收集 GitHub 审核日志

解析器版本：23.0

支持范围：

本文档介绍了如何将 GitHub 审核日志注入到 Google Security Operations。您可以使用以下方法之一配置提取：

  • Google Cloud Storage V2（推荐）：将 GitHub Enterprise Cloud 中的审核日志直接流式传输到 GCS 存储桶，然后注入到 Google SecOps。
  • Webhook：配置 GitHub，以实时将事件载荷直接推送到 Google SecOps Webhook 端点。

GitHub 是一个基于云的版本控制和协作平台，可让开发者存储和管理代码、跟踪更改以及协作开发软件项目。GitHub Enterprise Cloud 提供企业级安全功能，包括用于合规性和安全监控的审核日志流式传输。

准备工作

  • 确保您满足以下前提条件：

  • Google SecOps 实例

  • 具有企业所有者权限（适用于 GCS 流式传输）或组织所有者权限（适用于 webhook）的 GitHub Enterprise Cloud 账号

对于 GCS 方法，您还需要：

  • 启用了 Cloud Storage API 的 Google Cloud 项目
  • 创建和管理 GCS 存储桶的权限
  • 创建服务账号和管理 IAM 政策的权限

对于 Webhook 方法，您还需要：

  • 拥有对 Google Cloud Console 的访问权限（用于创建 API 密钥）
  • GitHub 中的代码库管理员或组织所有者权限

创建 Google Cloud Storage 存储桶

  1. 前往 Google Cloud 控制台。
  2. 选择您的项目或创建一个新项目。
  3. 在导航菜单中，前往 Cloud Storage > 存储桶。
  4. 点击创建存储分区。

  5. 提供以下配置详细信息：

    设置 值
    指定存储桶的名称 输入一个全局唯一的名称（例如 github-audit-logs）
    位置类型 根据您的需求进行选择（单区域、双区域、多区域）
    位置 选择位置（例如 us-central1）
    存储类别 标准（推荐用于频繁访问的日志）
    访问权限控制 统一（推荐）
    保护工具 可选：启用对象版本控制或保留政策

  6. 点击创建。

为 GitHub 审核日志流式传输创建服务账号

GitHub 需要一个具有 JSON 密钥的 Google Cloud 服务账号，才能进行身份验证并将审核日志写入您的 GCS 存储桶。

  1. 在 Google Cloud 控制台中，前往 IAM 和管理 > 服务账号。
  2. 点击创建服务账号。
  3. 提供以下配置详细信息：
    • 服务账号名称：输入描述性名称（例如 github-audit-streaming）
    • 服务账号说明：输入 Service account for GitHub Enterprise Cloud audit log streaming to GCS
  4. 点击创建并继续。

  5. 点击完成。

向服务账号授予对 GCS 存储桶的写入权限

  1. 前往 Cloud Storage > 存储桶。
  2. 点击您的存储桶名称（例如 github-audit-logs）。
  3. 前往权限标签页。
  4. 点击授予访问权限。
  5. 提供以下配置详细信息：
    • 添加主账号：输入服务账号邮箱（例如 github-audit-streaming@PROJECT_ID.iam.gserviceaccount.com）
    • 分配角色：选择 Storage Object Creator
  6. 点击保存。

为服务账号创建 JSON 密钥

  1. 在 Google Cloud 控制台中，前往 IAM 和管理 > 服务账号。
  2. 点击服务账号（例如 github-audit-streaming）。
  3. 前往密钥标签页。
  4. 依次点击添加密钥 > 创建新密钥。
  5. 选择 JSON 作为密钥类型。
  6. 点击创建。

  7. JSON 密钥文件将下载到您的计算机上。请妥善保存此文件。

配置 GitHub Enterprise Cloud 审核日志流式传输到 GCS

  1. 以企业所有者身份登录 GitHub Enterprise Cloud。
  2. 在右上角，点击您的个人资料照片，然后点击企业设置（或点击企业，然后点击您要查看的企业）。
  3. 点击页面顶部的设置。
  4. 在设置下，点击审核日志。
  5. 在审核日志下，点击日志流式传输。
  6. 选择配置数据流下拉菜单，然后点击 Google Cloud Storage。
  7. 提供以下配置详细信息：
    • 存储桶：输入 GCS 存储桶的名称（例如 github-audit-logs）
    • JSON 凭证：粘贴服务账号 JSON 密钥文件的全部内容
  8. 点击检查端点，验证 GitHub 是否可以连接到 Google Cloud Storage 存储桶并向其写入数据。

  9. 成功验证端点后，点击保存。

检索 Google SecOps 服务账号

Google SecOps 使用唯一服务账号从 GCS 存储桶中读取数据。您必须向此服务账号授予对存储桶的访问权限。

获取服务账号邮箱

  1. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
  2. 点击添加新新闻信息流。
  3. 点击配置单个 Feed。
  4. 在 Feed 名称字段中，输入 Feed 的名称（例如 GitHub audit logs）。
  5. 选择 Google Cloud Storage V2 作为来源类型。
  6. 选择 GitHub 作为日志类型。
  7. 点击获取服务账号。

  8. 系统会显示一个专属的服务账号邮箱，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. 复制此邮箱，以便在下一步中使用。

  10. 点击下一步。

  11. 为以下输入参数指定值：

    • 存储桶网址：输入 GCS 存储桶 URI：

      gs://github-audit-logs/

    • 来源删除选项：根据您的偏好选择删除选项：

      • 永不：转移后永不删除任何文件（建议在测试时使用）。
      • 删除已转移的文件：在成功转移后删除文件。

      • 删除已转移的文件和空目录：在成功转移后删除文件和空目录。

    • 文件存在时间上限：包含过去指定天数内修改过的文件（默认值为 180 天）

    • 资产命名空间：资产命名空间

    • 注入标签：要应用于此 Feed 中事件的标签

  12. 点击下一步。

  13. 在最终确定界面中查看新的新闻信息流配置，然后点击提交。

向 Google SecOps 服务账号授予 IAM 权限

  1. 前往 Cloud Storage > 存储桶。
  2. 点击存储桶名称 (github-audit-logs)。
  3. 前往权限标签页。
  4. 点击授予访问权限。
  5. 提供以下配置详细信息：
    • 添加主账号：粘贴 Google SecOps 服务账号电子邮件地址
    • 分配角色：
      • Storage Object Viewer (roles/storage.objectViewer)
      • 根据所选的来源删除选项，授予以下角色之一：
        • 如果选择从不：Storage Legacy Bucket Reader (roles/storage.legacyBucketReader)
        • 如果选择了删除已转移的文件或删除已转移的文件和空目录：Storage Legacy Bucket Writer (roles/storage.legacyBucketWriter)
  6. 点击保存。

选项 2：使用 Webhook 配置提取

在 Google SecOps 中创建 webhook Feed

创建 Feed

  1. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
  2. 点击添加新新闻信息流。
  3. 在下一页上，点击配置单个 Feed。
  4. 在 Feed 名称字段中，输入 Feed 的名称（例如 GitHub webhook events）。
  5. 选择 Webhook 作为来源类型。
  6. 选择 GitHub 作为日志类型。
  7. 点击下一步。
  8. 为以下输入参数指定值：
    • 拆分定界符（可选）：如果 GitHub 在每个请求中发送多个事件，请输入 \n；如果每个请求仅包含单个事件，请留空
    • 资产命名空间：资产命名空间
    • 注入标签：要应用于此 Feed 中事件的标签
  9. 点击下一步。
  10. 在最终确定界面中查看新的新闻信息流配置，然后点击提交。

