Granskningsloggen registrerar vem som gjorde vad, när och varifrån i din Livespace. Det går bara att lägga till poster, och inget kan undgå att loggas. Du kan söka i loggen, exportera den som CSV eller JSON eller strömma varje händelse till dina säkerhetsverktyg.
Granskningsloggen ingår i Enterprise-planen. Ägare och administratörer öppnar den i Inställningar › Granskningslogg.
Vad som registreras
Händelserna är grupperade i områden som du kan filtrera efter:
- Inloggning, Enkel inloggning, Provisionering (SCIM) och Tvåstegsverifiering: inloggningar, misslyckade och blockerade inloggningar, utloggningar samt ändringar av identitetsleverantör och SCIM-token.
- Personer och Platser: inbjudningar, nya medlemmar, rolländringar, borttagningar och överlämnat innehåll samt när någon inte kunde gå med eftersom alla platser var upptagna.
- Policyer, Modeller, Dataskydd, Användning, Lagringstid och Bevarande av juridiska skäl: varje inställning som en administratör ändrar samt när dataskyddet maskerar eller blockerar ett meddelande.
- Assistentåtgärder: varje gång någon låter Dvina använda en app, öppna en webbplats eller använda datorn, eller stoppar det.
- Delning, Data och Tabeller: vad som delas och med vem, offentliga länkar, exporter och vem som körde en fråga mot en tabell.
- API-nycklar, Webhooks, Mål och Granskningslogg: nycklar och webhooks, mål för uppgifter samt ändringar av loggens egna exporter och destinationer.
Varje händelse anger vem som utförde den: en medlem, en administratör, din identitetsleverantör, Dvina eller assistenten.
Hitta en händelse
- Öppna Inställningar och välj Granskningslogg.
- Välj Händelser.
- Begränsa listan med Sök (en åtgärd, en person eller en adress), Område, Person, Från och Till.
- Välj en händelse för att se detaljerna: När, Vem, IP-adress, Åtgärd, Mål och Enhet.
De senaste händelserna visas först. Välj Visa fler för att se äldre händelser.
Exportera loggen
- Ställ in filtren i Händelser för det du vill exportera.
- Välj Exportera som CSV för ett kalkylblad eller Exportera som JSON för ett verktyg.
Om det finns många händelser exporteras bara de senaste, och Dvina meddelar dig om det. Begränsa datumintervallet för att exportera resten. Varje export registreras också i loggen.
Se vem som körde en fråga mot en tabell
Tabellens ägare och administratörerna kan se varje gång någon körde en fråga mot den. Öppna tabellens delningspanel, välj Personer med åtkomst och sedan Vem har kört frågor mot den här tabellen. Varje post visar hur många Rader som returnerades och varifrån frågan kom under Från: en chatt, ett kort eller en insikt. Se Styr vilka rader och kolumner personer kan se.
Skicka händelser till ditt SIEM
- I Inställningar › Granskningslogg, under SIEM-destinationer, väljer du Lägg till destination.
- Välj ditt SIEM och ge sedan destinationen ett Namn.
- Fyll i fälten under Anslutning för ditt SIEM (se nedan) och välj sedan Lägg till.
För en webhook-destination visar Dvina en Signeringshemlighet en enda gång. Använd den för att kontrollera signaturen för varje begäran.
| SIEM | Vad du ska ange |
|---|---|
| Splunk | Ange din HTTP Event Collector-URL (…/services/collector/event) som URL och dess token efter ”Splunk ” i Authorization-headern under Headers. |
| Microsoft Sentinel | Skapa en slutpunkt och en regel för datainsamling för en anpassad tabell och ge en appregistrering rollen Monitoring Metrics Publisher för regeln. Ange sedan Slutpunkt, Klientorganisations-ID, Klient-ID, Klienthemlighet, Regel-ID och Ström. |
| IBM QRadar | Lägg till en TLS Syslog-loggkälla med Universal LEEF och ange sedan dess Värd och TLS-Port. |
| Google SecOps (Chronicle) | Skapa ett webhook-flöde. Ange flödets slutpunkts-URL som URL och sedan din Google Cloud API-nyckel och flödets hemliga nyckel under Headers. |
Dvina har också destinationer för Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix och LogRhythm, syslog-servrar som Wazuh eller Graylog samt en Anpassad webhook för valfri HTTPS-slutpunkt.
Obs
En destination behöver en offentlig HTTPS-adress eller en offentlig syslog-värd.
Hantera en destination
Välj en destination för att se dess Status, hur många händelser som har Skickats, när den Senast skickade och eventuellt Senaste fel.
- Pausa destinationen genom att stänga av Skicka händelser.
- Skicka händelser direkt i stället för att vänta genom att välja Skicka nu.
- Sluta skicka till destinationen genom att välja Ta bort destination….
En destination med statusen Fel, försöker igen fortsätter att försöka automatiskt.