# 使用审计日志

> 查看谁在何时在你的 Livespace 中执行了哪些操作，导出日志，并将每个事件流式传输到你的 SIEM。

审计日志记录谁在何时、从何处在你的 Livespace 中执行了哪些操作。日志只能追加，任何操作都无法绕过日志记录。你可以搜索日志，将其导出为 CSV 或 JSON，或将每个事件流式传输到你的安全工具。

Enterprise 套餐包含审计日志。所有者和管理员可在设置 › **审计日志**中打开它。

## 记录哪些内容

事件按类别分组，你可以按以下类别筛选：

- **登录**、**单点登录**、**预配 (SCIM)** 和**两步验证**：登录、失败和被阻止的登录、退出登录，以及身份提供商和 SCIM 令牌的变更。
- **人员**和**席位**：邀请、加入、角色变更、移除和内容移交，以及因席位已满而无法加入的情况。
- **策略**、**模型**、**数据保护**、**用量**、**保留**和**法律保留**：管理员对每项设置的更改，以及数据保护屏蔽或阻止消息的情况。
- **助手操作**：每次有人允许 Dvina 使用应用、打开网站或使用电脑，以及停止这些操作的情况。
- **共享**、**数据**和**表格**：共享的内容及共享对象、公开链接、导出，以及谁查询了表格。
- **API 密钥**、**Webhooks**、**目标**和**审计日志**：密钥和 Webhooks、任务上的目标，以及日志自身的导出和目标位置的变更。

每个事件都会注明执行者：成员、管理员、你的身份提供商、Dvina 或助手。

## 查找事件

1. 打开设置，选择**审计日志**。
2. 选择**事件**。
3. 使用**搜索**（操作、人员或地址）、**类别**、**人员**、**开始时间**和**结束时间**缩小列表范围。
4. 选择一个事件，查看其详细信息：**时间**、**执行者**、**IP 地址**、**操作**、**目标**和**设备**。

最新的事件显示在最前面。选择**显示更多**可查看更早的事件。

## 导出日志

1. 在**事件**中设置筛选条件，选择要导出的内容。
2. 选择**导出为 CSV**，以便在电子表格中使用；或选择**导出为 JSON**，以便在工具中使用。

如果事件很多，系统只会导出最新的事件，Dvina 会提示你。缩小日期范围即可导出其余事件。每次导出也会记录在日志中。

## 查看谁查询了表格

表格所有者和管理员可以查看每次有人查询该表格的记录。打开表格的共享面板，选择**有访问权限的人员**，再选择**谁查询了此表格**。每条记录都会显示返回的**行数**以及查询的**来源**：聊天、卡片或洞察。参阅[控制他人可以查看的行和列](/docs/connectors/row-and-column-access)。

## 将事件发送到你的 SIEM

1. 在设置 › **审计日志**中，找到 **SIEM 目标位置**，选择**添加目标位置**。
2. 选择你的 SIEM，然后为目标位置填写**名称**。
3. 填写你的 SIEM 所需的**连接**字段（见下文），然后选择**添加**。

对于 Webhook 目标位置，Dvina 只会显示一次**签名密钥**。使用它来验证每个请求的签名。

| SIEM                          | 需要填写的内容                                                                                                                                                                                                                                            |
| ----------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Splunk**                    | 在 **URL** 中输入你的 HTTP Event Collector URL (…/services/collector/event)，并在 **请求头** 下的 Authorization 请求头中，将对应的令牌填在“Splunk ”后面。                                                                                                  |
| **Microsoft Sentinel**        | 为自定义表创建数据收集终结点和规则，并为应用注册分配该规则上的 Monitoring Metrics Publisher 角色。然后输入 **终结点**、**租户 ID**、**客户端 ID**、**客户端密钥**、**规则 ID** 和 **流**。 |
| **IBM QRadar**                | 添加使用 Universal LEEF 的 TLS Syslog 日志源，然后输入其 **主机** 和 TLS **端口**。                                                                                                                                                               |
| **Google SecOps (Chronicle)** | 创建 webhook Feed。在 **URL** 中输入其终结点 URL，然后在 **请求头** 下输入你的 Google Cloud API 密钥和该 Feed 的密钥。                                                                                                                |

Dvina 还提供适用于 Elastic Security、CrowdStrike Falcon LogScale、Datadog、Sumo Logic、ArcSight、Exabeam、Securonix 和 LogRhythm 的目标，以及 Wazuh 或 Graylog 等 syslog 服务器目标，并提供适用于任意 HTTPS 终结点的 **自定义 webhook**。

> [!NOTE]
> 目标需要有可公开访问的 HTTPS 地址或 syslog 主机。

### 管理目标

选择一个目标，即可查看其 **状态**、**已发送** 的事件数量、**上次发送时间** 和 **最近一次错误**。

- 要暂停发送，请关闭 **发送事件**。
- 要立即发送事件而不等待，请选择 **立即发送**。
- 要停止向该目标发送事件，请选择 **删除目标…**。

状态为 **发送失败，正在重试** 的目标会持续自动重试。

## 相关内容

- [单点登录与预配](/docs/teams/sso)
- [成员与角色](/docs/teams/members-and-roles)
- [适用于团队和公司的 Dvina](/docs/teams/overview)
- [隐私与数据](/docs/help/privacy-and-data)