生成并保存密钥

创建 Feed 后，您必须生成用于身份验证的密钥：

  1. 在 Feed 详情页面上，点击生成密钥。
  2. 系统会显示一个对话框，其中包含密钥。
  3. 复制并妥善保存密钥。

获取 Feed 端点网址

  1. 前往该 Feed 的详细信息标签页。
  2. 在端点信息部分，复制 Feed 端点网址。

  3. 网址格式为：

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    其中，{region} 是 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1），{parent} 是资源路径，格式为 projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>。

  4. 保存此网址，以便在后续步骤中使用。

  5. 点击完成。

创建 Google Cloud API 密钥

  • Google SecOps 需要使用 API 密钥进行身份验证。在 Google Cloud Console 中创建受限 API 密钥。

创建 API 密钥

  1. 前往 Google Cloud 控制台凭据页面。
  2. 选择您的项目（与您的 Google SecOps 实例关联的项目）。
  3. 点击创建凭证 > API 密钥。
  4. 系统会创建 API 密钥，并在对话框中显示。
  5. 点击修改 API 密钥以限制密钥。

限制 API 密钥

  1. 在 API 密钥设置页面中：
    • 名称：输入描述性名称（例如 Chronicle Webhook API Key）
  2. 在 API 限制下：
    1. 选择限制密钥。
    2. 在选择 API 下拉菜单中，搜索并选择 Google SecOps API（或 Chronicle API）。
  3. 点击保存。
  4. 从页面顶部的 API 密钥字段中复制 API 密钥值。

  5. 安全地保存 API 密钥。

构建网络钩子网址

  • 将 Google SecOps 端点网址和 API 密钥组合在一起：

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

    • 示例：

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

配置 GitHub 组织 webhook

  1. 登录 GitHub 并前往您的组织。
  2. 点击设置。
  3. 在左侧边栏中，点击 Webhook。
  4. 点击 Add webhook。
  5. 提供以下配置详细信息：
    • 载荷网址：粘贴上一步中构建的完整网络钩子网址（端点网址，其中 API 密钥和密钥作为查询参数附加）
    • 内容类型：选择 application/json
    • Secret：留空（身份验证通过网址参数处理）
  6. 在您希望哪些事件触发此网络钩子？下：
    1. 选择让我选择个别事件。
    2. 选择要发送到 Google SecOps 的事件。建议监控的安全事件包括：
      • 分支或标记创建
      • 分支或标记删除
      • 协作者添加、移除或更改
      • 部署密钥
      • 部署
      • 分叉
      • 成员
      • 会员功能
      • 组织
      • 拉取请求
      • 拉取请求审核
      • 推送
      • 发行的作品
      • 代码库
      • Secret 扫描提醒
      • 安全通告
      • 团队
      • 公开范围变更
  7. 选中有效复选框以启用 webhook。
  8. 点击 Add webhook。

  9. GitHub 会发送一个测试 ping 事件。验证 webhook 是否显示绿色对勾标记，这表示已成功提交。

事件类型

下表列出了事件类型以及事件类型的条件：

event_type 条件
NETWORK_CONNECTION [has_target] == "true" && [has_principal] == "true"
PROCESS_LAUNCH [has_principal] == "true" && [has_target_process] == "true"
STATUS_UPDATE [has_principal] == "true"
USER_LOGIN [raw][message] =~ "Authentication success" or [message] =~ "Authentication success" && ([has_target]== "true" || [has_target_user] == "true")
USER_RESOURCE_CREATION [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["personal_access_token.create" ,"repository_vulnerability_alert.create"]
USER_RESOURCE_DELETION [has_target_resource] == "true" && [has_principal_user] == "true" && [action] in ["hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"]
USER_RESOURCE_DELETION [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"]
USER_RESOURCE_UPDATE_CONTENT [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "pull_request.merge" , "hook.events_changed"]
USER_RESOURCE_UPDATE_PERMISSIONS [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["repo.update_actions_secret","protected_branch.update_pull_request_reviews_enforcement_level", "org.update_member" ,"protected_branch.update_admin_enforced" ,"protected_branch.update_required_status_checks_enforcement_level","org.integration_manager_removed" ,"repo.update_member", "repo.add_member"]
USER_UNCATEGORIZED [has_principal_userid] == "true"

