Das Audit-Protokoll hält fest, was in deiner Organisation und ihren Teams passiert ist: wer eine Einstellung geändert, eine Domain hinzugefügt, Single Sign-on eingerichtet, einen Schlüssel erstellt oder eine Frage gestellt hat, und wann. Du kannst es filtern, für dein Sicherheitsteam exportieren, festlegen, wie lange es aufbewahrt wird, und verhindern, dass Ereignisse gelöscht werden, solange du sie brauchst.

Wir schalten das Audit-Protokoll nach und nach für Organisationen frei. Wenn du Audit-Protokoll nicht unter Einstellungen, dann Organisation siehst, ist es für deine Organisation noch nicht an, und du siehst stattdessen die kürzere Liste Aktivität. Schreib uns, wenn du es nutzen möchtest.

Wer es sieht

Nur Inhaber und Admins eines Teams der Organisation können das Audit-Protokoll öffnen, angemeldet auf der Website. Mitglieder sehen es nie. Wo deine Organisation Dienstkonten hat, kann auch der API-Schlüssel oder die verbundene App eines Admins mit dem Recht audit:read es lesen und exportieren, ebenso ein Dienstkonto mit diesem Recht.

Die Aufbewahrungsfrist ändern, eine Aufbewahrungspflicht festlegen oder aufheben braucht eine neue Bestätigung, dass du es bist. Wähle Bestätige, dass du es bist, wenn du gefragt wirst. Die Bestätigung gilt 10 Minuten.

Was festgehalten wird

  • Deine Organisation: Umbenennungen, Domains, die hinzugefügt, bestätigt, fehlgeschlagen oder entfernt wurden, Richtlinienänderungen und Personen, die über den automatischen Beitritt dazukommen.
  • Single Sign-on: Einrichten und Ändern, Tests, Ein- und Ausschalten, Vorschreiben und Aufheben, verknüpfte Konten, beendete Sitzungen und Notfall-Inhaber, die hinzugefügt, entfernt oder genutzt wurden. Siehe Single Sign-on für deine Organisation.
  • Bereitstellung und Sicherheitsrichtlinien: SCIM-Tokens, die erstellt, ersetzt und widerrufen wurden, Rollen nach Gruppe, Personen, die dein Identitätsanbieter hinzugefügt, geändert, deaktiviert oder entfernt hat, und jeder Schritt, mit dem ihr Zugang endet, Änderungen an Sicherheitsrichtlinien, von Admins beendete Sitzungen und neue Team-Inhaber. Siehe Bereitstellung und Sicherheitsrichtlinien.
  • Jedes Team: gestellte und abgebrochene Fragen, gekaufte Credits, erstellte und widerrufene API-Schlüssel, Personen, die eingeladen werden, beitreten, gehen oder ihre Rolle wechseln, Monatslimits und verbundene Apps.
  • Das Audit-Protokoll selbst: Exporte, Änderungen der Aufbewahrungsfrist, wegen der Frist gelöschte Ereignisse und festgelegte oder aufgehobene Aufbewahrungspflichten.

Jedes Ereignis sagt, wer es ausgelöst hat: eine Person, der API-Schlüssel oder die verbundene App einer Person, ein Dienstkonto, 50heads selbst (etwa die tägliche Domain-Prüfung) oder dein Identitätsanbieter über SCIM. Das gilt auch für die Ereignisse jedes Teams: Fügt dein Identitätsanbieter jemanden einem Team hinzu oder entfernt ihn, steht im Ereignis des Teams SCIM, nicht 50heads. Änderungen unter Einstellungen, dann Organisation, und Änderungen an den Personen eines Teams (Einladungen, Rollen, Limits, Entfernungen) halten auch die Adresse fest, von der sie kamen. Ältere Ereignisse haben keine.

Ereignisse lassen sich nicht ändern. Sie werden erst gelöscht, wenn sie älter als deine Aufbewahrungsfrist sind, und nie, solange eine Aufbewahrungspflicht sie behält.

Was nie festgehalten wird

  • Geheimnisse: Passwörter, SCIM-Tokens, Client-Geheimnisse für Single Sign-on, API-Schlüssel, Anmeldelinks und -tickets und Einmalcodes. Käme eines davon je in ein Ereignis, würde es vor dem Speichern entfernt und vor dem Anzeigen noch einmal.
  • Alles, was die Personen erkennbar macht, die deine Fragen beantworten. Das Protokoll zeigt, was dein Team gefragt hat, nie, wer geantwortet hat.

Das Protokoll filtern

Wähle Von und Bis, eine Person, eine Art und ein Team und dann Ereignisse anzeigen. Person listet alle aus den Teams deiner Organisation, dieselben wie unter Personen, nicht nur das Team, das du gerade nutzt. Die Liste zeigt 50 Ereignisse auf einmal, das Neueste zuerst. Ältere anzeigen geht weiter zurück. Filter zurücksetzen zeigt wieder alles.

