Mulai dari log, bukan dari dugaan
Ketika ada sesuatu di akun GitHub Anda yang tampak berbeda, langkah pertama yang berguna adalah menarik catatan yang Anda kendalikan, bukan merekonstruksi peristiwa dari ingatan. Log keamanan pribadi GitHub adalah catatan itu.
Log keamanan pribadi GitHub berisi tindakan dari 90 hari terakhir. Sumber
Karena log dibatasi pada jendela waktu terbaru, ekspor lebih awal. Peristiwa yang jatuh di luar jendela tidak akan muncul kemudian, dan Anda tidak dapat memulihkannya dengan menunggu.
Di mana log berada dan apa yang dapat Anda filter
Log tersedia di Pengaturan akun, di bawah Arsip, Log keamanan, dan mendukung filter seperti aktor, repositori, dan tindakan. Sumber
Filter lebih penting daripada volume mentah. Mempersempit berdasarkan aktor, repositori, atau tindakan memungkinkan Anda mengisolasi periode dan permukaan yang Anda pedulikan, alih-alih menggulir aktivitas rutin yang tidak terkait.
Ekspor salinan pribadi sebelum Anda menganalisis
Menu Ekspor mengunduh JSON atau CSV; filter yang didukung dapat mempersempit ekspor. Sumber
Perlakukan file yang diekspor sebagai sensitif. File itu berisi catatan aktivitas akun, termasuk aktor dan tindakan, dan dapat mengungkap konteks pribadi atau organisasi. Simpan di tempat pribadi, bagikan hanya kepada orang yang langsung membantu Anda menyelidiki, dan hindari menempelkannya ke utas publik atau pelacak masalah. Jika nanti Anda perlu menyerahkan salinan ke tim dukungan platform, bagikan ekspor tersaring yang paling sempit yang menjawab pertanyaan mereka.
Susun lembar kerja linimasa insiden
Ekspor log adalah daftar peristiwa, bukan narasi. Ubah menjadi lembar kerja agar observasi, interpretasi, dan pertanyaan terbuka tetap terpisah. Struktur sederhana berfungsi:
| Kolom | Apa yang diisi | Mengapa penting |
|---|---|---|
| Peristiwa | Label singkat untuk apa yang terjadi | Membuat baris mudah dipindai nanti |
| Waktu | Stempel waktu seperti yang tercatat, dengan zona waktu dicatat | Mencegah kesalahan urutan |
| Aktor | Akun atau pengenal yang tercatat sebagai pelaku | Mengidentifikasi sumber tercatat, bukan orang |
| Tindakan | Apa yang menurut log telah dilakukan | Menjaga baris tetap faktual |
| Keyakinan | Seberapa yakin Anda bahwa baris ini relevan dan dibaca dengan benar | Memisahkan baris kuat dari yang spekulatif |
| Pertanyaan terbuka | Apa yang masih perlu Anda periksa | Menghentikan asumsi mengeras menjadi fakta |
Isi lembar kerja dari ekspor, satu baris per peristiwa yang Anda anggap relevan. Gunakan kolom keyakinan dengan jujur: baris yang Anda baca langsung dari ekspor lebih kuat daripada baris yang Anda simpulkan dari perubahan yang Anda perhatikan. Jika Anda melihat perubahan tetapi tidak dapat menemukan peristiwa yang cocok, catat sebagai pertanyaan terbuka, bukan kesimpulan.
Pisahkan tindakan teramati dari bukti siapa yang melakukannya
Inilah bagian yang paling sering salah dalam linimasa. Entri dalam log memberi tahu Anda apa yang menurut catatan terjadi dan pengenal aktor mana yang terlampir. Itu sendiri tidak menetapkan manusia mana yang berada di keyboard. Perangkat bersama, sesi yang digunakan ulang, kredensial yang disusupi, dan otomatisasi yang sah semuanya dapat menghasilkan entri yang tampak seperti seseorang yang bertindak.
Ingatlah dua kolom pemikiran saat Anda meninjau:
- Teramati: peristiwa, waktu, aktor, dan tindakan sebagaimana tercatat.
- Belum terbukti: siapa yang secara fisik melakukannya, mengapa, dan apakah pengenal aktor sesuai dengan orang yang Anda asumsikan.
Tulis kesimpulan di kategori kedua hanya ketika Anda memiliki bukti independen. Sampai saat itu, kesimpulan tersebut termasuk dalam kolom pertanyaan terbuka.
Jangan membaca peristiwa yang hilang sebagai bukti tidak ada apa-apa
Ruang kosong dalam ekspor bukan bukti tidak ada aktivitas. Log mencakup jendela terbaru yang ditentukan, dan ekspor mencerminkan filter yang Anda terapkan. Jika Anda memfilter berdasarkan repositori, peristiwa di repositori lain tidak akan muncul. Jika perubahan yang Anda khawatirkan terjadi di luar jendela, itu tidak akan ada di sana. Catat ketidakhadiran sebagai celah untuk diselidiki, bukan sebagai rasa aman.
Jika Anda kehilangan akses
Jika Anda tidak dapat masuk untuk mengakses log sama sekali, berhentilah mencoba merekonstruksi peristiwa dari luar dan gunakan proses pemulihan akun resmi GitHub. Pemulihan adalah jalur yang memulihkan kemampuan Anda untuk meninjau akun. Jangan meminta pihak ketiga mengakses akun atas nama Anda, dan jangan menganggap reset kata sandi saja sebagai penyelidikan yang selesai; setelah akses kembali, ekspor log dan susun linimasa untuk periode sekitar perubahan.
Daftar periksa singkat
- Ekspor log keamanan sebelum jendela 90 hari bergulir maju.
- Simpan ekspor secara pribadi dan catat tanggal serta zona waktu ekspor.
- Terapkan filter untuk mengisolasi periode dan permukaan yang Anda pedulikan, lalu ekspor tampilan tersaring jika membantu.
- Susun lembar kerja dengan kolom peristiwa, waktu, aktor, tindakan, dan keyakinan.
- Tandai setiap baris sebagai teramati atau disimpulkan, dan pisahkan pertanyaan terbuka.
- Catat peristiwa yang hilang sebagai celah, bukan sebagai bukti tidak ada apa-apa.
- Jika akses hilang, gunakan pemulihan resmi terlebih dahulu, lalu kembali ke langkah 1.
Langkah berikutnya yang berguna
Setelah Anda memiliki linimasa, pertanyaan berikutnya sering kali adalah akun lain mana yang terhubung ke nama atau pengenal yang sama. Itu tugas yang berbeda dari membaca log keamanan, dan memiliki metodenya sendiri: lihat cara menemukan semua akun yang terhubung ke sebuah nama. Jaga kedua penyelidikan tetap terpisah agar temuan dari satu tidak disalahartikan sebagai bukti di yang lain.