UDM 映射表

日志字段 UDM 映射 逻辑
invitee event.idm.read_only_udm.target.user.userid 从更新日志映射
inviter event.idm.read_only_udm.src.user.userid 从更新日志映射
pull_request.user.login event.idm.read_only_udm.principal.user.userid 从更新日志映射
pull_request.user.id event.idm.read_only_udm.principal.user.product_object_id 从更新日志映射
sender.login event.idm.read_only_udm.principal.user.userid 从更新日志映射
sender.id event.idm.read_only_udm.principal.user.product_object_id 从更新日志映射
sender.node_id event.idm.read_only_udm.principal.asset_id和event.idm.read_only_udm.principal.asset.asset_id之间 从更新日志映射
sender.url event.idm.read_only_udm.principal.url 从更新日志映射
repository.custom_properties.criticality event.idm.read_only_udm.target.resource.attribute.labels 从更新日志映射
host.name event.idm.read_only_udm.principal.hostname和event.idm.read_only_udm.principal.asset.hostname之间 从更新日志映射
host event.idm.read_only_udm.principal.hostname和event.idm.read_only_udm.principal.asset.hostname之间 从更新日志映射
logData.Level event.idm.read_only_udm.security_result.severity 从更新日志映射
logData.Level event.idm.read_only_udm.security_result.severity_details 从更新日志映射
logData.Method event.idm.read_only_udm.target.resource.name 从更新日志映射
logData.IdentityName event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从更新日志映射
logData.IPAddress event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从更新日志映射
logData.IdentityName event.idm.read_only_udm.principal.user.userid 从更新日志映射
logData.Username event.idm.read_only_udm.principal.user.userid 从更新日志映射
logData.HostId event.idm.read_only_udm.principal.asset.asset_id 从更新日志映射
logData.ServiceHost event.idm.read_only_udm.principal.asset.asset_id 从更新日志映射
logData.TenantId event.idm.read_only_udm.metadata.product_deployment_id 从更新日志映射
logData.AuthenticationMechanism event.idm.read_only_udm.extensions.auth.auth_details 从更新日志映射
logData.HttpRequestHost event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从更新日志映射
logData.HttpRequestHost event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 从更新日志映射
logData.HttpRemotePort event.idm.read_only_udm.principal.port 从更新日志映射
logData.Command event.idm.read_only_udm.security_result.description 从更新日志映射
logData.HttpRequestMethod event.idm.read_only_udm.network.http.method 从更新日志映射
logData.ResponseCode event.idm.read_only_udm.network.http.response_code 从更新日志映射
logData.Status event.idm.read_only_udm.security_result.action_details 从更新日志映射
logData.PersistentSessionId event.idm.read_only_udm.network.session_id 从更新日志映射
logData.ActivityId event.idm.read_only_udm.metadata.product_log_id 从更新日志映射
logData.HttpRequestProtocol event.idm.read_only_udm.network.application_protocol 从更新日志映射
logData.HttpRequestProtocol event.idm.read_only_udm.network.application_protocol_version 从更新日志映射
logData.UserAgent event.idm.read_only_udm.network.http.user_agent 从更新日志映射
logData.UserAgent event.idm.read_only_udm.network.http.parsed_user_agent 从更新日志映射
logData.Referrer event.idm.read_only_udm.network.http.referral_url 从更新日志映射
logData.Application event.idm.read_only_udm.principal.application 从更新日志映射
logData.UriStem event.idm.read_only_udm.target.url 从更新日志映射
logData.CUID event.idm.read_only_udm.principal.user.product_object_id 从更新日志映射
logData event.idm.read_only_udm.additional.fields 从更新日志映射
AadExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
AadExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
AadGraphExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
AadGraphExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
AadTokenExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
AadTokenExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
ActivityStatus event.idm.read_only_udm.additional.fields 从更新日志映射
AfdRefInfo event.idm.read_only_udm.additional.fields 从更新日志映射
AnonymousIdentifier event.idm.read_only_udm.additional.fields 从更新日志映射
ApplicationHash event.idm.read_only_udm.additional.fields 从更新日志映射
Area event.idm.read_only_udm.additional.fields 从更新日志映射
AuthorizationId event.idm.read_only_udm.additional.fields 从更新日志映射
BlobStorageExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
BlobStorageExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
CPUCycles event.idm.read_only_udm.additional.fields 从更新日志映射
CPUExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
CPUTime event.idm.read_only_udm.additional.fields 从更新日志映射
CommandHash event.idm.read_only_udm.additional.fields 从更新日志映射
CommandIdentifier event.idm.read_only_udm.additional.fields 从更新日志映射
ConcurrencySemaphoreTime event.idm.read_only_udm.additional.fields 从更新日志映射
ContextId event.idm.read_only_udm.additional.fields 从更新日志映射
ControllerTime event.idm.read_only_udm.additional.fields 从更新日志映射
CurrentAuthenticationSessionId event.idm.read_only_udm.additional.fields 从更新日志映射
DelayTime event.idm.read_only_udm.additional.fields 从更新日志映射
E2EID event.idm.read_only_udm.additional.fields 从更新日志映射
ElapsedTime event.idm.read_only_udm.additional.fields 从更新日志映射
ExceptionMessage event.idm.read_only_udm.additional.fields 从更新日志映射
ExceptionType event.idm.read_only_udm.additional.fields 从更新日志映射
ExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
ExecutionTimeThreshold event.idm.read_only_udm.additional.fields 从更新日志映射
Feature event.idm.read_only_udm.additional.fields 从更新日志映射
FinalSqlCommandExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
HostStartTime event.idm.read_only_udm.additional.fields 从更新日志映射
HostType event.idm.read_only_udm.additional.fields 从更新日志映射
HttpRequestTransferEncoding event.idm.read_only_udm.additional.fields 从更新日志映射
HttpResponseArrProxyTarget event.idm.read_only_udm.additional.fields 从更新日志映射
HttpResponseCacheControl event.idm.read_only_udm.additional.fields 从更新日志映射
HttpResponseContentEncoding event.idm.read_only_udm.additional.fields 从更新日志映射
HttpUriQuery event.idm.read_only_udm.additional.fields 从更新日志映射
IsExceptionExpected event.idm.read_only_udm.additional.fields 从更新日志映射
Layer event.idm.read_only_udm.additional.fields 从更新日志映射
LogicalReads event.idm.read_only_udm.additional.fields 从更新日志映射
Message event.idm.read_only_udm.additional.fields 从更新日志映射
MethodInformationTimeout event.idm.read_only_udm.additional.fields 从更新日志映射
OrchestrationId event.idm.read_only_udm.additional.fields 从更新日志映射
ParentHostId event.idm.read_only_udm.additional.fields 从更新日志映射
Path event.idm.read_only_udm.additional.fields 从更新日志映射
PendingAuthenticationSessionId event.idm.read_only_udm.additional.fields 从更新日志映射
PhysicalReads event.idm.read_only_udm.additional.fields 从更新日志映射
PostControllerTime event.idm.read_only_udm.additional.fields 从更新日志映射
PreControllerTime event.idm.read_only_udm.additional.fields 从更新日志映射
PreciseTimeStamp event.idm.read_only_udm.additional.fields 从更新日志映射
ProcessName event.idm.read_only_udm.additional.fields 从更新日志映射
ProviderId event.idm.read_only_udm.additional.fields 从更新日志映射
QueueTime event.idm.read_only_udm.additional.fields 从更新日志映射
RedisExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
RedisExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
RelatedActivityId event.idm.read_only_udm.additional.fields 从更新日志映射
Service event.idm.read_only_udm.additional.fields 从更新日志映射
ServiceBusExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
ServiceBusExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
SqlExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
SqlExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
SqlReadOnlyExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
SqlReadOnlyExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
SqlRetryExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
SqlRetryExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
StartTime event.idm.read_only_udm.additional.fields 从更新日志映射
SupportsPublicAccess event.idm.read_only_udm.additional.fields 从更新日志映射
TSTUs event.idm.read_only_udm.additional.fields 从更新日志映射
TableStorageExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
TableStorageExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
ThrottleReason event.idm.read_only_udm.additional.fields 从更新日志映射
TimeToFirstPage event.idm.read_only_udm.additional.fields 从更新日志映射
TraceId event.idm.read_only_udm.additional.fields 从更新日志映射
Tracepoint event.idm.read_only_udm.additional.fields 从更新日志映射
UniqueIdentifier event.idm.read_only_udm.additional.fields 从更新日志映射
Uri event.idm.read_only_udm.additional.fields 从更新日志映射
UserDefined event.idm.read_only_udm.additional.fields 从更新日志映射
VSID event.idm.read_only_udm.additional.fields 从更新日志映射
VssClientExecutionCount event.idm.read_only_udm.additional.fields 从更新日志映射
