Einführung
Aktivität ist das Prüfprotokoll von Level. Es zeichnet auf, wer was wann getan hat und was sich geändert hat – in der gesamten Organisation: Anmeldungen, Konfigurationsänderungen, Tag-Änderungen, Automationsläufe, Monitor- und Skriptänderungen, API-Schlüssel-Bearbeitungen und vieles mehr.
Die globale Aktivität Seite in der Seitenleiste ist das vollständige Protokoll. Die meisten Bereiche in Level haben auch ihre eigene Aktivität Registerkarte, die dieselben Daten gefiltert auf dieses eine Gerät, diese Automation, dieses Skript, diese Monitor-Richtlinie oder diesen Einstellungsbereich anzeigt.
Wenn Sie jemals die Frage beantworten mussten „Wer hat das wann geändert?" oder „Was hat diese Automation letzte Nacht tatsächlich getan?", ist die Aktivität der richtige Ort zum Nachschauen.
ℹ️ HINWEIS: Die Aktivität ist ein schreibgeschütztes Protokoll. Sie können Einträge suchen, filtern und erweitern, aber nicht bearbeiten oder löschen. Das ist der Sinn eines Prüfprotokolls.
Die Aktivitätsseite
Klicken Sie auf Aktivität in der linken Seitenleiste, um das globale Protokoll zu öffnen. Dies ist die einzige Aktivitätsansicht, die eine vollständige Tabelle verwendet; alle anderen Ansichten sind bereichsbegrenzte Zeitachsen (siehe unten).
Spalten
Jede Zeile ist ein aufgezeichnetes Ereignis. Die Tabelle hat fünf Spalten:
Zeit: das Datum und der Zeitstempel des Ereignisses. Die Tabelle sortiert standardmäßig nach Zeit, neueste zuerst.
Quelle: wer oder was das Ereignis ausgelöst hat, mit einer Unterbezeichnung. Ein Techniker wird mit Name und Rolle angezeigt (z. B. „Level Team / Admin"). Ein Automations-Trigger zeigt den Zeitplan und den Trigger-Typ (z. B. „Stündlich: 1 Stunde / Stündlich"). Ein Monitor, der eine Behebung ausgelöst hat, zeigt den Monitornamen und „Behebung".
Aktivität: eine verständliche Beschreibung dessen, was passiert ist. Zum Beispiel: „Über 2FA angemeldet", „Aktion KEIN NEUSTART erstellt", „Tag RAT auf Avengers angewendet" oder „Aktiviert bei Uptime täglich prüfen von wahr auf falsch geändert".
Kontext: das Objekt, auf das das Ereignis eingewirkt hat, mit seinem Typ darunter. Zu den Typen gehören Benutzer, Automation und Gerät. „Tag RAT auf Avengers angewendet" zeigt Avengers als Gerätekontext.
Typ: die Ereigniskategorie. Zu den Werten gehören Zugriff, Automation, Automationskonfiguration, Automationslauf, Tag, API-Schlüssel und Benutzerdefinierte Felder, unter anderem. Der vollständige Satz ist die Liste, die im Kategorie Filter.
Einträge lassen sich erweitern, um dieselben Details auf Feldebene wie in den bereichsbegrenzten Aktivitätsansichten anzuzeigen: Vorher-Nachher-Werte für eine Konfigurationsänderung oder ein Diff für „Änderungen anzeigen" bei einer Skriptbearbeitung.
ℹ️ HINWEIS: Quelle und Kontext sind absichtlich unterschiedlich. Quelle ist, wer gehandelt hat; Kontext ist, worauf gehandelt wurde. Eine Automation kann die Quelle eines Laufs und der Kontext einer Konfigurationsänderung sein, sodass derselbe Automationsname je nach Ereignis in einer der beiden Spalten erscheinen kann.
Suchen und Filtern
Suche gleicht den Aktivitätstext ab, sodass Sie einen Tag-Namen, einen Aktionsnamen oder einen Gerätenamen eingeben können, um die Liste einzugrenzen.
