Журнал аудиту фіксує, хто, що, коли й звідки робив у вашому Livespace. До нього можна лише додавати записи, і жодна дія не оминає журнал. Ви можете шукати в ньому, експортувати його у форматі CSV або JSON чи передавати кожну подію до своїх інструментів безпеки.
Журнал аудиту доступний у тарифному плані Enterprise. Власники й адміністратори можуть відкрити його в розділі Налаштування › Журнал аудиту.
Що записується
Події згруповано за категоріями, за якими можна фільтрувати записи:
- Вхід, Єдиний вхід, Керування обліковими записами (SCIM) і Двоетапна перевірка: входи, невдалі й заблоковані спроби входу, виходи, зміни постачальника ідентифікації та токенів SCIM.
- Люди й Місця: запрошення, приєднання, зміни ролей, видалення учасників і передавання їхнього вмісту, а також випадки, коли хтось не зміг приєднатися, бо всі місця були зайняті.
- Політики, Моделі, Захист даних, Використання, Зберігання й Збереження для юридичних потреб: усі зміни налаштувань, які вносить адміністратор, а також випадки, коли захист даних маскує або блокує повідомлення.
- Дії асистента: кожен випадок, коли хтось дозволяє Dvina використовувати застосунок, відкривати сайт чи користуватися комп’ютером або зупиняє цю дію.
- Спільний доступ, Дані й Таблиці: до чого й кому надано доступ, публічні посилання, експорти й те, хто виконував запити до таблиці.
- Ключі API, Вебхуки, Цілі й Журнал аудиту: ключі та вебхуки, цілі завдань і зміни налаштувань експорту самого журналу та місць призначення.
Кожна подія містить відомості про те, хто виконав дію: учасник, адміністратор, ваш постачальник ідентифікації, Dvina чи асистент.
Знайдіть подію
- Відкрийте Налаштування й виберіть Журнал аудиту.
- Виберіть Події.
- Звузьте список за допомогою фільтрів Пошук (дія, людина або адреса), Категорія, Людина, Від і До.
- Виберіть подію, щоб переглянути її подробиці: Коли, Хто, IP-адреса, Дія, Об’єкт і Пристрій.
Найновіші події відображаються першими. Виберіть Показати більше, щоб переглянути старіші.
Експортуйте журнал
- У розділі Події налаштуйте фільтри для даних, які хочете експортувати.
- Виберіть Експортувати як CSV для роботи в електронній таблиці або Експортувати як JSON для використання в інструменті.
Якщо подій багато, експортуються лише найновіші, і Dvina повідомляє про це. Звузьте діапазон дат, щоб експортувати решту. Кожен експорт також записується в журнал.
Перегляньте, хто виконував запити до таблиці
Власник таблиці й адміністратори можуть переглянути кожен випадок, коли хтось виконував запит до неї. Відкрийте панель спільного доступу до таблиці, виберіть Люди з доступом, а потім Хто виконував запити до цієї таблиці. Кожен запис показує, скільки Рядків повернув запит і Звідки він надійшов: із чату, картки чи аналітичного висновку. Див. Керуйте тим, які рядки й стовпці бачать люди.
Надсилайте події до своєї SIEM
- У розділі Налаштування › Журнал аудиту, у блоці Місця призначення SIEM, виберіть Додати місце призначення.
- Виберіть свою SIEM, а потім укажіть Назву місця призначення.
- Заповніть поля Підключення для своєї SIEM (див. нижче), а потім виберіть Додати.
Для місця призначення типу «вебхук» Dvina показує Секрет підпису лише один раз. Використовуйте його, щоб перевіряти підпис кожного запиту.
| SIEM | Що ввести |
|---|---|
| Splunk | У полі URL введіть URL вашого HTTP Event Collector (…/services/collector/event), а в розділі Заголовки — його токен після «Splunk » у заголовку Authorization. |
| Microsoft Sentinel | Створіть кінцеву точку збору даних і правило для користувацької таблиці та надайте реєстрації застосунку роль Monitoring Metrics Publisher для цього правила. Потім введіть Кінцеву точку, Ідентифікатор клієнта (Tenant ID), Ідентифікатор застосунку (Client ID), Секрет клієнта, Ідентифікатор правила та Потік. |
| IBM QRadar | Додайте джерело журналів TLS Syslog із форматом Universal LEEF, потім введіть його Хост і TLS-Порт. |
| Google SecOps (Chronicle) | Створіть канал вебхука. У полі URL введіть URL його кінцевої точки, а в розділі Заголовки — ваш ключ Google Cloud API та секретний ключ каналу. |
Dvina також підтримує надсилання до Elastic Security, CrowdStrike Falcon LogScale, Datadog, Sumo Logic, ArcSight, Exabeam, Securonix і LogRhythm, syslog-серверів, як-от Wazuh або Graylog, а також Власний вебхук для будь-якої кінцевої точки HTTPS.
Примітка
Для надсилання потрібна публічна HTTPS-адреса або публічний syslog-хост.
Керування адресатом
Виберіть адресата, щоб переглянути його Статус, кількість подій у полі Надіслано, час у полі Останнє надсилання та повідомлення в полі Остання помилка, якщо воно є.
- Щоб призупинити надсилання, вимкніть Надсилати події.
- Щоб надіслати події одразу, не чекаючи, виберіть Надіслати зараз.
- Щоб припинити надсилання цьому адресату, виберіть Видалити адресата….
Якщо адресат має статус Помилка, повторна спроба, спроби надсилання автоматично продовжуються.