VssClientExecutionTime event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.email event.idm.read_only_udm.target.user.email_addresses 从更新日志映射
invitation.created_at event.idm.read_only_udm.metadata.event_timestamp 从更新日志映射
invitation.id event.idm.read_only_udm.metadata.product_log_id 从更新日志映射
invitation.invitation_teams_url event.idm.read_only_udm.target.url 从更新日志映射
invitation.role event.idm.read_only_udm.target.user.attribute.roles 从更新日志映射
invitation.inviter.id event.idm.read_only_udm.principal.user.product_object_id 从更新日志映射
invitation.inviter.login event.idm.read_only_udm.principal.user.userid 从更新日志映射
invitation.inviter.html_url event.idm.read_only_udm.principal.url 从更新日志映射
invitation.login event.idm.read_only_udm.target.user.userid 从更新日志映射
invitation.inviter.url event.idm.read_only_udm.principal.user.attribute.labels 从更新日志映射
invitation.inviter.avatar_url event.idm.read_only_udm.principal.user.attribute.labels 从更新日志映射
invitation.inviter.type event.idm.read_only_udm.principal.user.attribute.labels 从更新日志映射
organization.url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.invitation_source event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.team_count event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.node_id event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.failed_at event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.failed_reason event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.avatar_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.type event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.events_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.followers_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.following_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.gists_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.gravatar_id event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.node_id event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.organizations_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.received_events_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.repos_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.site_admin event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.starred_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.subscriptions_url event.idm.read_only_udm.additional.fields 从更新日志映射
invitation.inviter.user_view_type event.idm.read_only_udm.additional.fields 从更新日志映射
commit_message event.idm.read_only_udm.metadata.description 从更新日志映射
sender.type event.idm.read_only_udm.src.user.title 从更新日志映射
sha event.idm.read_only_udm.target.file.sha1 从更新日志映射
target_url event.idm.read_only_udm.target.url 从更新日志映射
description event.idm.read_only_udm.security_result.description 从更新日志映射
avatar_url event.idm.read_only_udm.additional.fields 从更新日志映射
context event.idm.read_only_udm.additional.fields 从更新日志映射
commit_node_id event.idm.read_only_udm.additional.fields 从更新日志映射
commit_committer_name event.id.read_only_udm.additional.fields 从更新日志映射
state event.idm.read_only_udm.security_result.action_details 从更新日志映射
commit_committer_name event.idm.read_only_udm.additional.fields 从更新日志映射
commit_committer_email event.idm.read_only_udm.principal.email 从更新日志映射
commit_tree_sha event.idm.read_only_udm.additional.fields 从更新日志映射
comment_count event.idm.read_only_udm.additional.fields 从更新日志映射
reason event.idm.read_only_udm.security_result.summary 从更新日志映射
commit_url event.idm.read_only_udm.principal.url 从更新日志映射
comments_url event.idm.read_only_udm.additional.fields 从更新日志映射
commit_user_name event.idm.read_only_udm.principal.user.user_display_name 从更新日志映射
commit_user_id event.idm.read_only_udm.principal.user.userid 从更新日志映射
principal.assetid event.idm.read_only_udm.principal.asset_id 从更新日志映射
sender_login event.idm.read_only_udm.src.user.user_display_name 从更新日志映射
sender_id event.idm.read_only_udm.src.user.product_object_id 从更新日志映射
sender_assetid event.idm.read_only_udm.src.asset_id 从更新日志映射
sender_url event.idm.read_only_udm.src.url 从更新日志映射
alert.created_at event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.html_url event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.locations_url event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.multi_repo event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.number event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.publicly_leaked event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.push_protection_bypassed event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.secret_type event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.secret_type_display_name event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.updated_at event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
alert.validity event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
repository_selection", "user_programmatic_access_name", and "permissions_added.* additional.fields 从更新日志映射
external_identity_nameid principal.user.userid 从更新日志映射
actor_id principal.user.userid 从更新日志映射
new_repo_permission", "user", and "actor additional.fields 从更新日志映射
secret_type_display_name additional.fields 从更新日志映射
user_id target.user.userid 从更新日志映射
push_protection_bypass_reason security_result.detection_fields 从更新日志映射
actor principal.resource.attribute.labels 从更新日志映射
pull_request_url target.url 从更新日志映射
pull_request_title", "pull_request_id" ,and "previous_visibility additional.fields 从更新日志映射
explanation additional.fields 从更新日志映射
invitee_email" and "email additional.fields 从更新日志映射
required_status_checks_enforcement_level", "events_were" and "old_permission additional.fields 从更新日志映射
name", "manager", "pull_request_reviews_enforcement_level", "hook_id", "events", "config_was", "key", "fingerprint", "permission", and "title additional.fields 从更新日志映射
security_result.action ALLOW 从更新日志映射
security_result.action BLOCK 从更新日志映射
user target.user.user_display_name 从更新日志映射
referrer network.http.referral_url 从更新日志映射
user_session_id network.session_id 从更新日志映射
ip principal.ip 从更新日志映射
from additional.fields 从更新日志映射
request_category additional.fields 从更新日志映射
device_cookie additional.fields 从更新日志映射
operation_type additional.fields 从更新日志映射
category_type additional.fields 从更新日志映射
note additional.fields 从更新日志映射
read additional.fields 从更新日志映射
pre_perform_allocation_count additional.fields 从更新日志映射
backend additional.fields 从更新日志映射
queue additional.fields 从更新日志映射
class additional.fields 从更新日志映射
success additional.fields 从更新日志映射
controller_action security_result.detection_fields 从更新日志映射
two_factor security_result.detection_fields 从更新日志映射
user_agent network.http.user_agent 从更新日志映射
request_method network.http.method 从更新日志映射
application_name target.application 从更新日志映射
status_code network.http.response_code 从更新日志映射
url_path target.url 从更新日志映射
user_id target.userid 从更新日志映射
transport_protocol_name network.application_protocol 从更新日志映射
raw.now metadata.event_timestamp 从更新日志映射
raw.ip principal.ip 从更新日志映射
raw.request_id metadata.product_log_id 从更新日志映射
raw.repo target.url 从更新日志映射
raw.action security_result.summary 从更新日志映射
raw.protocol network.application_protocol 从更新日志映射
raw.message metadata.description 从更新日志映射
raw.at security_result.action 从更新日志映射
raw.login target.user_display_name 从更新日志映射
raw.user_id target.userid 从更新日志映射
raw.failure_reason", "raw.failure_type", "raw.raw_login" and "raw.from additional.fields 从更新日志映射
workflow_run.id target.resource.attribute.labels 从更新日志映射
workflow_run.event additional.fields 从更新日志映射
workflow_run.actor.login principal.user.userid 从更新日志映射
workflow_run.head_branch security_result.about.labels 从更新日志映射
workflow_run.head_sha target.file.sha256 从更新日志映射
enterprise.name additional.fields 从更新日志映射
workflow.name security_result.about.labels 从更新日志映射
workflow_run.workflow_id security_result.about.labels 从更新日志映射
external_identity_nameid target.user.email_addresses 从更新日志映射
external_identity_nameid target.user.userid 从更新日志映射
config.url target.url 从更新日志映射
日志字段 UDM 映射 备注
above_lock_quota additional.fields
above_warn_quota additional.fields
ac_ms additional.fields
accept additional.fields
action metadata.product_event_type 对于 JSON 日志。
action security_result.summary 对于 syslog 日志。
active target.resource.attribute.labels
active_job_id additional.fields
actor principal.user.userid
actor_id principal.user.attribute.labels.value
actor_ip principal.ip
actor_is_agent additional.fields
actor_is_bot principal.user.attribute.labels
actor_location.country_code principal.location.country_or_region
actor_session additional.fields