Klicken Sie auf Filter um auszuwählen, welche Filtersteuerelemente angewendet werden sollen. Im Bereich werden drei aufgelistet: Kategorie, Quelle, und Datum. Aktivieren Sie eines, um es als Chip über der Tabelle hinzuzufügen. Jeder Chip hat ein eigenes Dropdown-Menü und ein X zum Entfernen.
Kategorie filtert nach Ereigniskategorie, denselben Werten, die in der Typ Spalte angezeigt werden. Es ist eine Mehrfachauswahlliste mit einem Suchfeld und „Alle auswählen". Kategorien umfassen Zugriff, API-Schlüssel, Automation, Automationskonfiguration, Automationslauf und Benutzerdefinierte Felder, unter anderem. Die Liste ist alphabetisch und scrollbar.
Quelle filtert nach dem Typ des Akteurs, der das Ereignis ausgelöst hat: Benutzer, API-Schlüssel, Gerät, Automation oder Trigger. Es ist eine Mehrfachauswahl mit einem Suchfeld.
Datum filtert nach Zeitraum. Wählen Sie eine Voreinstellung (Heute, Gestern, Letzte 7 Tage, Letzte 14 Tage, Letzte 30 Tage, Letzte 6 Monate) oder legen Sie einen benutzerdefinierten Bereich mit dem Start- und Endkalender fest, und klicken Sie dann auf Anwenden. Der Standard ist Gesamter Zeitraum.
💡 TIPP: Fügen Sie den Kategorie Filter hinzufügen und Zugriff auswählen, um den Anmeldeverlauf zu überprüfen, oder Automationskonfiguration, um alle Änderungen an Ihren Automationen anzuzeigen. Kombinieren Sie ihn mit einem Datum Zeitraum, um eine Prüfung auf ein bestimmtes Fenster zu beschränken.
Spalten ein- und ausblenden
Klicken Sie auf Spalten um Tabellenspalten ein- oder auszublenden. Alle fünf sind standardmäßig aktiviert: Zeit, Quelle, Aktivität, Kontext und Typ. Klicken Sie auf Spalten zurücksetzen um zum Standardsatz zurückzukehren.
Aktivität in jedem Bereich
Die meisten Bereiche in Level haben ihre eigene Aktivität Registerkarte. Sie zeigt dieselbe Art von Protokoll wie die globale Seite, bereits gefiltert auf das, was Sie gerade betrachten, sodass Sie nicht die gesamte Tabelle durchsuchen müssen.
Bereichsbegrenzte Aktivitätsregisterkarten verwenden eine nach Datum gruppierte Zeitachse (Heute, Gestern, dann einzelne Daten) anstelle der globalen Tabelle. Einträge mit einem Pfeil lassen sich erweitern, um Details auf Feldebene anzuzeigen.
Geräteaktivität
Öffnen Sie ein Gerät und wechseln Sie dann zur Aktivität Registerkarte in der Geräteseitenleiste (Geräte → [Gerät] → Aktivität). Dies zeigt die auf dieses eine Gerät beschränkte Aktivität: die Automationen und Monitore, die darauf ausgeführt wurden, und Änderungen, die es betrafen.
Wenn Level erfolgreich eine manuelle Anfrage zur Deinstallation einer Anwendung an ein Online-Gerät sendet, zeichnet die Geräteaktivität Deinstallation der Anwendung angefordert. Der Eintrag gibt an, wer die Anfrage gestellt hat, und enthält den Namen, die Version und den Herausgeber der Anwendung. Dies zeichnet die Anfrage auf, nicht die Bestätigung, dass die Anwendung entfernt wurde.
Einträge nennen den Trigger und den Zeitpunkt seiner Ausführung, zum Beispiel:
„Täglich: 00:00 Uhr hat Test auf Agent Zero 1 ausgelöst"
„Freitag @ 00:00 Uhr (Standard) hat Windows-Updates auf Agent Zero 1 ausgelöst"
ℹ️ HINWEIS: Die Geräteaktivität zeigt, dass eine Automation ausgeführt wurde. Um das vollständige Ergebnis eines Laufs anzuzeigen (Status, Ausgabe pro Aktion, Neuausführung), verwenden Sie den Automationslauf-Verlauf des Geräts. Siehe Geräteautomationen.
