審計記錄會記下誰在何時、從哪裏於你的 Livespace 進行了哪些操作。記錄只可新增，不能修改，任何操作都無法略過記錄。你可以搜尋記錄、將記錄匯出為 CSV 或 JSON，或將每個事件串流傳送至你的安全工具。
Enterprise 方案包含審計記錄功能。擁有者和管理員可在「設定」› 審計記錄中開啟。
記錄哪些內容
事件按範疇分組，你可以按以下範疇篩選：
- 登入、單一登入、佈建 (SCIM) 和 兩步驟驗證：登入、失敗及被封鎖的登入、登出，以及身分識別提供者和 SCIM 權杖的變更。
- 人員和席位：邀請、加入、角色變更、移除及內容移交，以及因所有席位已滿而無法加入的情況。
- 政策、模型、資料保護、用量、保留期限和法律保留：管理員對設定的每項變更，以及資料保護遮蔽或封鎖訊息的情況。
- 助理操作：每次有人允許 Dvina 使用 app、開啟網站或使用電腦，以及停止這些操作的情況。
- 分享、資料和資料表：分享了甚麼、與誰分享、公開連結、匯出，以及誰查詢了資料表。
- API 金鑰、Webhooks、目標和審計記錄：金鑰和 webhooks、任務上的目標，以及審計記錄本身的匯出和目的地變更。
每個事件都會註明執行者：成員、管理員、你的身分識別提供者、Dvina 或助理。
尋找事件
- 開啟「設定」，然後選擇審計記錄。
- 選擇事件。
- 使用搜尋（操作、人員或地址）、範疇、人員、開始時間和結束時間縮小清單範圍。
- 選擇事件以查看詳細資料：時間、執行者、IP 位址、操作、目標和裝置。
最新的事件會排在最前。選擇顯示更多以查看較舊的事件。
匯出記錄
- 在事件中，設定篩選條件以選出要匯出的內容。
- 選擇匯出為 CSV以供試算表使用，或選擇匯出為 JSON以供工具使用。
如果事件數量很多，系統只會匯出最新的事件，Dvina 會告知你。縮小日期範圍即可匯出其餘事件。每次匯出也會記入審計記錄。
查看誰查詢了資料表
資料表擁有者和管理員可以查看每次有人查詢資料表的記錄。開啟資料表的分享面板，選擇有存取權的人員，再選擇誰查詢了此資料表。每筆記錄會顯示傳回了多少行，以及查詢的來源：對話、卡片或洞察。請參閱控制人員可查看的行和欄。
將事件傳送至你的 SIEM
- 在「設定」› 審計記錄的 SIEM 目的地下，選擇新增目的地。
- 選擇你的 SIEM，然後為目的地設定名稱。
- 填寫 SIEM 的連線欄位（見下文），然後選擇新增。
如使用 webhook 目的地，Dvina 只會顯示一次簽署密鑰。請用它驗證每個請求的簽署。
| SIEM | 需要輸入的資料 |
|---|---|
| Splunk | 在 URL 輸入你的 HTTP Event Collector URL (…/services/collector/event)，並在 標頭 下的 Authorization 標頭中，將其權杖放在「Splunk 」之後。 |
| Microsoft Sentinel | 為自訂資料表建立資料收集端點和規則，並在該規則上為應用程式註冊授予 Monitoring Metrics Publisher 角色。然後輸入 端點、租用戶 ID、用戶端 ID、用戶端密碼、規則 ID 和 串流。 |
| IBM QRadar | 新增使用 Universal LEEF 的 TLS Syslog 記錄來源，然後輸入其 主機 和 TLS 連接埠。 |
| Google SecOps (Chronicle) | 建立 webhook 動態饋給。在 URL 輸入其端點 URL，然後在 標頭 下輸入你的 Google Cloud API 金鑰和動態饋給的密鑰。 |
Dvina 亦提供 Elastic Security、CrowdStrike Falcon LogScale、Datadog、Sumo Logic、ArcSight、Exabeam、Securonix 和 LogRhythm 的目的地，以及 Wazuh 或 Graylog 等 syslog 伺服器的目的地，並提供適用於任何 HTTPS 端點的 自訂 webhook。
備註
目的地需要可公開存取的 HTTPS 網址或 syslog 主機。
管理目的地
選擇目的地，即可查看其 狀態、已傳送 的事件數量、上次傳送 時間，以及任何 上次錯誤。
- 如要暫停傳送，關閉 傳送事件。
- 如要立即傳送事件而不再等待，選擇 立即傳送。
- 如要停止向該目的地傳送，選擇 刪除目的地…。
狀態為 失敗，正在重試 的目的地會繼續自動重試。