additional_list additional.fields
additional_string additional.fields
after additional.fields
alert_id security_result.detection_fields
alert_number security_result.detection_fields
alert_numbers additional.fields
allow_deletions_enforcement_level additional.fields
allow_force_pushes_enforcement_level additional.fields
allow_private_repository_forking additional.fields
application_name target.application
aqueduct_job_id additional.fields
auth_tries additional.fields
babeld additional.fields
banner additional.fields
before additional.fields
best_cipher additional.fields
best_kex additional.fields
best_mac additional.fields
best_sigtype additional.fields
Body security_result.description
branch target.resource.attribute.labels
branches target.resource.attribute.labels
business additional.fields
business_id additional.fields
cactive additional.fields
calling_workflow_refs target.resource.attribute.labels
calling_workflow_shas target.resource.attribute.labels
changes.body.from additional.fields
charset additional.fields
check_run.app additional.fields
check_run.app.events additional.fields
check_run.app.owner additional.fields
check_run.check_suite.app.client_id additional.fields
check_run.check_suite.app.created_at additional.fields
check_run.check_suite.app.description additional.fields
check_run.check_suite.app.events additional.fields
check_run.check_suite.app.external_url additional.fields
check_run.check_suite.app.html_url additional.fields
check_run.check_suite.app.id additional.fields
check_run.check_suite.app.name additional.fields
check_run.check_suite.app.node_id additional.fields
check_run.check_suite.app.slug additional.fields
check_run.check_suite.app.updated_at additional.fields
check_run.check_suite.conclusion additional.fields
check_run.check_suite.id additional.fields
check_run.check_suite.url additional.fields
check_run.completed_at additional.fields
check_run.conclusion additional.fields
check_run.output additional.fields
check_run.started_at additional.fields
check_suite（其所有子字段） additional.fields
check_suite.app（其所有子字段） additional.fields
check_suite.app.events additional.fields
check_suite.app.owner（其所有子字段） additional.fields
check_suite.head_commit（其所有子字段） additional.fields
cid additional.fields
cipher network.tls.cipher
client_id principal.user.attribute.labels
cloning additional.fields
code additional.fields
CodeNamespace additional.fields
comment（其所有子字段） additional.fields
comment.performed_via_github_app（其所有子字段） additional.fields
comment.performed_via_github_app.events additional.fields
comment.reactions（其所有子字段） additional.fields
commit.author principal.resource.attribute.labels
commit.commit.author.date additional.fields
commit.commit.author.email additional.fields
commit.commit.author.name additional.fields
commit.commit.tree.url additional.fields
commit.commit.verification additional.fields
commit.committer additional.fields
commit.parents additional.fields
commit.sha additional.fields
commit.url additional.fields
commit_oid additional.fields
committer_date additional.fields
completed_at vulns.vulnerabilities.scan_end_time
config.content_typt target.resource.attribute.labels
config.insecure_ssl target.resource.attribute.labels
config.secret target.resource.attribute.labels
config.url target.url
considers.site.admin additional.fields
content_type target.file.mime_type
cr additional.fields
create_protected additional.fields
created_at metadata.event_timestamp 该值会从 UNIX 毫秒转换为时间戳。
credential detection_fields
ctotal additional.fields
data._document_id metadata.product_log_id
data.active_job_id additional.fields
data.aqueduct_job_id additional.fields
data.business target.administrative_domain
data.business_id additional.fields
data.cancelled_at extensions.vulns.vulnerabilities.scan_end_time 该值会从 ISO8601 格式转换为时间戳。
data.category_type security_result.category_details
data.dn additional.fields
data.email target.user.email_addresses
data.entry_found additional.fields
data.event target.resource.attribute.labels
data.events security_result.about.labels.value
data.head_branch target.resource.attribute.labels
data.head_sha target.file.sha256
data.hook_id target.resource.product_object_id
data.job target.application
data.operation_type additional.fields
data.started_at extensions.vulns.vulnerabilities.scan_start_time 该值会从 ISO8601 格式转换为时间戳。
data.team target.group.group_display_name
data.trigger_id target.resource.attribute.labels
data.uid additional.fields
data.workflow_id target.resource.attribute.labels
data.workflow_run_id target.resource.attribute.labels
default_new_repo_branch additional.fields
default_repo_visibility additional.fields
default_repository_permission additional.fields
degraded additional.fields
dependency_scope additional.fields
deployment.environment additional.fields
disable_members_can_create_repositories additional.fields
disable_members_can_delete_repositories additional.fields
disable_user_org_creation additional.fields
disk_info additional.fields
disk_py_file additional.fields
dismiss_stale_reviews_on_push additional.fields
dotcom_contributions additional.fields
dotcom_user_license_usage_upload additional.fields
duration_ms additional.fields
ecosystem additional.fields
enforcement_level additional.fields
enterprise principal.resource.attribute.labels
enterprise.name additional.fields.value.string_value
environment_name target.resource.attribute.labels
error additional.fields
external_id additional.fields
external_identity_nameid target.user.email_addresses 如果该值是邮箱，则会添加到 target.user.email_addresses 数组中。
external_identity_nameid target.user.userid
external_identity_username additional.fields 如果未在 target.user.user_display_name 中填充，则映射到 additional.fields。
external_identity_username target.user.user_display_name 在 target.user.user_display_name 中填充时进行映射。
features additional.fields
filtered additional.fields
filtered_request_body.query additional.fields
fluentbit_pod_name additional.fields
fp_sha256 additional.fields
frontend additional.fields
frontend_pid intermediary.process.pid
frontend_ppid intermediary.process.parent_process.pid
fs_host target.hostname
fsc_ms additional.fields
fully_qualified_domain_name additional.fields
gh.sdk.name additional.fields
gh.sdk.version additional.fields
gh.timerd.timer.name additional.fields
ghsa_id additional.fields
git.maxobjectsize additional.fields
git_dir_safe target.resource.attribute.labels
github_event_after target.resource.attribute.labels
github_event_before target.resource.attribute.labels
github_event_compare target.resource.attribute.labels
github_event_created target.resource.attribute.labels
github_event_deleted target.resource.attribute.labels
github_event_forced target.resource.attribute.labels
github_event_head_commit_author_email target.resource.attribute.labels
github_event_head_commit_author_name target.resource.attribute.labels
github_event_head_commit_author_username target.resource.attribute.labels
github_event_head_commit_committer_email target.resource.attribute.labels
github_event_head_commit_committer_name target.resource.attribute.labels
github_event_head_commit_committer_username target.resource.attribute.labels
github_event_head_commit_distinct target.resource.attribute.labels
github_event_head_commit_msg1 target.resource.attribute.labels
github_event_head_commit_timestamp target.resource.attribute.labels
github_event_pusher_email target.resource.attribute.labels
github_event_pusher_name target.resource.attribute.labels
github_event_ref target.resource.attribute.labels
github_event_repository_has_projects target.resource.attributes.labels
github_event_repository_master_branch target.resource.attribute.labels
github_event_repository_organization target.resource.attribute.labels
github_event_repository_owner_name target.resource.attribute.labels
github_event_repository_stargazers target.resource.attribute.labels
github_event_workflow_job_completed_at target.resource.attributes.labels
gpv additional.fields
handler_code additional.fields
hashed_token network.session_id
head_branch target.resource.attribute.labels
head_sha target.file.sha256
healthy additional.fields
hmac additional.fields
hook_id target.resource.attribute.labels
host.name principal.user.attribute.labels
http_version network.application_protocol_version
id metadata.product_log_id
ignore_approvals_from_contributors additional.fields
imode additional.fields
imperfect additional.fields
InstrumentationScope additional.fields
integration_id additional.fields
