Zacznij od dziennika, nie od domysłów
Gdy coś na Twoim koncie GitHub wygląda inaczej, pierwszym pożytecznym krokiem jest pobranie zapisu, który kontrolujesz, zamiast odtwarzania zdarzeń z pamięci. Osobisty dziennik bezpieczeństwa GitHub jest właśnie takim zapisem.
Osobisty dziennik bezpieczeństwa GitHub zawiera działania z ostatnich 90 dni. Źródło
Ponieważ dziennik obejmuje ograniczony, niedawny okres, eksportuj go wcześnie. Zdarzenia spoza tego okna nie pojawią się później i nie odzyskasz ich, czekając.
Gdzie znajduje się dziennik i co możesz filtrować
Dziennik jest dostępny w Ustawieniach konta w sekcji Archiwa, Dziennik bezpieczeństwa i obsługuje filtry takie jak wykonawca, repozytorium i działanie. Źródło
Filtry mają większe znaczenie niż sama objętość danych. Zawężenie według wykonawcy, repozytorium lub działania pozwala wyodrębnić interesujący Cię okres i obszar, zamiast przewijać niepowiązaną rutynową aktywność.
Wyeksportuj prywatną kopię, zanim zaczniesz analizować
Menu Eksport pobiera plik JSON lub CSV; obsługiwane filtry mogą zawęzić eksport. Źródło
Traktuj wyeksportowany plik jako poufny. Zawiera zapis aktywności konta, w tym wykonawców i działania, i może ujawniać kontekst osobisty lub organizacyjny. Przechowuj go w prywatnym miejscu, udostępniaj tylko osobom bezpośrednio pomagającym w dochodzeniu i unikaj wklejania go do publicznych wątków lub systemów zgłoszeń. Jeśli później będziesz musiał przekazać kopię zespołowi wsparcia platformy, udostępnij najwęższy filtrowany eksport, który odpowiada na ich pytanie.
Zbuduj arkusz osi czasu incydentu
Eksport dziennika to lista zdarzeń, a nie narracja. Przekształć go w arkusz, aby obserwacje, interpretacje i otwarte pytania pozostały oddzielone. Sprawdza się prosta struktura:
| Kolumna | Co zawiera | Dlaczego to ważne |
|---|---|---|
| Zdarzenie | Krótka etykieta tego, co się stało | Ułatwia późniejsze skanowanie wiersza |
| Czas | Znacznik czasu zgodnie z zapisem, z podaniem strefy czasowej | Zapobiega błędom w kolejności |
| Wykonawca | Konto lub identyfikator zapisany jako działający | Wskazuje zapisane źródło, nie osobę |
| Działanie | Co według dziennika zostało zrobione | Utrzymuje wiersz w sferze faktów |
| Pewność | Jak bardzo jesteś pewien, że wiersz jest istotny i poprawnie odczytany | Oddziela mocne wiersze od spekulacyjnych |
| Otwarte pytanie | Co jeszcze musisz sprawdzić | Powstrzymuje założenia przed utwardzeniem się w fakty |
Wypełnij arkusz na podstawie eksportu, jeden wiersz na zdarzenie, które uznasz za istotne. Używaj kolumny pewności uczciwie: wiersz odczytany bezpośrednio z eksportu jest mocniejszy niż wiersz wywnioskowany ze zmiany, którą zauważyłeś. Jeśli zauważyłeś zmianę, ale nie możesz znaleźć pasującego zdarzenia, zapisz to jako otwarte pytanie, a nie wniosek.
Oddziel zaobserwowane działania od dowodu, kto je wykonał
To jest część, w której większość osi czasu popełnia błąd. Wpis w dzienniku mówi, co według zapisu się stało i jaki identyfikator wykonawcy jest do niego przypisany. Sam w sobie nie ustala, która osoba była przy klawiaturze. Współdzielone urządzenia, ponownie użyte sesje, przejęte dane uwierzytelniające i legalna automatyzacja mogą wszystkie generować wpisy wyglądające jak działanie osoby.
Podczas przeglądu trzymaj w głowie dwa tory myślenia:
- Zaobserwowane: zdarzenie, czas, wykonawca i działanie zgodnie z zapisem.
- Nieustalone: kto fizycznie to wykonał, dlaczego i czy identyfikator wykonawcy odpowiada osobie, którą zakładasz.
Wnioski w drugiej kategorii zapisuj tylko wtedy, gdy masz niezależne dowody. Do tego czasu należą do kolumny otwartych pytań.
Nie odczytuj brakującego zdarzenia jako dowodu, że nic się nie stało
Puste miejsce w eksporcie nie jest dowodem na brak aktywności. Dziennik obejmuje określony, niedawny okres, a eksport odzwierciedla zastosowane filtry. Jeśli filtrowałeś według repozytorium, zdarzenia z innych repozytoriów się nie pojawią. Jeśli zmiana, która Cię niepokoi, miała miejsce poza tym oknem, jej tam nie będzie. Zapisuj braki jako luki do zbadania, a nie jako uspokojenie.
Jeśli utraciłeś dostęp
Jeśli nie możesz się zalogować, aby w ogóle dotrzeć do dziennika, przestań próbować odtwarzać zdarzenia z zewnątrz i skorzystaj z oficjalnego procesu odzyskiwania konta GitHub. Odzyskiwanie to ścieżka, która przywraca możliwość przeglądu konta. Nie proś osób trzecich o dostęp do konta w swoim imieniu i nie traktuj samego resetu hasła jako zakończonego dochodzenia; gdy dostęp wróci, wyeksportuj dziennik i zbuduj oś czasu dla okresu wokół zmiany.
Krótka lista kontrolna
- Wyeksportuj dziennik bezpieczeństwa, zanim okno 90 dni przesunie się do przodu.
- Przechowuj eksport prywatnie i zanotuj datę oraz strefę czasową eksportu.
- Zastosuj filtry, aby wyodrębnić interesujący Cię okres i obszar, a następnie wyeksportuj zawężony widok, jeśli to pomoże.
- Zbuduj arkusz z kolumnami zdarzenia, czasu, wykonawcy, działania i pewności.
- Oznacz każdy wiersz jako zaobserwowany lub wywnioskowany i oddziel otwarte pytania.
- Zapisuj brakujące zdarzenia jako luki, a nie jako dowód, że nic się nie stało.
- Jeśli utraciłeś dostęp, najpierw skorzystaj z oficjalnego odzyskiwania, a potem wróć do kroku 1.
Przydatny następny krok
Gdy masz już oś czasu, następnym pytaniem często jest to, jakie inne konta są powiązane z tym samym imieniem lub identyfikatorami. To inne zadanie niż czytanie dziennika bezpieczeństwa i ma własną metodę: zobacz jak znaleźć wszystkie konta powiązane z imieniem. Prowadź oba dochodzenia osobno, aby ustalenia z jednego nie zostały pomylone z dowodami w drugim.