# Использование журнала аудита

> Узнайте, кто, что и когда сделал в вашем Livespace, экспортируйте журнал и передавайте каждое событие в свою SIEM.

Журнал аудита хранит сведения о том, кто, что, когда и откуда сделал в вашем Livespace. Записи в него можно только добавлять, и ни одно действие не может остаться незаписанным. Вы можете искать события в журнале, экспортировать его в CSV или JSON либо передавать каждое событие в свои инструменты безопасности.

Журнал аудита доступен на тарифе Enterprise. Владельцы и администраторы могут открыть его в разделе Настройки › **Журнал аудита**.

## Что записывается

События сгруппированы по категориям, которые можно использовать для фильтрации:

- **Вход**, **Единый вход**, **Подготовка учетных записей (SCIM)** и **Двухэтапная проверка**: входы, неудачные и заблокированные попытки входа, выходы, изменения поставщика удостоверений и токенов SCIM.
- **Участники** и **Места**: приглашения, присоединения, изменения ролей, удаления и передача контента, а также случаи, когда кто-то не смог присоединиться из-за отсутствия свободных мест.
- **Политики**, **Модели**, **Защита данных**, **Использование**, **Хранение** и **Запреты на удаление по юридическим основаниям**: все изменения настроек администратором, а также случаи, когда защита данных маскирует или блокирует сообщение.
- **Действия ассистента**: каждый случай, когда кто-то разрешает Dvina использовать приложение, открыть сайт или работать с компьютером либо останавливает эти действия.
- **Общий доступ**, **Данные** и **Таблицы**: к чему и кому предоставлен доступ, общедоступные ссылки, экспорт и сведения о том, кто выполнял запросы к таблице.
- **Ключи API**, **Вебхуки**, **Цели** и **Журнал аудита**: ключи и вебхуки, цели задач, а также изменения настроек экспорта самого журнала и мест назначения.

В каждом событии указано, кто выполнил действие: участник, администратор, ваш поставщик удостоверений, Dvina или ассистент.

## Найдите событие

1. Откройте Настройки и выберите **Журнал аудита**.
2. Выберите **События**.
3. Сузьте список с помощью **Поиска** (по действию, человеку или адресу) и фильтров **Категория**, **Участник**, **С** и **По**.
4. Выберите событие, чтобы посмотреть подробности: **Когда**, **Кто**, **IP-адрес**, **Действие**, **Объект** и **Устройство**.

Сначала показаны самые новые события. Выберите **Показать еще**, чтобы увидеть более ранние.

## Экспортируйте журнал

1. В разделе **События** настройте фильтры, чтобы выбрать события для экспорта.
2. Выберите **Экспортировать в CSV** для работы с электронной таблицей или **Экспортировать в JSON** для обработки в другом инструменте.

Если событий много, экспортируются только самые новые, и Dvina сообщит вам об этом. Сузьте диапазон дат, чтобы экспортировать остальные. Каждый экспорт тоже записывается в журнал.

## Посмотрите, кто выполнял запросы к таблице

Владелец таблицы и администраторы могут увидеть каждый случай выполнения запроса к ней. Откройте панель общего доступа к таблице, выберите **Участники с доступом**, затем **Кто выполнял запросы к этой таблице**. Каждая запись показывает, сколько **Строк** вернул запрос и **Откуда** он поступил: из чата, карточки или инсайта. См. [Управление доступом к строкам и столбцам](/docs/connectors/row-and-column-access).

## Отправляйте события в свою SIEM

1. В разделе Настройки › **Журнал аудита**, в блоке **Места назначения SIEM**, выберите **Добавить место назначения**.
2. Выберите свою SIEM, затем укажите **Название** места назначения.
3. Заполните поля **Подключения** для своей SIEM (см. ниже), затем выберите **Добавить**.

Если место назначения — вебхук, Dvina один раз покажет **Секрет подписи**. Используйте его для проверки подписи каждого запроса.

| SIEM                          | Что указать                                                                                                                                                                                                                                            |
| ----------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Splunk**                    | Укажите адрес HTTP Event Collector (…/services/collector/event) в поле **URL**, а его токен — после «Splunk » в заголовке Authorization в разделе **Заголовки**.                                                                                                  |
| **Microsoft Sentinel**        | Создайте конечную точку и правило сбора данных для пользовательской таблицы и назначьте зарегистрированному приложению роль Monitoring Metrics Publisher для этого правила. Затем укажите **Конечную точку**, **ID арендатора**, **ID клиента**, **Секрет клиента**, **ID правила** и **Поток**. |
| **IBM QRadar**                | Добавьте источник журналов TLS Syslog с форматом Universal LEEF, затем укажите его **Хост** и **Порт** TLS.                                                                                                                                                               |
| **Google SecOps (Chronicle)** | Создайте канал вебхука. Укажите URL его конечной точки в поле **URL**, затем добавьте свой ключ Google Cloud API и секретный ключ канала в разделе **Заголовки**.                                                                                                                |

В Dvina также доступны получатели для Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix и LogRhythm, серверов syslog, таких как Wazuh или Graylog, а также **Пользовательский вебхук** для любой конечной точки HTTPS.

> [!NOTE]
> Получателю нужен общедоступный адрес HTTPS или общедоступный хост syslog.

### Управление получателем

Выберите получателя, чтобы увидеть его **Статус**, количество **Отправленных** событий, время **Последней отправки** и **Последнюю ошибку**, если она возникла.

- Чтобы приостановить отправку, отключите **Отправлять события**.
- Чтобы отправить события сразу, не дожидаясь очередной отправки, выберите **Отправить сейчас**.
- Чтобы прекратить отправку этому получателю, выберите **Удалить получателя…**.

Получатель со статусом **Ошибка, повторные попытки** продолжает повторять попытки автоматически.

## См. также

- [Единый вход и подготовка учётных записей](/docs/teams/sso)
- [Участники и роли](/docs/teams/members-and-roles)
- [Dvina для команд и компаний](/docs/teams/overview)
- [Конфиденциальность и данные](/docs/help/privacy-and-data)