intel.flat additional.fields
is_hosted_runner target.resource.attribute.labels
issue（其所有子字段） additional.fields
issue.pull_request（其所有子字段） additional.fields
job_name target.resource.attribute.labels.value
job_workflow_ref target.resource.attribute.labels.value
job_workflow_sha target.resource.attribute.labels.value
kafka_cluster additional.fields
kex additional.fields
keytype additional.fields
kubernetes.container_image principal.resource.attribute.labels
kubernetes.container_name principal.resource.attribute.labels
kubernetes.host principal.resource.attribute.labels
kubernetes.labels.app principal.resource.attribute.labels
kubernetes.labels.chart principal.resource.attribute.labels
kubernetes.labels.component principal.resource.attribute.labels
kubernetes.labels.heritage principal.resource.attribute.labels
kubernetes.labels.pod-template-hash principal.resource.attribute.labels
kubernetes.labels.release principal.resource.attribute.labels
kubernetes.labels.system principal.resource.attribute.labels
kubernetes.namespace_name principal.resource.attribute.labels
kubernetes.pod_ip principal.ip、
principal.asset.ip
kubernetes.pod_name principal.resource.attribute.labels
last_state_change_at additional.fields
last_state_change_reason additional.fields
lat principal.location.region_coordinates.latitude
ldap.debug_logging_enabled additional.fields
level security_result.severity
lfs_auth_scope additional.fields
lfs_deploy_key_header additional.fields
lfs_verify_reason additional.fields
linear_history_requirement_enforcement_level additional.fields
lock_allows_fetch_and_merge additional.fields
lock_branch_enforcement_level additional.fields
log_level security_result.severity
log_source additional.fields
log_source_file target.file.full_path
logData.Count additional.fields
logData.Metrics.* additional.fields 星号 (*) 表示包含所有子字段。
logType additional.fields
lon principal.location.region_coordinates.longitude
loop additional.fields
matched_policies security_result.detection_fields
member target.user.attribute.labels
merge_queue_enforcement_level additional.fields
method additional.fields
multi_repo security_result.detection_fields
mysql_component additional.fields
mysql_warning_code additional.fields
name target.resource.attribute.labels
non_integer_id additional.fields
ns additional.fields
number additional.fields
oauth_application principal.application
oauth_application_id principal.resource.attribute.labels
oauth_party additional.fields
offset additional.fields
old_permissions additional.fields
old_repo_permissions additional.fields
org target.administrative_domain
org_id additional.fields.value.string_value
organization.url additional.fields
original_user_agent additional.fields
overridden_codes additional.fields
owner principal.user.user_display_name
owner_id principal.user.userid
package additional.fields
package_name target.application
parent additional.fields
parent_installation_id additional.fields
partition additional.fields
path_info additional.fields 这是路径已映射到 target.file.full_path 时的映射。
path_info target.file.full_path 这是路径尚未映射到 target.file.full_path 时的映射。
pgroup additional.fields
pk_ms additional.fields
prin_ip principal.ip、
principal.asset.ip
prin_port principal.port
prin_usr principal.user.userid
pro_pid target.process.pid
probe_fail additional.fields
probe_ok additional.fields
programmatic_access_type additional.fields.value.string_value
pubkey_creator_id additional.fields
pubkey_creator_login additional.fields
pubkey_fingerprint additional.fields
pubkey_id additional.fields
pubkey_verifier_id additional.fields
pubkey_verifier_login additional.fields
public_repo additional.fields.value.string_value
public_repo target.location.name
publicly_leaked security_result.detection_fields
pull_request.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request._links.comments.href additional.fields
pull_request._links.commits.href additional.fields
pull_request._links.html.href additional.fields
pull_request._links.issue.href additional.fields
pull_request._links.review_comment.href additional.fields
pull_request._links.review_comments.href additional.fields
pull_request._links.self.href additional.fields
pull_request._links.statuses.href additional.fields
pull_request.base.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.base.repo.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.base.repo.owner.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.head.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.head.owner.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.head.repo.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.head.user.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.requested_reviewers.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.requested_teams.* additional.fields 星号 (*) 表示包含所有子字段。
pull_request.user.（及其除 login 之外的所有子字段） principal.user.attribute.labels
pull_request.user.login principal.user.user_display_name
pull_request_id target.resource.attribute.labels
pull_request_title target.resource.attribute.labels
query_string additional.fields.value.string_value
queue_duration additional.fields
quotas_enabled additional.fields
rate_limit additional.fields
rate_limit_family additional.fields
rate_limit_key additional.fields
rate_limit_remaining additional.fields.value.string_value
rate_limit_reset additional.fields
rate_limit_used additional.fields
raw.at additional.fields
raw.hashed_token network.session_id
raw.token_type additional.fields
raw.url target.url
raw.user_agent network.http.user_agent、
network.http.parsed_user_agent
raw_login additional.fields
read_only additional.fields
readonly additional.fields
reasons additional.fields
ref target.resource.attribute.labels
replicas additional.fields
repo target.resource.name
repo_id additional.fields.value.string_value
repo_owner_login target.resource.attribute.labels
repo_owner_type target.resource.attribute.labels
repo_public additional.fields
repository target.resource.attribute.labels
repository.archive_url target.resource.attribute.labels
repository.assignees_url target.resource.attribute.labels
repository.blobs_url target.resource.attribute.labels
repository.branches_url target.resource.attribute.labels
repository.clone_url target.resource.attribute.labels
repository.collaborators_url target.resource.attribute.labels
repository.comments_url target.resource.attribute.labels
repository.commits_url target.resource.attribute.labels
repository.compare_url target.resource.attribute.labels
repository.contents_url target.resource.attribute.labels
repository.contributors_url target.resource.attribute.labels
repository.created_at target.resource.attribute.labels
repository.custom_properties.（及其所有子字段） target.resource.attribute.labels
repository.deployments_url target.resource.attribute.labels
repository.downloads_url target.resource.attribute.labels
repository.events_url target.resource.attribute.labels
repository.fork target.resource.attribute.labels
repository.forks_url target.resource.attribute.labels
repository.full_name target.resource.attribute.labels
repository.git_commits_url target.resource.attribute.labels
repository.git_refs_url target.resource.attribute.labels
repository.git_tags_url target.resource.attribute.labels
repository.git_url target.resource.attribute.labels
repository.homepage target.resource.attributes.labels
repository.hooks_url target.resource.attribute.labels
repository.html_url target.resource.attribute.labels
repository.id target.resource.attribute.labels
repository.issue_comment_url target.resource.attribute.labels
repository.issue_events_url target.resource.attribute.labels
repository.issues_url target.resource.attribute.labels
repository.keys_url target.resource.attribute.labels
repository.labels_url target.resource.attribute.labels
repository.languages_url target.resource.attribute.labels
repository.license target.resource.attributes.labels
repository.merges_url target.resource.attribute.labels
repository.milestones_url target.resource.attribute.labels
repository.mirror_url target.resource.attributes.labels
repository.name target.resource.attribute.labels
repository.node_id target.resource.attribute.labels
repository.notifications_url target.resource.attribute.labels
repository.open_issues_count target.resource.attribute.labels
repository.owner.avatar_url target.resource.attribute.labels
repository.owner.events_url target.resource.attribute.labels
repository.owner.followers_url target.resource.attribute.labels