Arten fassen zusammengehörige Ereignisse zusammen: Organisation und Richtlinien, Domains, Personen, Single Sign-on, Bereitstellung (SCIM), Fragen, Credits, Schlüssel und Verbindungen und das Audit-Protokoll selbst.

Exportieren

Als JSONL exportieren und Als CSV exportieren laden die Ereignisse herunter, die zu deinen Filtern passen, das Älteste zuerst, bis zu 1.000.000 Ereignisse pro Datei. Jeder Export wird selbst im Protokoll festgehalten.

  • JSONL hat ein Ereignis pro Zeile, als JSON-Objekt. Das passt für ein SIEM oder ein Skript.
  • CSV hat eine Zeile pro Ereignis und öffnet sich in einer Tabellenkalkulation.
CSV-Spalte Was sie enthält
id Die Kennung des Ereignisses
at Wann es passiert ist, in UTC
organization_id Deine Organisation
workspace_id Das Team, in dem es passiert ist, oder leer bei Ereignissen der ganzen Organisation
source organization oder workspace (das eigene Protokoll eines Teams)
actor_type person, system (50heads), scim, api_key (der Schlüssel einer Person), oauth (die verbundene App einer Person) oder service_account
actor_id Die 50heads-Kennung der Person oder des Dienstkontos, wenn es eine gibt
actor_name Ihr Name oder ihre E-Mail-Adresse
action Was passiert ist, etwa domain.verified oder sso.enforced
subject Worum es ging: eine Domain, eine E-Mail-Adresse, der Name eines Schlüssels
data Details, als JSON
ip Die Adresse, von der die Änderung kam, wenn sie festgehalten wurde

Eine Tabellenkalkulation kann eine Zelle, die mit =, +, - oder @ beginnt, als Formel behandeln. Damit kein Ereignis etwas ausführen kann, beginnen solche Zellen in der CSV mit einem Hochkomma ('). Die JSONL-Datei behält den Text genau so, wie er war.

Wie lange Ereignisse aufbewahrt werden

Ereignisse werden sechs Jahre aufbewahrt, wenn du nichts änderst. Du kannst 1 Jahr, 2 Jahre, 6 Jahre oder 10 Jahre wählen oder eine beliebige Zahl von Tagen dazwischen. Das Minimum ist ein Jahr (365 Tage), das Maximum zehn Jahre (3.650 Tage).

  • Solange du keine Frist wählst, gilt sie für die Ereignisse der Organisation selbst. Sobald du eine wählst, gilt sie auch für die Ereignisse jedes Teams.
  • Einmal am Tag wird bereinigt. Dabei werden Ereignisse gelöscht, die älter als deine Frist sind, außer denen, die eine Aufbewahrungspflicht behält.
  • Wenn du die Frist verkürzt, sagen wir dir, welche Ereignisse wegfallen, und fragen vor dem Speichern nach. Sie werden bei der nächsten täglichen Bereinigung gelöscht, innerhalb eines Tages, und lassen sich nicht zurückholen.
  • Jede Bereinigung, die etwas löscht, fügt ein Ereignis hinzu, das sagt, wie viele es waren.

Eine kürzere Frist berührt nie, was wir aufbewahren müssen, um die Antwortenden zu bezahlen oder Betrug aufzuklären.

Aufbewahrungspflichten

Eine Aufbewahrungspflicht verhindert, dass Ereignisse gelöscht werden, egal welche Frist gilt, bis du sie aufhebst. Nutze sie, wenn du Aufzeichnungen für ein Rechtsverfahren oder eine Untersuchung behalten musst.

  1. Wähle unter Aufbewahrungspflichten die Option Aufbewahrungspflicht festlegen.
  2. Gib einen Grund an, etwa ein Aktenzeichen. Alle Admins, die das Audit-Protokoll sehen, können ihn lesen.
  3. Wähle, was behalten wird: Alles, Ausgewählte Teams oder Ausgewählte Personen. Du kannst alle aus den Teams deiner Organisation wählen.
  4. Wähle Festlegen.

Eine Aufbewahrungspflicht für ausgewählte Teams behält die Ereignisse dieser Teams. Ereignisse der ganzen Organisation, etwa Domain-Änderungen, behält Alles oder eine Aufbewahrungspflicht für die Person, die sie ausgelöst hat. Du kannst bis zu 50 aktive Aufbewahrungspflichten haben. Aufheben beendet eine; Ereignisse, die sie behalten hat, werden bei der nächsten täglichen Bereinigung gelöscht, wenn sie älter als deine Frist sind. Aufgehobene Aufbewahrungspflichten bleiben in der Liste.

Siehe auch