Une fois que vous avez activé Autoriser les données d'authentification utilisateur dans Control Hub, les connexions et déconnexions des utilisateurs sont enregistrées et peuvent être récupérées via l'API publique. Vous pouvez ensuite visualiser et analyser les données dans des applications de sécurité telles que UEBA et SIEM, qui peuvent exécuter leurs algorithmes d’apprentissage automatique pour découvrir les comportements suspects et malveillants, détecter les vecteurs d’attaque et identifier les mots de passe compromis. Webex conserve les données pendant 12 mois.

Comprendre et suivre les activités d'authentification

L'onglet Activités d'authentification dans Control Hub suit les connexions interactives des utilisateurs, où les utilisateurs fournissent activement des informations d'identification, comme la saisie d'un mot de passe ou l'exécution d'une authentification multifacteur. Il n'inclut pas les connexions non interactives, telles que les actualisations automatiques des jetons d'accès.

Gardez à l’esprit que le LastServiceAccessTime dans le fichier CSV d’exportation utilisateur est mis à jour chaque fois qu’un jeton d’accès est généré, y compris les connexions interactives et non interactives. Il est préférable de le considérer comme un indicateur général du moment où un utilisateur a accédé pour la dernière fois à un service, plutôt que de s'attendre à ce qu'il corresponde directement aux événements de connexion dans l'onglet Activités d'authentification.

Afficher les activités des utilisateurs via l'API Webex

Cette fonctionnalité n’est disponible que pour les clients ayant le Pro Pack pour Control Hub.

1

Connectez-vous à Control Hub, puis sous Gestion, sélectionnez Paramètres de l'organisation.

2

Dans la section Données d'authentification utilisateur, activez Autoriser les données d'authentification utilisateur.

3

Allez sur Lister les événements d’audit de sécurité pour récupérer les données.

Afficher les activités des utilisateurs dans Control Hub

Vous pouvez également afficher et résoudre les problèmes de connexion de vos utilisateurs en examinant leurs activités de connexion et de déconnexion dans Control Hub.

1

Connectez-vous à Control Hub et accédez à Gestion > Sécurité > Audit.

2

Cliquez sur l'onglet Activités d'authentification.

Les activités des utilisateurs sont affichées sous les colonnes suivantes :
  • Statut : indique si le sign-in/sign-out la tentative a réussi ou non, comme le succès, l'échec et N/A. N/A se produit généralement lorsqu'un utilisateur se déconnecte et que la configuration SLO (Single Logout) n'est pas disponible sur les IdP fédérés.
  • Heure : l’horodatage du moment où l’activité de connexion ou de déconnexion a eu lieu.
  • Adresse e-mail : l’adresse e-mail de l’utilisateur qui s’est connecté ou déconnecté.
  • Signe in/sign out — Le type d’activité qui a été enregistré.
  • Service : le nom de l’application à laquelle accède l’utilisateur, telle que Control Hub ou Webex Teams iOS. Il représente le nom du client OAuth enregistré sur la plateforme d'identité Webex par le développeur Cisco ou le développeur partenaire. Si N/A s'affiche, cela signifie que ces informations ne sont pas conservées ou transmises de l'IdP à la plate-forme d'identité Webex, car cela fait partie du SLO dans SAML.
  • Adresse IP : l’adresse IP de l’utilisateur au moment de l’activité.
  • Méthode : indique la méthode d’authentification utilisée pour la connexion. Interactif fait référence à l’authentification manuelle de l’utilisateur. C'est fait par l'utilisateur. Non interactif fait référence à l’authentification automatique de l’utilisateur. C'est fait pour l'utilisateur.
3

Filtrez par activité utilisateur, dates spécifiques, adresse e-mail, adresse IP ou service pour affiner vos résultats de recherche.