repository.owner.following_url target.resource.attribute.labels
repository.owner.gists_url target.resource.attribute.labels
repository.owner.gravatar_id target.resource.attribute.labels
repository.owner.html_url target.resource.attribute.labels
repository.owner.id target.resource.attribute.labels
repository.owner.node_id target.resource.attribute.labels
repository.owner.organizations_url target.resource.attribute.labels
repository.owner.received_events_url target.resource.attribute.labels
repository.owner.repos_url target.resource.attribute.labels
repository.owner.site_admin target.resource.attribute.labels
repository.owner.starred_url target.resource.attribute.labels
repository.owner.subscriptions_url target.resource.attribute.labels
repository.owner.type target.resource.attribute.labels
repository.owner.url target.resource.attribute.labels
repository.owner.user_view_type target.resource.attribute.labels
repository.private target.resource.attribute.labels
repository.pulls_url target.resource.attribute.labels
repository.pushed_at target.resource.attribute.labels
repository.releases_url target.resource.attribute.labels
repository.size target.resource.attribute.labels
repository.ssh_url target.resource.attribute.labels
repository.stargazers_url target.resource.attribute.labels
repository.statuses_url target.resource.attribute.labels
repository.subscribers_url target.resource.attribute.labels
repository.subscription_url target.resource.attribute.labels
repository.svn_url target.resource.attribute.labels
repository.tags_url target.resource.attribute.labels
repository.teams_url target.resource.attribute.labels
repository.topics target.resource.attributes.labels
repository.trees_url target.resource.attribute.labels
repository.updated_at target.resource.attribute.labels
repository.url target.resource.attribute.labels
repository.visibility target.resource.attribute.labels
repository_public target.resource.attribute.labels
req_content_type target.file.mime_type
request_access_security_header security_result.detection_fields
request_auth additional.fields
request_body additional.fields.value.string_value
request_duration additional.fields
request_host principal.ip、
principal.asset.ip		 如果存在 IP 地址，则映射到 principal.ip（保留 principal.hostname 的现有映射）。
request_method network.http.method 该值会转换为大写。
requested_reviewers.* additional.fields 星号 (*) 表示包含所有子字段。
require_code_owner_review additional.fields
require_last_push_approval additional.fields
required_approving_review_count additional.fields
required_deployments_enforcement_level additional.fields
required_review_thread_resolution_enforcement_level additional.fields
rerun_type additional.fields
res_type target.resource.resource_subtype
response_time additional.fields
review_id target.resource.attributes.labels
route additional.fields.value.string_value
rpc.jsonrpc.error_code network.http.response_code
rpc.jsonrpc.error_message security_result.summary
rule_suite_id security_result.rule_id
run_attempt additional.fields
run_number additional.fields
runner_labels target.resource.attribute.labels
runner_owner_type target.resource.attribute.labels
runner_tenant_id target.resource.attribute.labels
s3_tag additional.fields
secret_type security_result.detection_fields
secret_types security_result.detection_fields
secrets_passed security_result.detection_fields
sender.id src.user.product_object_id
sender.login src.user.user_display_name
sender.node_id src.asset_id
sender.type src.user.title
sender.url src.url
service target.resource.name
service.version additional.fields
serviceName target.resource.name
severity（如果较高） security_result.severity
SeverityText security_result.severity
shallow additional.fields
sign_in_verification_method security_result.detection_fields
signature_requirement_enforcement_level additional.fields
sigtype additional.fields
source src.resource.name
spec additional.fields
sr additional.fields
ss additional.fields
started_at vulns.vulnerabilities.scan_start_time
stateless additional.fields
status_code network.http.response_code
strict_required_status_checks_policy additional.fields
subject.business.id target.resource.attribute.labels
subject.owner.id additional.fields
subject.owning_organization.id principal.group.product_object_id
subject.repository.id target.resource.product_object_id
subject.repository.internal target.resource.attribute.labels
subject.repository.owner.id additional.fields
subject.repository.public target.resource.attribute.labels
subject.repository.writable target.resource.attribute.labels
subject.type target.resource.attribute.labels
synthetic_status additional.fields
tar_application target.application
telemetry.sdk.name additional.fields
tenant_id target.resource.attribute.labels
tid additional.fields
time metadata.event_timestamp
time_duration_ms additional.fields
time_zone additional.fields
timestamp metadata.event_timestamp
tls_version network.tls.version
token_id additional.fields.value.string_value
token_scopes additional.fields.value.string_value
topic additional.fields
total additional.fields
transport_protocol additional.fields
transport_protocol_name network.application_protocol 该值会转换为大写。
ts metadata.event_timestamp process_type 为 github_production 时。
TTY additional.fields
twirp_method additional.fields
twirp_package additional.fields
twirp_service additional.fields
twirp_status network.http.response_code
two_factor_type security_result.detection_fields
type additional.fields
unavailable additional.fields
updated_at metadata.collected_timestamp
url_path target.url
usage_metrics additional.fields
user target.user.userid
user.id target.user.attr.labels 当 actor.id 存在时。
user.id target.user.userid 当 actor.id 不存在时。
user_agent network.http.parsed_user_agent 该值会被解析。
user_agent network.http.user_agent
user_id target.user.userid
user_operator_mode additional.fields
user_programmatic_access_id additional.fields
user_renaming_enabled additional.fields
user_spammy additional.fields
version metadata.product_version 此映射包括 JSON 日志。
visibility additional.fields
vk_ms additional.fields
vulnerability_id additional.fields
vulnerable_version_range_id additional.fields
workflow target.resource.attributes.labels
workflow.name target.resource.attribute.labels
workflow_id target.resource.attribute.labels
workflow_job.head_branch security_result.detection_fields
workflow_job.name target.resource.attributes.labels
workflow_job.workflow_name security_result.detection_fields
workflow_run.actor.（及其所有子字段，但每个子字段中包含的 login 字段除外） principal.user.attribute.labels
workflow_run.actor.login principal.user.userid
workflow_run.artifacts_url target.resource.attributes.labels
workflow_run.cancel_url target.resource.attributes.labels
workflow_run.check_suite_id additional.fields
workflow_run.check_suite_node_id additional.fields
workflow_run.check_suite_url target.resource.attributes.labels
workflow_run.conclusion target.resource.attribute.labels
workflow_run.created_at metadata.event_timestamp
workflow_run.display_title target.resource.attribute.labels
workflow_run.event additional.fields.value.string_value
workflow_run.event target.resource.attribute.labels
workflow_run.head_branch target.resource.attribute.labels
workflow_run.head_commit target.resource.attributes.labels
workflow_run.head_repository additional.fields
workflow_run.head_sha target.file.sha256
workflow_run.html_url target.resource.attribute.labels
workflow_run.id target.resource.attribute.labels.value
workflow_run.jobs_url target.resource.attributes.labels
workflow_run.logs_url target.resource.attributes.labels
workflow_run.name target.resource.name
workflow_run.node_id target.resource.product_object_id
workflow_run.path target.resource.attribute.labels
workflow_run.previous_attempt_url target.resource.attributes.labels
workflow_run.pull_requests about.resource.attribute.labels
workflow_run.repository additional.fields
workflow_run.rerun_url target.resource.attributes.labels
workflow_run.run_attempt target.resource.attribute.labels
workflow_run.run_number target.resource.attribute.labels
workflow_run.run_started_at target.resource.attribute.labels
workflow_run.status security_result.description
workflow_run.triggering_actor additional.fields
workflow_run.updated_at metadata.collected_timestamp
workflow_run.url target.url
workflow_run.workflow_id security_result.about.labels.value
workflow_run.workflow_id target.resource.attribute.labels
workflow_run.workflow_url target.resource.attributes.labels

