.