Fernzugriffsaktivität
Wenn eine Fernsteuerungs- oder Terminalsitzung abgeschlossen ist, zeichnet die Aktivität ein Fernzugriffsereignis auf. Der Eintrag enthält:
Techniker: den Benutzer, der sich verbunden hat, wird als Quelle angezeigt.
Gerät: den Endpunkt, mit dem er sich verbunden hat, wird als Kontext angezeigt.
Datum und Uhrzeit: wann die abgeschlossene Sitzung aufgezeichnet wurde.
Sitzungstyp: Fernsteuerung oder Terminal.
Verbindungstyp: wie die Fernsitzung verbunden wurde.
Dauer: wie lange die Sitzung dauerte.
Fernzugriffsaktivitätseinträge enthalten nur Sitzungsmetadaten. Text und Ausgabe von Terminal-Befehlen sind nicht enthalten.
ℹ️ HINWEIS: Level bewahrt Aktivitätsdatensätze derzeit auf unbegrenzte Zeit auf. Sie können Aktivitätsdaten auch über GET /v2/activities.
Automationsaktivität
Öffnen Sie eine Automation und wechseln Sie dann zu Aktivität (Automationen → [Automation] → Aktivität). Dies zeigt sowohl die von der Automation ausgelösten Läufe als auch die daran vorgenommenen Konfigurationsänderungen.
Die Aktivität protokolliert zwei Arten von Einträgen:
Läufe: nennen den Trigger und das Gerät. Zum Beispiel: „Monitor: Überwachung - Global / Windows Uptime überschreitet 30 Tage ausgelöst auf odd-resolution."
Konfigurationsänderungen: zeichnen Bearbeitungen auf wie „Level Team hat den Trigger Monitor: Jacob / Uptime überschreitet 30 Tage erstellt", sowie zusammengefasste Aktionen wie „Level Team hat 3 Läufe ausgelöst" oder „Level Team hat auf DESKTOP-FD3ST4S abgebrochen."
Klicken Sie auf den Pfeil bei einem Konfigurationseintrag, um ihn zu erweitern. Die erweiterte Ansicht zeigt den Zustand auf Feldebene, zum Beispiel „aktiviert war wahr" und „Monitor war Uptime überschreitet 30 Tage".
💡 TIPP: Wenn ein Trigger nicht mehr wie erwartet auslöst, prüfen Sie die Automationsaktivität auf einen Eintrag „Trigger gelöscht" oder „Aktiviert ... von wahr auf falsch geändert". Das ist der schnellste Weg herauszufinden, ob jemand die Automation geändert hat, anstatt dass die Automation defekt ist.
Skriptaktivität
Öffnen Sie ein Skript und wechseln Sie dann zu Aktivität (Skripte → [Skript] → Aktivität). Dies zeichnet jede gespeicherte Änderung am Skript auf, einschließlich des Codes selbst.
Ein Änderungseintrag fasst zusammen, was gespeichert wurde, zum Beispiel „Level Team hat 2 Änderungen an Osquery Monitor - Uptime gespeichert." Erweitern Sie ihn, um jede einzelne Änderung anzuzeigen.
Bei einer Code-Bearbeitung zeigt die Änderung das Zeilenzahl-Delta (z. B. „+3 −1") und einen Änderungen anzeigen Link.
Klicken Sie auf Änderungen anzeigen um den Diff-Bereich zu öffnen. Er zeigt den bearbeiteten Code mit entfernten Zeilen in Rot und hinzugefügten Zeilen in Grün, Zeilennummern und einen Einheitlich / Geteilt Umschalter. Die Kopfzeile des Bereichs nennt das Skript, den Techniker und den Zeitstempel.
💡 TIPP: Der Diff-Bereich ist das Prüfprotokoll für Skriptänderungen. Verwenden Sie ihn, um genau zu bestätigen, was in einem Skript geändert wurde, bevor ein Monitor oder eine Automation sich anders zu verhalten begann – ohne eine alte Version wiederherzustellen, um sie manuell zu vergleichen.