版本增量参考

2026 年 1 月 8 日，Google SecOps 发布了新版 GitHub 解析器，其中包含重大变更。

日志字段映射增量

下表列出了 2026 年 1 月 8 日之前和之后公开的 GitHub 日志到 UDM 字段的映射增量（分别列在旧映射和当前映射列中）：

日志字段 旧映射 当前映射
action（适用于 JSON 日志） metadata.product_event_type, security_result.summary,security_result.detection_fields metadata.product_event_type
action（适用于 syslog 日志） additional.fields, security_result.summary security_result.summary
business additional.fields, target.user.company_name additional.fields
business_id target.resource.attribute.labels additional.fields
data.email target.email target.user.email_addresses
data.event security_result.about.labels target.resource.attribute.labels
data.head_branch security_result.about.labels target.resource.attribute.labels
data.hook_id target.resource.attribute.labels target.resource.product_object_id
data.team target.user.group_identifiers target.group.group_display_name
data.trigger_id security_result.about.labels target.resource.attribute.labels
data.workflow_id security_result.about.labels target.resource.attribute.labels
data.workflow_run_id security_result.about.labels target.resource.attribute.labels
hashed_token additional.fields network.session_id
hook_id（适用于 JSON 日志） additional.fields target.resource.attribute.labels
name additional.fields target.resource.attribute.labels
oauth_application_id additional.fields principal.resource.attribute.labels
pull_request_id additional.fields target.resource.attribute.labels
pull_request_title additional.fields target.resource.attribute.labels
repository.archive_url additional.fields target.resource.attribute.labels
repository.assignees_url additional.fields target.resource.attribute.labels
repository.blobs_url additional.fields target.resource.attribute.labels
repository.branches_url additional.fields target.resource.attribute.labels
repository.clone_url additional.fields target.resource.attribute.labels
repository.collaborators_url additional.fields target.resource.attribute.labels
repository.comments_url additional.fields target.resource.attribute.labels
repository.commits_url additional.fields target.resource.attribute.labels
repository.compare_url additional.fields target.resource.attribute.labels
repository.contents_url additional.fields target.resource.attribute.labels
repository.contributors_url additional.fields target.resource.attribute.labels
repository.created_at additional.fields target.resource.attribute.labels
repository.deployments_url additional.fields target.resource.attribute.labels
repository.downloads_url additional.fields target.resource.attribute.labels
repository.events_url additional.fields target.resource.attribute.labels
repository.fork additional.fields target.resource.attribute.labels
repository.forks_url additional.fields target.resource.attribute.labels
repository.full_name additional.fields target.resource.attribute.labels
repository.git_commits_url additional.fields target.resource.attribute.labels
repository.git_refs_url additional.fields target.resource.attribute.labels
repository.git_tags_url additional.fields target.resource.attribute.labels
repository.git_url additional.fields target.resource.attribute.labels
repository.hooks_url additional.fields target.resource.attribute.labels
repository.html_url additional.fields target.resource.attribute.labels
repository.id additional target.resource.attribute.labels
repository.issue_comment_url additional.fields target.resource.attribute.labels
repository.issue_events_url additional.fields target.resource.attribute.labels
repository.issues_url additional.fields target.resource.attribute.labels
repository.keys_url additional.fields target.resource.attribute.labels
repository.labels_url additional.fields target.resource.attribute.labels
repository.languages_url additional.fields target.resource.attribute.labels
repository.merges_url additional.fields target.resource.attribute.labels
repository.milestones_url additional.fields target.resource.attribute.labels
repository.name additional.fields target.resource.attribute.labels
repository.node_id additional.fields target.resource.attribute.labels
repository.notifications_url additional.fields target.resource.attribute.labels
repository.owner.avatar_url additional.fields target.resource.attribute.labels
repository.owner.events_url additional.fields target.resource.attribute.labels
repository.owner.followers_url additional.fields target.resource.attribute.labels
repository.owner.following_url additional.fields target.resource.attribute.labels
repository.owner.gists_url additional.fields target.resource.attribute.labels
repository.owner.gravatar_id additional.fields target.resource.attribute.labels
repository.owner.html_url additional.fields target.resource.attribute.labels
repository.owner.id additional.fields target.resource.attribute.labels
repository.owner.node_id additional.fields target.resource.attribute.labels
repository.owner.organizations_url additional.fields target.resource.attribute.labels
repository.owner.received_events_url additional.fields target.resource.attribute.labels
repository.owner.repos_url additional.fields target.resource.attribute.labels
repository.owner.site_admin additional.fields target.resource.attribute.labels
repository.owner.starred_url additional.fields target.resource.attribute.labels
repository.owner.subscriptions_url additional.fields target.resource.attribute.labels
repository.owner.type additional.fields target.resource.attribute.labels
repository.owner.url additional.fields target.resource.attribute.labels
repository.owner.user_view_type additional.fields target.resource.attribute.labels
repository.private additional.fields target.resource.attribute.labels
repository.pulls_url additional.fields target.resource.attribute.labels
repository.pushed_at additional.fields target.resource.attribute.labels
repository.releases_url additional.fields target.resource.attribute.labels
repository.size additional.fields target.resource.attribute.labels
repository.ssh_url additional.fields target.resource.attribute.labels
repository.stargazers_url additional.fields target.resource.attribute.labels
repository.statuses_url additional.fields target.resource.attribute.labels
repository.subscribers_url additional.fields target.resource.attribute.labels
repository.subscription_url additional.fields target.resource.attribute.labels
repository.svn_url additional.fields target.resource.attribute.labels
repository.tags_url additional.fields target.resource.attribute.labels
repository.teams_url additional.fields target.resource.attribute.labels
repository.trees_url additional.fields target.resource.attribute.labels
repository.updated_at additional.fields target.resource.attribute.labels
repository.url additional.fields target.resource.attribute.labels
repository.visibility additional.fields target.resource.attribute.labels
repository_public additional.fields target.resource.attribute.labels
res_type target.resource.type target.resource.resource_subtype
sender.id src.user.product_object_id, additional.fields src.user.product_object_id
sender.login additional.fields, src.user.user_display_name src.user.user_display_name
sender.node_id src.asset_id, additional.fields src.asset_id
sender.type src.user.title, additional.fields src.user.title
sender.url src.url, additional.fields src.url
workflow.name security_result.about.labels target.resource.attribute.labels
workflow_job.head_branch security_result.about.labels security_result.detection_fields
workflow_job.workflow_name security_result.about.labels security_result.detection_fields
workflow_run.event additional.fields target.resource.attribute.labels
workflow_run.head_branch security_result.about.labels target.resource.attribute.labels
workflow_run.workflow_id security_result.about.labels target.resource.attribute.labels

事件类型条件增量

在 2026 年 1 月 8 日发布的版本中，决定 Google SecOps 事件类型的条件发生了变化。

下表列出了事件类型和当前条件（即 2026 年 1 月 8 日版本发布之前的条件有所不同）：

event_type 条件
NETWORK_CONNECTION [has_target] == "true" && [has_principal] == "true"
STATUS_UPDATE [has_principal] == "true"
USER_RESOURCE_DELETION [has_target_resource] == "true" && [has_principal_user] == "true" && [action] in ["hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"]
USER_RESOURCE_UPDATE_CONTENT [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "pull_request.merge" , "hook.events_changed"]
USER_RESOURCE_UPDATE_PERMISSIONS [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["repo.update_actions_secret","protected_branch.update_pull_request_reviews_enforcement_level", "org.update_member" ,"protected_branch.update_admin_enforced" ,"protected_branch.update_required_status_checks_enforcement_level","org.integration_manager_removed" ,"repo.update_member", "repo.add_member"]

按键映射增量

下表列出了原始日志字段中的键与 2026 年 1 月 8 日之前和之后公开的 UDM 字段中的键之间的映射差异（分别列在旧键和当前键列中）：

原始日志中的键 旧密钥 当前密钥
alert.secret_type_display_name secret_type_display_name alert_secret_type_display_name
enterprise.name Enterprise Name enterprise_name
hook_id Hook Id Hook_Id
invitation.failed_at failed_at invitation_failed_at
invitation.failed_reason failed_reason invitation_failed_reason
invitation.invitation_source invitation_source invitation_invitation_source
raw.failure_reason failure_reason raw_failure_reason
raw.failure_type failure_type raw_failure_type
raw.from from raw_from
workflow_run.event event workflow_run_event
workflow_run.head_branch Head Branch Head_Branch
workflow_run.id workflow_run_id workflow_Run_id
workflow_run.workflow_id Workflow Id Workflow_Id

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。