Commencez par le journal, pas par des suppositions
Lorsque quelque chose sur votre compte GitHub semble différent, la première démarche utile est de récupérer un enregistrement que vous contrôlez plutôt que de reconstituer les événements de mémoire. Le journal de sécurité personnel de GitHub est cet enregistrement.
Le journal de sécurité personnel de GitHub contient les actions des 90 derniers jours. Source
Comme le journal est limité à une fenêtre récente, exportez-le tôt. Les événements qui sortent de cette fenêtre n’apparaîtront pas plus tard, et vous ne pourrez pas les récupérer en attendant.
Où se trouve le journal et ce que vous pouvez filtrer
Le journal est disponible dans les paramètres du compte, sous Archives, Journal de sécurité, et prend en charge des filtres tels que l’acteur, le dépôt et l’action. Source
Les filtres comptent plus que le volume brut. En restreignant par acteur, dépôt ou action, vous isolez la période et la surface qui vous intéressent, au lieu de faire défiler une activité routinière sans rapport.
Exportez une copie privée avant d’analyser
Le menu Exporter télécharge le journal au format JSON ou CSV ; les filtres pris en charge peuvent restreindre l’export. Source
Traitez le fichier exporté comme sensible. Il contient un enregistrement de l’activité du compte, y compris les acteurs et les actions, et peut révéler un contexte personnel ou organisationnel. Conservez-le dans un endroit privé, ne le partagez qu’avec les personnes qui vous aident directement dans l’enquête, et évitez de le coller dans des fils publics ou des gestionnaires de tickets. Si vous devez ensuite transmettre une copie à une équipe d’assistance de la plateforme, partagez l’export filtré le plus restreint qui répond à leur question.
Construisez une feuille de travail pour la chronologie de l’incident
Un export de journal est une liste d’événements, pas un récit. Convertissez-le en feuille de travail afin que les observations, les interprétations et les questions ouvertes restent séparées. Une structure simple suffit :
| Colonne | Ce qu’on y met | Pourquoi c’est important |
|---|---|---|
| Événement | Un libellé court pour ce qui s’est passé | Rend la ligne lisible plus tard |
| Heure | L’horodatage tel qu’enregistré, avec le fuseau horaire indiqué | Évite les erreurs d’ordre |
| Acteur | Le compte ou l’identifiant enregistré comme agissant | Identifie la source enregistrée, pas une personne |
| Action | Ce que le journal dit avoir été fait | Garde la ligne factuelle |
| Confiance | Votre degré de certitude que cette ligne est pertinente et correctement lue | Sépare les lignes solides des lignes spéculatives |
| Question ouverte | Ce qu’il vous reste à vérifier | Empêche les suppositions de se durcir en faits |
Remplissez la feuille de travail à partir de l’export, une ligne par événement que vous jugez pertinent. Utilisez la colonne Confiance honnêtement : une ligne que vous avez lue directement dans l’export est plus solide qu’une ligne déduite d’un changement que vous avez remarqué. Lorsque vous remarquez un changement mais ne trouvez pas d’événement correspondant, notez-le comme question ouverte plutôt que comme conclusion.
Séparez les actions observées de la preuve de qui les a commises
C’est la partie que la plupart des chronologies ratent. Une entrée dans le journal vous dit ce que l’enregistrement dit s’être produit et quel identifiant d’acteur y est attaché. Elle n’établit pas, à elle seule, quel être humain était au clavier. Des appareils partagés, des sessions réutilisées, des identifiants compromis et une automatisation légitime peuvent tous produire des entrées qui ressemblent à l’action d’une personne.
Gardez deux colonnes de réflexion en tête pendant votre analyse :
- Observé : l’événement, l’heure, l’acteur et l’action tels qu’enregistrés.
- Non établi : qui l’a matériellement effectué, pourquoi, et si l’identifiant d’acteur correspond à la personne que vous supposez.
N’écrivez des conclusions dans la seconde catégorie que lorsque vous disposez de preuves indépendantes. D’ici là, elles appartiennent à la colonne des questions ouvertes.
Ne lisez pas un événement manquant comme la preuve qu’il ne s’est rien passé
Un espace vide dans l’export n’est pas une preuve d’inactivité. Le journal couvre une fenêtre récente définie, et un export reflète les filtres que vous avez appliqués. Si vous avez filtré par dépôt, les événements des autres dépôts n’apparaîtront pas. Si le changement qui vous inquiète s’est produit en dehors de la fenêtre, il n’y sera pas. Notez les absences comme des lacunes à examiner, non comme une assurance.
Si vous avez perdu l’accès
Si vous ne pouvez pas vous connecter pour accéder au journal, cessez d’essayer de reconstituer les événements de l’extérieur et utilisez la procédure officielle de récupération de compte de GitHub. La récupération est la voie qui rétablit votre capacité à consulter le compte. Ne demandez pas à des tiers d’accéder au compte en votre nom, et ne considérez pas une simple réinitialisation de mot de passe comme une enquête terminée ; une fois l’accès rétabli, exportez le journal et construisez la chronologie pour la période autour du changement.
Une courte liste de vérification
- Exportez le journal de sécurité avant que la fenêtre de 90 jours n’avance.
- Stockez l’export en privé et notez la date et le fuseau horaire de l’export.
- Appliquez des filtres pour isoler la période et la surface qui vous intéressent, puis exportez la vue restreinte si cela aide.
- Construisez la feuille de travail avec les colonnes événement, heure, acteur, action et confiance.
- Marquez chaque ligne comme observée ou déduite, et gardez les questions ouvertes à part.
- Notez les événements manquants comme des lacunes, non comme la preuve qu’il ne s’est rien passé.
- Si l’accès est perdu, utilisez d’abord la récupération officielle, puis revenez à l’étape 1.
Une prochaine étape utile
Une fois que vous avez une chronologie, la question suivante est souvent de savoir quels autres comptes sont liés au même nom ou aux mêmes identifiants. C’est une tâche différente de la lecture d’un journal de sécurité, et elle a sa propre méthode : voir comment trouver tous les comptes liés à un nom. Gardez les deux enquêtes séparées afin que les conclusions de l’une ne soient pas prises pour des preuves dans l’autre.