Monitor-Richtlinienaktivität
Öffnen Sie eine Monitor-Richtlinie und wechseln Sie dann zu Aktivität (Monitore → [Richtlinie] → Aktivität). Dies zeichnet Änderungen an den Monitoren innerhalb dieser Richtlinie auf.
Ein Änderungseintrag zeigt eine Zusammenfassung wie „Level Team hat 3 Änderungen an Detect RAT gespeichert." Erweitern Sie ihn, um zu sehen, was auf Feldebene geändert wurde:
Ein neuer Monitor zeigt seine anfänglichen Einstellungen, wie „Name auf Remote Access Tool Detected gesetzt", „Schweregrad auf kritisch gesetzt", „auto_resolve auf wahr gesetzt" und „application_names auf [...] gesetzt".
Eine spätere Bearbeitung zeigt, was geändert wurde, wie „installiert auf Ein geändert" und „application_names aktualisiert: Action1, Atera, Datto, N-able, Pulseway, Level, Syncro hinzugefügt".
ℹ️ HINWEIS: Die Monitor-Richtlinienaktivität verfolgt Änderungen an den Monitoren in der Richtlinie. Um die von diesen Monitoren generierten Warnungen und deren Behebung anzuzeigen, verwenden Sie Gerätewarnungen oder der globalen Warnungen Ansicht.
Arbeitsbereichsaktivität
Gehen Sie zu Arbeitsbereich → Aktivität. Dies zeichnet Ereignisse auf Arbeitsbereichsebene auf: Anmeldungen, Tag-Änderungen und Änderungen an benutzerdefinierten Feldern, Team und Berechtigungen.
Einträge lauten wie:
„Level Team hat sich über 2FA angemeldet"
„Level Team hat Tag RAT auf Avengers angewendet"
„Level Team hat Tag JACOB von Avengers entfernt"
„Level Team hat Tag KEIN NEUSTART erstellt"
Einstellungsaktivität
Gehen Sie zu Einstellungen → Aktivität. Dies zeichnet Änderungen an Ihren Einstellungen auf: API-Schlüssel, Webhooks, Integrationen und Organisationskonfiguration.
Einträge zeichnen das geänderte Feld und seine Vorher-Nachher-Werte auf, zum Beispiel „Level Team hat die Beschreibung des schreibgeschützten API-Schlüssels Test 1 geändert".
Ein gruppierter Eintrag lässt sich erweitern, um jede einzelne Änderung anzuzeigen. Zum Beispiel öffnet sich „Level Team hat 2 Änderungen an Level Development gespeichert" in die zwei zugrunde liegenden Änderungen.
⚠️ WARNUNG: Die Einstellungsaktivität zeichnet auf, dass die Metadaten eines API-Schlüssels geändert wurden (Name, Beschreibung). Der geheime Wert des Schlüssels wird nicht angezeigt. Behandeln Sie API-Schlüssel wie Passwörter und rotieren Sie jeden Schlüssel, von dem Sie annehmen, dass er kompromittiert ist. Siehe API-Schlüssel-Einstellungen.
Wer kann die Aktivität sehen
Die globale Aktivität Seite ist nur für Administratoren zugänglich. Techniker ohne Administratorrechte sehen sie in der Navigation überhaupt nicht.
Überall sonst folgt die Aktivität der Lesezuordnung: dieselbe Berechtigungseinschränkung wie der Rest von Level. Techniker sehen die Aktivitätsregisterkarte auf jedem Gerät, jeder Automation oder Richtlinie, auf die sie bereits Zugriff haben, begrenzt auf den Umfang ihrer Berechtigungen. Ein Techniker mit eingeschränktem Gruppenzugriff sieht die ressourcenbezogene Aktivität für seine Gruppen. Er erhält keine gefilterte Version der globalen Seite, da er die globale Seite überhaupt nicht öffnen kann.
Der Zugriff auf Einstellungs- und Arbeitsbereichsaktivität hängt davon ab, ob der Techniker überhaupt auf diese Bereiche zugreifen kann.
