稽核記錄會記下誰在何時、從何處於你的 Livespace 執行了哪些操作。記錄只能新增，任何操作都無法略過記錄。你可以搜尋記錄、將其匯出為 CSV 或 JSON，或將每個事件串流傳送至你的安全工具。
Enterprise 方案提供稽核記錄。擁有者和管理員可在「設定」› 稽核記錄中開啟。
記錄的內容
事件依類別分組，你可以按以下類別篩選：
- 登入、單一登入、佈建 (SCIM) 和 兩步驟驗證：登入、登入失敗及遭封鎖的登入、登出，以及身分識別提供者和 SCIM 權杖的變更。
- 人員和席次：邀請、加入、角色變更、移除及內容移交，以及因所有席次已滿而無法加入的情況。
- 政策、模型、資料保護、用量、保留和法律保留：管理員變更的每項設定，以及資料保護遮蔽或封鎖訊息的情況。
- 助理操作：每次有人允許 Dvina 使用 App、開啟網站或使用電腦，或停止這些操作的情況。
- 分享、資料和資料表：分享的內容及對象、公開連結、匯出，以及誰查詢了資料表。
- API 金鑰、Webhook、目標和稽核記錄：金鑰和 Webhook、任務上的目標，以及稽核記錄本身的匯出和目的地變更。
每個事件都會列出執行者：成員、管理員、你的身分識別提供者、Dvina 或助理。
尋找事件
- 開啟「設定」，選擇稽核記錄。
- 選擇事件。
- 使用搜尋（操作、人員或地址）、類別、人員、開始時間和結束時間縮小清單範圍。
- 選擇事件以查看詳細資訊：時間、執行者、IP 位址、操作、目標和裝置。
最新的事件會列在最前面。選擇顯示更多以查看較舊的事件。
匯出記錄
- 在事件中，設定篩選條件以選出要匯出的內容。
- 選擇匯出為 CSV以供試算表使用，或選擇匯出為 JSON以供工具使用。
如果事件很多，系統只會匯出最新的事件，Dvina 也會告知你。縮小日期範圍以匯出其餘事件。每次匯出也會記在稽核記錄中。
查看誰查詢了資料表
資料表擁有者和管理員可以查看每次有人查詢資料表的記錄。開啟資料表的分享面板，選擇有存取權的人員，再選擇誰查詢了此資料表。每筆記錄會顯示傳回的列數，以及查詢的來源：聊天、卡片或洞察。請參閱控制使用者可查看的列與欄。
將事件傳送至你的 SIEM
- 在「設定」› 稽核記錄的 SIEM 目的地下，選擇新增目的地。
- 選擇你的 SIEM，再為目的地設定名稱。
- 填寫 SIEM 的連線欄位（見下方），然後選擇新增。
如果目的地是 Webhook，Dvina 會顯示一次簽署密鑰。請用它驗證每個請求的簽章。
| SIEM | 要輸入的資訊 |
|---|---|
| Splunk | 將你的 HTTP Event Collector URL (…/services/collector/event) 輸入為 URL，並在標頭中的 Authorization 標頭內，於「Splunk 」後加上其權杖。 |
| Microsoft Sentinel | 為自訂資料表建立資料收集端點和規則，並授予應用程式註冊該規則的 Monitoring Metrics Publisher 角色。接著輸入端點、租用戶 ID、用戶端 ID、用戶端密碼、規則 ID 和串流。 |
| IBM QRadar | 新增使用 Universal LEEF 的 TLS Syslog 記錄來源，然後輸入其主機和 TLS 連接埠。 |
| Google SecOps (Chronicle) | 建立 webhook 資料來源。將其端點 URL 輸入為 URL，然後在標頭中輸入你的 Google Cloud API 金鑰和該資料來源的秘密金鑰。 |
Dvina 也提供 Elastic Security、CrowdStrike Falcon LogScale、Datadog、Sumo Logic、ArcSight、Exabeam、Securonix 和 LogRhythm 的目的地，以及 Wazuh 或 Graylog 等 syslog 伺服器的目的地，並提供可用於任何 HTTPS 端點的自訂 webhook。
備註
目的地需要可公開存取的 HTTPS 位址或 syslog 主機。
管理目的地
選取目的地，即可查看其狀態、已傳送的事件數量、上次傳送的時間，以及任何上次錯誤。
- 若要暫停傳送，請關閉傳送事件。
- 若要立即傳送事件而不再等待，請選擇立即傳送。
- 若要停止傳送至該目的地，請選擇刪除目的地…。
狀態為失敗，正在重試的目的地會持續自動重試。