# 使用審計記錄

> 查看誰在何時於你的 Livespace 進行了哪些操作、匯出記錄，並將每個事件串流傳送至你的 SIEM。

審計記錄會記下誰在何時、從哪裏於你的 Livespace 進行了哪些操作。記錄只可新增，不能修改，任何操作都無法略過記錄。你可以搜尋記錄、將記錄匯出為 CSV 或 JSON，或將每個事件串流傳送至你的安全工具。

Enterprise 方案包含審計記錄功能。擁有者和管理員可在「設定」› **審計記錄**中開啟。

## 記錄哪些內容

事件按範疇分組，你可以按以下範疇篩選：

- **登入**、**單一登入**、**佈建 (SCIM)** 和 **兩步驟驗證**：登入、失敗及被封鎖的登入、登出，以及身分識別提供者和 SCIM 權杖的變更。
- **人員**和**席位**：邀請、加入、角色變更、移除及內容移交，以及因所有席位已滿而無法加入的情況。
- **政策**、**模型**、**資料保護**、**用量**、**保留期限**和**法律保留**：管理員對設定的每項變更，以及資料保護遮蔽或封鎖訊息的情況。
- **助理操作**：每次有人允許 Dvina 使用 app、開啟網站或使用電腦，以及停止這些操作的情況。
- **分享**、**資料**和**資料表**：分享了甚麼、與誰分享、公開連結、匯出，以及誰查詢了資料表。
- **API 金鑰**、**Webhooks**、**目標**和**審計記錄**：金鑰和 webhooks、任務上的目標，以及審計記錄本身的匯出和目的地變更。

每個事件都會註明執行者：成員、管理員、你的身分識別提供者、Dvina 或助理。

## 尋找事件

1. 開啟「設定」，然後選擇**審計記錄**。
2. 選擇**事件**。
3. 使用**搜尋**（操作、人員或地址）、**範疇**、**人員**、**開始時間**和**結束時間**縮小清單範圍。
4. 選擇事件以查看詳細資料：**時間**、**執行者**、**IP 位址**、**操作**、**目標**和**裝置**。

最新的事件會排在最前。選擇**顯示更多**以查看較舊的事件。

## 匯出記錄

1. 在**事件**中，設定篩選條件以選出要匯出的內容。
2. 選擇**匯出為 CSV**以供試算表使用，或選擇**匯出為 JSON**以供工具使用。

如果事件數量很多，系統只會匯出最新的事件，Dvina 會告知你。縮小日期範圍即可匯出其餘事件。每次匯出也會記入審計記錄。

## 查看誰查詢了資料表

資料表擁有者和管理員可以查看每次有人查詢資料表的記錄。開啟資料表的分享面板，選擇**有存取權的人員**，再選擇**誰查詢了此資料表**。每筆記錄會顯示傳回了多少**行**，以及查詢的**來源**：對話、卡片或洞察。請參閱[控制人員可查看的行和欄](/docs/connectors/row-and-column-access)。

## 將事件傳送至你的 SIEM

1. 在「設定」› **審計記錄**的 **SIEM 目的地**下，選擇**新增目的地**。
2. 選擇你的 SIEM，然後為目的地設定**名稱**。
3. 填寫 SIEM 的**連線**欄位（見下文），然後選擇**新增**。

如使用 webhook 目的地，Dvina 只會顯示一次**簽署密鑰**。請用它驗證每個請求的簽署。

| SIEM                          | 需要輸入的資料                                                                                                                                                                                                                                            |
| ----------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Splunk**                    | 在 **URL** 輸入你的 HTTP Event Collector URL (…/services/collector/event)，並在 **標頭** 下的 Authorization 標頭中，將其權杖放在「Splunk 」之後。                                                                                                  |
| **Microsoft Sentinel**        | 為自訂資料表建立資料收集端點和規則，並在該規則上為應用程式註冊授予 Monitoring Metrics Publisher 角色。然後輸入 **端點**、**租用戶 ID**、**用戶端 ID**、**用戶端密碼**、**規則 ID** 和 **串流**。 |
| **IBM QRadar**                | 新增使用 Universal LEEF 的 TLS Syslog 記錄來源，然後輸入其 **主機** 和 TLS **連接埠**。                                                                                                                                                               |
| **Google SecOps (Chronicle)** | 建立 webhook 動態饋給。在 **URL** 輸入其端點 URL，然後在 **標頭** 下輸入你的 Google Cloud API 金鑰和動態饋給的密鑰。                                                                                                                |

Dvina 亦提供 Elastic Security、CrowdStrike Falcon LogScale、Datadog、Sumo Logic、ArcSight、Exabeam、Securonix 和 LogRhythm 的目的地，以及 Wazuh 或 Graylog 等 syslog 伺服器的目的地，並提供適用於任何 HTTPS 端點的 **自訂 webhook**。

> [!NOTE]
> 目的地需要可公開存取的 HTTPS 網址或 syslog 主機。

### 管理目的地

選擇目的地，即可查看其 **狀態**、**已傳送** 的事件數量、**上次傳送** 時間，以及任何 **上次錯誤**。

- 如要暫停傳送，關閉 **傳送事件**。
- 如要立即傳送事件而不再等待，選擇 **立即傳送**。
- 如要停止向該目的地傳送，選擇 **刪除目的地…**。

狀態為 **失敗，正在重試** 的目的地會繼續自動重試。

## 相關內容

- [單一登入與佈建](/docs/teams/sso)
- [成員與角色](/docs/teams/members-and-roles)
- [適用於團隊與公司的 Dvina](/docs/teams/overview)
- [私隱與資料](/docs/help/privacy-and-data)