> For the complete documentation index, see [llms.txt](https://help.ppgg.in/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.ppgg.in/docs/admin-console/oversight-visibility/event-logging/monitoring-event-logs.md).

# 监控事件日志

{% hint style="success" %}
对应的[官方文档地址](https://bitwarden.com/help/monitoring-event-logs/)
{% endhint %}

通过 SIEM（安全信息与事件管理）集成进行事件监控，是监控您的组织以维护最佳安全实践和确保合规性的重要工具。以下章节重点介绍多项监控参考指标，这些指标将增强您对 Bitwarden 解决方案的可观测性，包括洞察用户在密码库中的操作行为，并提供自动化告警目标的示例。

这些事件选自 [Bitwarden 事件日志](/docs/admin-console/oversight-visibility/event-logging/event-logs.md)。通过针对关键业务事件配置实时告警与时段累积告警策略，您将能根据自身独特的安全态势，对组织使用 Bitwarden 的情况进行全面审计。

## 理解日志 <a href="#understanding-logs" id="understanding-logs"></a>

通过多种 SIEM 平台与 Bitwarden 集成，以审查密码库日常使用情况的关键信息。

<div align="left" data-with-frame="true"><figure><img src="https://bitwarden.com/assets/1wHDe1snFJ4NB1G13VBUBC/71def83a275e8bf25e25488b872a02f0/Header_object.png?w=700&#x26;fm=avif" alt=""><figcaption><p>Panther JSON 对象</p></figcaption></figure></div>

SIEM 事件监控平台提供了很多特定的字段，这些字段用于监控以维持高标准的安全性：

<table data-search="false"><thead><tr><th>值</th><th>描述</th></tr></thead><tbody><tr><td><code>actingUserEmail</code></td><td>执行操作的用户电子邮箱地址。</td></tr><tr><td><code>actingUserId</code></td><td>执行操作的用户唯一 ID。</td></tr><tr><td><code>actingUserName</code></td><td>执行操作的用户名称。</td></tr><tr><td><code>collectionId</code></td><td>组织集合 ID。</td></tr><tr><td><code>device</code></td><td>设备的数值 ID。具体映射关系可以在<a href="https://github.com/bitwarden/server/blob/d50ad97e6eeb733af9c069a949939b0567ba936d/src/Core/Enums/DeviceType.cs#L4">这里</a>找到。</td></tr><tr><td><code>ipAddress</code></td><td>执行事件的 IP 地址。</td></tr><tr><td><code>itemId</code></td><td>组织密码库的密码库项目（密码、安全笔记等）。</td></tr><tr><td><code>policyId</code></td><td>组织策略更新。在<a href="/pages/-MFTpQF5ifa5p0TJjB6g#organization-events">这里</a>查看组织事件。</td></tr></tbody></table>

## 相关趋势 <a href="#concerning-trends" id="concerning-trends"></a>

跟踪 Bitwarden 使用趋势，可以识别可疑活动或潜在的安全威胁：

### 登录尝试失败异常**频率** <a href="#abnormal-rate-of-failed-login-attempts" id="abnormal-rate-of-failed-login-attempts"></a>

* 失败的登录尝试
  * `1005` 登录尝试因密码错误而失败
  * `1006` 登录尝试因两步登录错误而失败

### 查看敏感或隐藏字段的异常**频率** <a href="#abnormal-rate-of-viewing-sensitive-or-hidden-fields" id="abnormal-rate-of-viewing-sensitive-or-hidden-fields"></a>

* 查看项目
  * `1107` 查看了项目 `item-identifier`
  * `1108` 查看了项目 `item-identifier` 的密码
  * `1109` 查看了项目 `item-identifier` 的隐藏字段
  * `1110` 查看了项目 `item-identifier` 的安全码
* 复制项目字段
  * `1111` 复制了项目 `item-identifier` 的密码
  * `1112` 复制了项目 `item-identifier` 的安全码

## 使用趋势 <a href="#usage-trends" id="usage-trends"></a>

监控使用趋势以识别使用 Bitwarden 并保持安全实践的用户：

### 监控用户频率 <a href="#monitor-user-frequency" id="monitor-user-frequency"></a>

* 密码库使用情况
  * `1000` 登录了
  * `1010` 用户请求了[设备批准](/docs/admin-console/login-with-sso/trusted-devices/approve-a-trusted-device.md)

## 关键的密码库操作 <a href="#critical-vault-actions" id="critical-vault-actions"></a>

可对特定事件进行监控，以跟踪高级用户的关键操作或对关键的密码库项目所做的更改：

### 超级用户活动 <a href="#super-user-activities" id="super-user-activities"></a>

* 个人账户活动
  * `1000` 登录了
  * `1001` 更改了账户密码
  * `1002` 启用/更新了两步登录
  * `1003` 禁用了两步登录
  * `1007` 用户导出了他们的个人密码库项目
  * `1603` 管理[提供商](/docs/provider-portal/provider-portal-overview.md)访问了组织密码库
* 组织活动
  * `1500` 邀请了用户 `user-identifier`
  * `1501` 确认了用户 `user-identifier`
  * `1502` 编辑了用户 `user-identifier`
  * `1504` 编辑了用户 `user-identifier` 的群组
  * `1511` 撤销了用户 `user-identifier` 的组织访问权限
  * `1512` 恢复了用户 `user-identifier` 的组织访问权限
  * `1513` 批准了用户 `user-identifier` 的设备
  * `1600` 编辑了组织设置
  * `1609` 修改了集合管理设置
  * `1700` 修改了策略 `policy-identifier`
  * `2001` 移除了域名 `domain-name`
* 导出组织密码库信息
  * `1602` 导出了组织密码库

### 关键的项目活动 <a href="#critical-item-activities" id="critical-item-activities"></a>

* 已识别为关键的项目的变更
  * `1101` 编辑了项目 `item-identifier`
  * `1105` 将项目 `item-identifier` 移动至组织
  * `1106` 编辑了项目 `item-identifier` 的集合
  * `1107` 查看了项目 `item-identifier`
  * `1108` 查看了项目 `item-identifier` 的密码
  * `1109` 查看了项目 `item-identifier` 的隐藏字段
  * `1110` 查看了项目 `item-identifier` 的安全码
  * `1111` 复制了项目 `item-identifier` 的密码
  * `1112` 复制了项目 `item-identifier` 的隐藏字段
  * `1113` 复制了项目 `item-identifier` 的安全码
  * `1114` 自动填充了项目 `item-identifier`
  * `1117` 查看了项目 `item-identifier` 的卡号