Comece pelo log, não por suposições
Quando algo na sua conta do GitHub parece diferente, o primeiro passo útil é puxar um registro que você controla, em vez de reconstruir os eventos de memória. O log de segurança pessoal do GitHub é esse registro.
O log de segurança pessoal do GitHub contém ações dos últimos 90 dias. Fonte
Como o log é limitado a uma janela recente, exporte cedo. Eventos que ficam fora da janela não aparecerão depois, e você não conseguirá recuperá-los esperando.
Onde o log fica e o que você pode filtrar
O log está disponível nas Configurações da conta, em Arquivos, Log de segurança, e aceita filtros como ator, repositório e ação. Fonte
Os filtros importam mais do que o volume bruto. Restringir por ator, repositório ou ação permite isolar o período e a superfície que lhe interessam, em vez de rolar por atividade rotineira sem relação.
Exporte uma cópia privada antes de analisar
O menu Exportar baixa JSON ou CSV; os filtros compatíveis podem restringir a exportação. Fonte
Trate o arquivo exportado como sensível. Ele contém um registro da atividade da conta, incluindo atores e ações, e pode revelar contexto pessoal ou organizacional. Guarde-o em local privado, compartilhe apenas com quem está ajudando diretamente na investigação e evite colá-lo em tópicos públicos ou rastreadores de issues. Se depois precisar entregar uma cópia a uma equipe de suporte da plataforma, compartilhe a exportação filtrada mais restrita que responda à pergunta deles.
Monte uma planilha de linha do tempo do incidente
Uma exportação de log é uma lista de eventos, não uma narrativa. Converta-a em uma planilha para que observações, interpretações e perguntas em aberto fiquem separadas. Uma estrutura simples funciona:
| Coluna | O que vai nela | Por que importa |
|---|---|---|
| Evento | Um rótulo curto para o que aconteceu | Torna a linha fácil de ler depois |
| Horário | O carimbo de data e hora conforme registrado, com fuso horário anotado | Evita erros de ordenação |
| Ator | A conta ou identificador registrado como autor da ação | Identifica a fonte registrada, não uma pessoa |
| Ação | O que o log diz que foi feito | Mantém a linha factual |
| Confiança | Quão seguro você está de que a linha é relevante e foi lida corretamente | Separa linhas fortes de especulativas |
| Pergunta em aberto | O que você ainda precisa verificar | Impede que suposições se firmem como fatos |
Preencha a planilha a partir da exportação, uma linha por evento que você considerar relevante. Use a coluna de confiança com honestidade: uma linha lida diretamente da exportação é mais forte do que uma linha inferida a partir de uma mudança que você notou. Onde você notou uma mudança mas não encontra um evento correspondente, registre isso como pergunta em aberto, não como conclusão.
Separe ações observadas da prova de quem as executou
Esta é a parte em que a maioria das linhas do tempo erra. Uma entrada no log diz o que o registro afirma que aconteceu e qual identificador de ator está associado. Por si só, ela não estabelece qual ser humano estava no teclado. Dispositivos compartilhados, sessões reutilizadas, credenciais comprometidas e automação legítima podem produzir entradas que parecem uma pessoa agindo.
Mantenha duas colunas de raciocínio na cabeça enquanto revisa:
- Observado: o evento, horário, ator e ação conforme registrados.
- Não estabelecido: quem fisicamente executou, por quê, e se o identificador de ator corresponde à pessoa que você supõe.
Escreva conclusões na segunda categoria apenas quando tiver evidência independente. Até lá, elas pertencem à coluna de perguntas em aberto.
Não leia um evento ausente como prova de que nada aconteceu
Um espaço em branco na exportação não é evidência de inatividade. O log cobre uma janela recente definida, e uma exportação reflete os filtros que você aplicou. Se você filtrou por um repositório, eventos em outros repositórios não aparecerão. Se a mudança que lhe preocupa aconteceu fora da janela, ela não estará lá. Registre ausências como lacunas a investigar, não como tranquilidade.
Se você perdeu o acesso
Se não consegue entrar para acessar o log de jeito nenhum, pare de tentar reconstruir os eventos de fora e use o processo oficial de recuperação de conta do GitHub. A recuperação é o caminho que restaura sua capacidade de revisar a conta. Não peça a terceiros para acessar a conta em seu nome, e não trate uma redefinição de senha isolada como investigação concluída; quando o acesso voltar, exporte o log e monte a linha do tempo do período em torno da mudança.
Uma lista de verificação curta
- Exporte o log de segurança antes que a janela de 90 dias avance.
- Guarde a exportação em local privado e anote a data e o fuso horário da exportação.
- Aplique filtros para isolar o período e a superfície que lhe interessam e, se ajudar, exporte a visão restrita.
- Monte a planilha com as colunas de evento, horário, ator, ação e confiança.
- Marque cada linha como observada ou inferida e mantenha as perguntas em aberto separadas.
- Registre eventos ausentes como lacunas, não como prova de que nada aconteceu.
- Se perder o acesso, use primeiro a recuperação oficial e depois volte ao passo 1.
Um próximo passo útil
Depois de ter uma linha do tempo, a próxima pergunta costuma ser quais outras contas estão ligadas ao mesmo nome ou identificadores. Essa é uma tarefa diferente de ler um log de segurança e tem método próprio: veja como encontrar todas as contas ligadas a um nome. Mantenha as duas investigações separadas para que descobertas de uma não sejam confundidas com evidência na outra.