Введение
Журналы аудита предоставляют вашим командам безопасности и ИТ запись активности в вашем рабочем пространстве: кто вошёл, кто был добавлен или удалён, что было экспортировано, что опубликовано или расшарено, и когда изменялись настройки безопасности.
🔷 Примечание: Журналы аудита доступны в плане Enterprise. Они включаются для каждого рабочего пространства командой Gamma, поэтому обратитесь к вашему менеджеру по работе с клиентами, чтобы их активировать.
Что фиксируется
Каждое событие аудита записывает кто, что и когда произошло в действии, связанном с безопасностью или соответствием, в вашем рабочем пространстве:
Кто: человек, совершивший действие, с его именем и электронной почтой. Действия, выполненные командой или системами Gamma, отображаются как Gamma Admin или Gamma System.
Что: действие и его объект — например, gamma (с её названием), член (с его электронной почтой) или задействованный коннектор, а также детали события, такие как старая и новая роль или уровень разрешений на расшариваемой ссылке.
Когда и откуда: отметка времени, IP-адрес исполнителя и его устройство.
Как включить журналы аудита
Журналы аудита доступны только в планах enterprise. Попросите вашего менеджера по работе с клиентами включить журналы аудита для вашего рабочего пространства. События фиксируются с момента включения журналов, и активность до этого не восстанавливается.
В продукте пока нет встроенного просмотрщика журналов аудита. Ваша команда получает события, передавая их в собственные инструменты, где можно искать, настраивать оповещения и хранить их по своему расписанию.
Передача в ваш SIEM
События аудита могут передаваться в ваш SIEM или платформу журналов, включая Splunk, Datadog, AWS S3, Google Cloud Storage, Microsoft Sentinel и универсальные HTTPS-эндпоинты, чтобы ваша команда безопасности могла контролировать Gamma вместе с остальными приложениями, настраивать собственные оповещения и хранить события по своему расписанию. Обратитесь к менеджеру по работе с клиентами для настройки передачи.
Каталог событий
Ниже перечислены события, которые фиксируются сегодня.
Вход и аутентификация
Событие | Что фиксируется |
| Успешный вход с методом аутентификации (пароль, Google, Apple или SSO), IP-адресом и устройством |
| Выход, с указанием причины (например, ручной выход, сброс пароля, принудительный выход администратором, удаление из рабочего пространства) |
| Пароль изменён, сброшен или добавлен |
| Попытка восстановления аккаунта |
| Изменён адрес электронной почты аккаунта, с указанием старого и нового значений |
Члены, гости и роли
Событие | Что фиксируется |
| Приглашён член, с электронной почтой приглашённого |
| Отозвано ожидающее приглашение |
| Член присоединился, с указанием роли и способа присоединения (приглашение, ссылка для присоединения, SSO-провиженинг или добавление администратором) |
| Изменена роль члена, с указанием старой и новой роли |
| Член удалён, с указанием его предыдущей роли |
| Гостю предоставлен доступ к рабочему пространству или доступ гостя отозван |
| Аккаунт члена Gamma удалён |
Контент, совместное использование и перемещение данных
Каждое из этих событий содержит gamma, на котором оно произошло, включая его название.
Событие | Что фиксируется |
| Gamma создана или дублирована из существующей |
| Gamma экспортирована |
| Gamma архивирована, восстановлена или удалена |
| Доступ человека к gamma предоставлен, изменён или удалён |
| Доступ к gamma на уровне рабочего пространства предоставлен, изменён или удалён, с указанием старых и новых прав |
| Создана, изменена или удалена ссылка для совместного доступа с уровнем разрешений и защитой паролем |
| Сайт опубликован публично или снят с публикации |
| Страница опубликована на сайте |
Общий доступ к папке
Каждое из этих действий связано с папкой, на которую оно повлияло.
Событие | Что фиксируется |
| Доступ человека к папке предоставлен, изменён или удалён, с указанием старых и новых прав |
| Доступ группы к папке предоставлен, изменён или удалён, с указанием старых и новых прав |
| Доступ к папке на уровне рабочего пространства предоставлен, изменён или удалён, с указанием старых и новых прав |
Настройки рабочего пространства и безопасности
Событие | Что фиксируется |
| Настройки администратора рабочего пространства изменены |
| SSO активирован для рабочего пространства |
| Вход члена переключён на SSO или доступ SSO удалён (включая деактивацию SCIM) |
| API-ключ создан или отозван, с указанием имени ключа |
| Коннектор (например, Google Drive, Slack, Notion) подключён или отключён, с указанием провайдера и аккаунта |
| Внешняя интеграция авторизована для доступа к рабочему пространству |
| Подписка изменена или отменена |
| Аудит логирование включено или отключено |
Часто задаваемые вопросы и распространённые проблемы
Кто может видеть наши журналы аудита?
Администраторы имеют доступ к вкладке аудита и её содержимому. Включение журналов аудита осуществляется через менеджера по работе с клиентами. Настройка потоковой передачи также доступна для администраторов.
Могут ли события аудита включать контент, приватный для члена?
События могут включать метаданные о приватном контенте. Например, событие gamma export включает заголовок gamma, даже если он не был расшарен с рабочей областью.
Как долго хранятся события?
События хранятся в течение 30 дней.
Для более длительного хранения передавайте события в ваш SIEM, где вы полностью контролируете срок хранения.
Журнал фиксирует каждое действие в Gamma?
Нет. Аудитные журналы сосредоточены на событиях, связанных с безопасностью: аутентификация, членство, перемещение данных и изменения конфигурации.
Со временем будут добавлены дополнительные события (например, просмотры и редактирование gamma, а также детальные изменения разрешений).