审计日志记录谁在何时、从何处在你的 Livespace 中执行了哪些操作。日志只能追加，任何操作都无法绕过日志记录。你可以搜索日志，将其导出为 CSV 或 JSON，或将每个事件流式传输到你的安全工具。
Enterprise 套餐包含审计日志。所有者和管理员可在设置 › 审计日志中打开它。
记录哪些内容
事件按类别分组，你可以按以下类别筛选：
- 登录、单点登录、预配 (SCIM) 和两步验证：登录、失败和被阻止的登录、退出登录，以及身份提供商和 SCIM 令牌的变更。
- 人员和席位：邀请、加入、角色变更、移除和内容移交，以及因席位已满而无法加入的情况。
- 策略、模型、数据保护、用量、保留和法律保留：管理员对每项设置的更改，以及数据保护屏蔽或阻止消息的情况。
- 助手操作：每次有人允许 Dvina 使用应用、打开网站或使用电脑，以及停止这些操作的情况。
- 共享、数据和表格：共享的内容及共享对象、公开链接、导出，以及谁查询了表格。
- API 密钥、Webhooks、目标和审计日志：密钥和 Webhooks、任务上的目标，以及日志自身的导出和目标位置的变更。
每个事件都会注明执行者：成员、管理员、你的身份提供商、Dvina 或助手。
查找事件
- 打开设置，选择审计日志。
- 选择事件。
- 使用搜索（操作、人员或地址）、类别、人员、开始时间和结束时间缩小列表范围。
- 选择一个事件，查看其详细信息：时间、执行者、IP 地址、操作、目标和设备。
最新的事件显示在最前面。选择显示更多可查看更早的事件。
导出日志
- 在事件中设置筛选条件，选择要导出的内容。
- 选择导出为 CSV，以便在电子表格中使用；或选择导出为 JSON，以便在工具中使用。
如果事件很多，系统只会导出最新的事件，Dvina 会提示你。缩小日期范围即可导出其余事件。每次导出也会记录在日志中。
查看谁查询了表格
表格所有者和管理员可以查看每次有人查询该表格的记录。打开表格的共享面板，选择有访问权限的人员，再选择谁查询了此表格。每条记录都会显示返回的行数以及查询的来源：聊天、卡片或洞察。参阅控制他人可以查看的行和列。
将事件发送到你的 SIEM
- 在设置 › 审计日志中，找到 SIEM 目标位置，选择添加目标位置。
- 选择你的 SIEM，然后为目标位置填写名称。
- 填写你的 SIEM 所需的连接字段（见下文），然后选择添加。
对于 Webhook 目标位置，Dvina 只会显示一次签名密钥。使用它来验证每个请求的签名。
| SIEM | 需要填写的内容 |
|---|---|
| Splunk | 在 URL 中输入你的 HTTP Event Collector URL (…/services/collector/event)，并在 请求头 下的 Authorization 请求头中，将对应的令牌填在“Splunk ”后面。 |
| Microsoft Sentinel | 为自定义表创建数据收集终结点和规则，并为应用注册分配该规则上的 Monitoring Metrics Publisher 角色。然后输入 终结点、租户 ID、客户端 ID、客户端密钥、规则 ID 和 流。 |
| IBM QRadar | 添加使用 Universal LEEF 的 TLS Syslog 日志源，然后输入其 主机 和 TLS 端口。 |
| Google SecOps (Chronicle) | 创建 webhook Feed。在 URL 中输入其终结点 URL，然后在 请求头 下输入你的 Google Cloud API 密钥和该 Feed 的密钥。 |
Dvina 还提供适用于 Elastic Security、CrowdStrike Falcon LogScale、Datadog、Sumo Logic、ArcSight、Exabeam、Securonix 和 LogRhythm 的目标，以及 Wazuh 或 Graylog 等 syslog 服务器目标，并提供适用于任意 HTTPS 终结点的 自定义 webhook。
说明
目标需要有可公开访问的 HTTPS 地址或 syslog 主机。
管理目标
选择一个目标，即可查看其 状态、已发送 的事件数量、上次发送时间 和 最近一次错误。
- 要暂停发送，请关闭 发送事件。
- 要立即发送事件而不等待，请选择 立即发送。
- 要停止向该目标发送事件，请选择 删除目标…。
状态为 发送失败，正在重试 的目标会持续自动重试。