추측이 아니라 로그에서 시작하세요
GitHub 계정에서 무언가 평소와 다르게 보인다면, 기억을 더듬어 상황을 재구성하기보다 내가 통제할 수 있는 기록을 먼저 확보하는 것이 유용한 첫 단계입니다. GitHub의 개인 보안 로그가 바로 그 기록입니다.
GitHub의 개인 보안 로그에는 최근 90일간의 작업이 포함됩니다. 출처
로그는 최근 기간으로 제한되므로 일찍 내보내야 합니다. 기간을 벗어난 이벤트는 나중에 나타나지 않으며, 기다린다고 복구할 수 없습니다.
로그 위치와 필터링할 수 있는 항목
로그는 계정 Settings의 Archives, Security log에서 확인할 수 있으며 행위자, 저장소, 작업 등의 필터를 지원합니다. 출처
필터는 원시 데이터의 양보다 중요합니다. 행위자, 저장소 또는 작업으로 범위를 좁히면 무관한 일상 활동을 훑는 대신 관심 있는 기간과 영역을 분리할 수 있습니다.
분석 전에 비공개 사본을 내보내세요
Export 메뉴에서 JSON 또는 CSV를 다운로드할 수 있으며, 지원되는 필터로 내보내기 범위를 좁힐 수 있습니다. 출처
내보낸 파일은 민감한 자료로 취급하세요. 여기에는 행위자와 작업을 포함한 계정 활동 기록이 담겨 있으며 개인적 또는 조직적 맥락이 드러날 수 있습니다. 비공개 장소에 보관하고, 조사를 직접 돕는 사람에게만 공유하며, 공개 스레드나 이슈 트래커에 붙여넣지 마세요. 나중에 플랫폼 지원팀에 사본을 전달해야 한다면, 그들의 질문에 답할 수 있는 가장 좁은 범위의 필터링된 내보내기만 공유하세요.
사고 타임라인 워크시트 만들기
로그 내보내기는 사건의 목록이지 서사가 아닙니다. 관찰, 해석, 미해결 질문이 분리되도록 워크시트로 변환하세요. 간단한 구조로 충분합니다:
| 열 | 무엇을 적는가 | 왜 중요한가 |
|---|---|---|
| 이벤트 | 무슨 일이 있었는지에 대한 짧은 라벨 | 나중에 행을 쉽게 훑을 수 있게 함 |
| 시간 | 기록된 타임스탬프, 시간대 명시 | 순서 오류를 방지함 |
| 행위자 | 행동한 것으로 기록된 계정 또는 식별자 | 사람이 아닌 기록된 출처를 식별함 |
| 작업 | 로그에 수행되었다고 기록된 내용 | 행을 사실에 충실하게 유지함 |
| 신뢰도 | 이 행이 관련 있고 올바르게 읽혔다고 얼마나 확신하는지 | 강한 행과 추측성 행을 구분함 |
| 미해결 질문 | 아직 확인해야 할 것 | 가정이 사실로 굳어지는 것을 막음 |
내보내기에서 워크시트를 채우되, 관련 있다고 판단한 이벤트마다 한 행을 사용하세요. 신뢰도 열은 솔직하게 사용하세요. 내보내기에서 직접 읽은 행은 알아챈 변화에서 추론한 행보다 더 강합니다. 변화를 발견했지만 일치하는 이벤트를 찾을 수 없다면, 결론이 아니라 미해결 질문으로 기록하세요.
관찰된 작업과 수행자 입증을 분리하세요
대부분의 타임라인이 틀리는 부분입니다. 로그 항목은 기록에 따르면 무슨 일이 있었고 어떤 행위자 식별자가 연결되어 있는지를 알려줍니다. 그것만으로 키보드 앞에 있던 사람이 누구인지 확립하지는 않습니다. 공유 기기, 재사용된 세션, 탈취된 자격 증명, 정당한 자동화 모두 사람이 행동한 것처럼 보이는 항목을 만들 수 있습니다.
검토할 때 머릿속에 두 가지 사고 열을 유지하세요:
- 관찰됨: 기록된 그대로의 이벤트, 시간, 행위자, 작업.
- 확립되지 않음: 누가 물리적으로 수행했는지, 왜 했는지, 행위자 식별자가 당신이 가정하는 사람과 일치하는지.
독립적인 증거가 있을 때만 두 번째 범주에 결론을 쓰세요. 그 전까지는 미해결 질문 열에 속합니다.
이벤트가 없다고 아무 일도 없었다는 증거로 읽지 마세요
내보내기의 빈 공간은 비활동의 증거가 아닙니다. 로그는 정해진 최근 기간을 다루며, 내보내기는 적용한 필터를 반영합니다. 저장소로 필터링했다면 다른 저장소의 이벤트는 나타나지 않습니다. 걱정되는 변화가 기간 밖에서 일어났다면 거기에 없을 것입니다. 부재는 안심이 아니라 조사할 공백으로 기록하세요.
접근 권한을 잃었다면
로그에 접근하기 위해 전혀 로그인할 수 없다면, 외부에서 상황을 재구성하려는 시도를 멈추고 GitHub의 공식 계정 복구 절차를 사용하세요. 복구는 계정을 검토할 수 있는 능력을 되찾는 경로입니다. 제3자에게 대신 계정에 접근해 달라고 요청하지 말고, 비밀번호 재설정만으로 조사가 완료되었다고 간주하지 마세요. 접근 권한이 돌아오면 로그를 내보내고 변화 전후 기간의 타임라인을 만드세요.
짧은 체크리스트
- 90일 기간이 지나가기 전에 보안 로그를 내보내세요.
- 내보내기를 비공개로 보관하고 내보낸 날짜와 시간대를 기록하세요.
- 관심 있는 기간과 영역을 분리하도록 필터를 적용하고, 필요하면 좁힌 보기를 내보내세요.
- 이벤트, 시간, 행위자, 작업, 신뢰도 열로 워크시트를 만드세요.
- 각 행을 관찰됨 또는 추론됨으로 표시하고 미해결 질문은 따로 두세요.
- 누락된 이벤트는 아무 일도 없었다는 증거가 아니라 공백으로 기록하세요.
- 접근 권한을 잃었다면 먼저 공식 복구를 사용한 뒤 1단계로 돌아오세요.
유용한 다음 단계
타임라인을 만들고 나면 다음 질문은 보통 같은 이름이나 식별자에 연결된 다른 계정이 무엇인지입니다. 이는 보안 로그를 읽는 것과 다른 작업이며 고유한 방법이 있습니다: 이름에 연결된 모든 계정을 찾는 방법을 참고하세요. 한 조사의 발견이 다른 조사의 증거로 오인되지 않도록 두 조사를 분리해 두세요.