ℹ️ HINWEIS: Die Aktivitätsbeschränkung ist eine Lesezuordnung, keine separate Berechtigung. Wenn ein Techniker ein Gerät, eine Automation oder eine Richtlinie bereits sehen kann, kann er auch deren Aktivitätsregisterkarte sehen. Er kann keine Aktivität für Ressourcen sehen, auf die er keinen Zugriff hat. Die einzige harte Schranke ist die globale Aktivitätsseite selbst, die unabhängig vom Lesezugriff nur für Administratoren zugänglich ist.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Aktivität und Verlauf? Aktivität ist das Prüfprotokoll: wer was getan hat, welche Konfiguration geändert wurde und eine Zusammenfassung der Läufe. Verlauf (und der Automationslauf-Verlauf unter Geräteautomationen) ist das Ausführungsprotokoll: das detaillierte Ergebnis jedes Laufs, einschließlich Status, Ausgabe pro Aktion und die Möglichkeit zur Neuausführung. Verwenden Sie die Aktivität, um „Wer hat das geändert?" zu beantworten, und den Verlauf, um „Was hat dieser Lauf tatsächlich getan?" zu beantworten.
Kann ich einen Aktivitätseintrag bearbeiten oder löschen? Nein. Die Aktivität ist bewusst schreibgeschützt. Sie können suchen, filtern, erweitern und Diffs anzeigen, aber Einträge können nicht geändert oder entfernt werden.
Warum sehe ich weniger Einträge als ein Kollege? Die Aktivität ist auf Ihre Berechtigungen beschränkt. Sie sehen die Aktivität für die Gerätegruppen und Ressourcen, auf die Sie Zugriff haben. Ein Kollege mit umfassenderem Zugriff sieht mehr. Siehe Arbeitsbereich → Berechtigungen.
Der Name einer Person wird als Quelle angezeigt, aber ich weiß, dass eine Automation die Arbeit erledigt hat. Was stimmt? Beides, auf verschiedenen Ebenen. Wenn ein Techniker den Lauf manuell ausgelöst hat, ist er die Quelle. Wenn ein Zeitplan oder Monitor ihn ausgelöst hat, ist der Trigger oder Monitor die Quelle. Überprüfen Sie die Quellenunterbezeichnung (Rolle, „Stündlich", „Behebung"), um zu unterscheiden, welcher Fall vorliegt.
Was ist der Unterschied zwischen der globalen Aktivitätsseite und einer bereichsbegrenzten Aktivitätsregisterkarte? Die Daten und die Details sind identisch. Einträge in beiden lassen sich auf dieselben Details auf Feldebene erweitern, einschließlich Vorher-Nachher-Werte und Code-Diffs. Der Unterschied liegt in Umfang und Layout: Die globale Seite ist eine Tabelle, die alles abdeckt, was Sie sehen können, und eine bereichsbegrenzte Registerkarte ist eine Zeitachse, die auf ein einzelnes Gerät, eine Automation, ein Skript, eine Monitor-Richtlinie oder einen Einstellungsbereich vorgefiltert ist. Verwenden Sie die globale Seite, um alles an einem Ort zu überprüfen, und eine bereichsbegrenzte Registerkarte, wenn Sie bereits wissen, welche Ressource Sie interessiert.
Zeigt die Einstellungsaktivität meine API-Schlüsselwerte an? Nein. Es werden Metadatenänderungen wie Name und Beschreibung aufgezeichnet, nicht der geheime Wert. Der Schlüsselwert ist über Einstellungen → API-Schlüssel jederzeit über die Option „Schlüssel kopieren".
Wer kann die Aktivität anzeigen? Jeder Techniker kann die Aktivität anzeigen, aber die Datensätze sind auf das beschränkt, was seine Berechtigungen ihm anzuzeigen erlauben. Einstellungs- und Arbeitsbereichsaktivität erfordert Zugriff auf diese Bereiche. Siehe Arbeitsbereich → Berechtigungen zur Konfiguration des Zugriffs.