Дневник ревизије бележи ко је шта урадио, када и одакле у вашем простору Livespace. У њега се записи могу само додавати и ниједна активност не може да заобиђе евидентирање. Можете да га претражујете, извезете у формату CSV или JSON или шаљете сваки догађај својим безбедносним алатима.
Дневник ревизије је доступан у оквиру пакета Enterprise. Власници и администратори га отварају у Подешавања › Дневник ревизије.
Шта се бележи
Догађаји су груписани по областима, по којима можете да их филтрирате:
- Пријављивање, Јединствена пријава, Аутоматско управљање налозима (SCIM) и Верификација у два корака: пријављивања, неуспела и блокирана пријављивања, одјављивања, промене добављача идентитета и SCIM токена.
- Људи и Места: позиви, придруживања, промене улога, уклањања и предаја садржаја, као и случајеви када неко није могао да се придружи јер су сва места била заузета.
- Правила, Модели, Заштита података, Коришћење, Чување података и Задржавање података у правне сврхе: свака промена подешавања коју администратор направи, као и случајеви када заштита података прикрије или блокира поруку.
- Радње асистента: сваки пут када неко дозволи да Dvina користи апликацију, отвори сајт или користи рачунар, или то заустави.
- Дељење, Подаци и Табеле: шта се дели и са ким, јавни линкови, извози и ко је извршио упит над табелом.
- API кључеви, Вебхукови, Циљеви и Дневник ревизије: кључеви и вебхукови, циљеви на задацима и промене извоза и одредишта самог дневника.
Сваки догађај наводи ко је извршио радњу: члан, администратор, ваш добављач идентитета, Dvina или асистент.
Пронађите догађај
- Отворите Подешавања и изаберите Дневник ревизије.
- Изаберите Догађаји.
- Сузите листу помоћу филтера Претрага (радња, особа или адреса), Област, Особа, Од и До.
- Изаберите догађај да бисте видели његове детаље: Када, Ко, IP адреса, Радња, Циљ и Уређај.
Најновији догађаји се приказују први. Изаберите Прикажи још да бисте видели старије.
Извезите дневник
- У одељку Догађаји подесите филтере за оно што желите да извезете.
- Изаберите Извези као CSV за табеларни документ или Извези као JSON за алат.
Ако има много догађаја, извозе се само најновији, о чему вас Dvina обавештава. Сузите распон датума да бисте извезли остале. Сваки извоз се такође бележи у дневнику.
Погледајте ко је извршио упит над табелом
Власник табеле и администратори могу да виде сваки пут када је неко извршио упит над њом. Отворите панел за дељење табеле, изаберите Људи са приступом, па Ко је извршио упит над овом табелом. Сваки запис приказује колико је Редова враћено и Одакле је упит дошао: из ћаскања, картице или увида. Погледајте Контролишите које редове и колоне људи виде.
Шаљите догађаје у свој SIEM
- У Подешавања › Дневник ревизије, у одељку SIEM одредишта, изаберите Додај одредиште.
- Изаберите свој SIEM, па унесите Назив одредишта.
- Попуните поља у одељку Веза за свој SIEM (погледајте испод), па изаберите Додај.
За вебхук одредиште, Dvina приказује Тајни кључ за потписивање само једном. Користите га да проверите потпис сваког захтева.
| SIEM | Шта да унесете |
|---|---|
| Splunk | Унесите URL свог HTTP Event Collector-а (…/services/collector/event) у поље URL, а његов токен после „Splunk ” у заглавље Authorization у одељку Заглавља. |
| Microsoft Sentinel | Направите крајњу тачку и правило за прикупљање података за прилагођену табелу и доделите регистрацији апликације улогу Monitoring Metrics Publisher на том правилу. Затим унесите Крајњу тачку, ID закупца, ID клијента, Тајну клијента, ID правила и Ток. |
| IBM QRadar | Додајте TLS Syslog извор евиденције са форматом Universal LEEF, а затим унесите његов Хост и TLS Порт. |
| Google SecOps (Chronicle) | Направите webhook канал. Унесите URL његове крајње тачке у поље URL, а затим свој Google Cloud API кључ и тајни кључ канала у одељак Заглавља. |
Dvina подржава и одредишта за Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix и LogRhythm, syslog сервере као што су Wazuh или Graylog, као и Прилагођени webhook за било коју HTTPS крајњу тачку.
Напомена
Одредиште мора да има јавну HTTPS адресу или јавни syslog хост.
Управљајте одредиштем
Изаберите одредиште да видите његов Статус, колико је догађаја Послато, време Последњег слања и евентуалну Последњу грешку.
- Да бисте паузирали слање, искључите Шаљи догађаје.
- Да бисте послали догађаје одмах, без чекања, изаберите Пошаљи сада.
- Да бисте престали да шаљете догађаје на то одредиште, изаберите Избриши одредиште….
Одредиште са статусом Слање није успело, покушава се поново наставља аутоматски да покушава.