Collecter les journaux d'audit GitHub

Version de l'analyseur : 23.0

Compatible avec :

Ce document explique comment ingérer des journaux d'audit GitHub dans Google Security Operations. Vous pouvez configurer l'ingestion à l'aide de l'une des méthodes suivantes :

  • Google Cloud Storage V2 (recommandé) : diffusez les journaux d'audit de GitHub Enterprise Cloud directement dans un bucket GCS, puis ingérez-les dans Google SecOps.
  • Webhook : configurez GitHub pour qu'il transmette les charges utiles d'événements directement à un point de terminaison de webhook Google SecOps en temps réel.

GitHub est une plate-forme cloud de contrôle des versions et de collaboration qui permet aux développeurs de stocker et de gérer du code, de suivre les modifications et de collaborer sur des projets logiciels. GitHub Enterprise Cloud fournit des fonctionnalités de sécurité de niveau entreprise, y compris le streaming des journaux d'audit pour la conformité et la surveillance de la sécurité.

Avant de commencer

  • Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps

  • Un compte GitHub Enterprise Cloud avec des autorisations de propriétaire d'entreprise (pour le streaming GCS) ou de propriétaire d'organisation (pour les webhooks)

Pour la méthode GCS, vous avez également besoin des éléments suivants :

  • Un projet Google Cloud avec l'API Cloud Storage activée
  • Autorisations de créer et de gérer des buckets GCS
  • Autorisations de créer des comptes de service et de gérer les stratégies IAM

Pour la méthode Webhook, vous avez également besoin des éléments suivants :

  • Accès à la Google Cloud Console (pour créer une clé API)
  • Autorisations d'administrateur de dépôt ou de propriétaire d'organisation dans GitHub

Créer un bucket Google Cloud Storage

  1. Accédez à la console Google Cloud.
  2. Sélectionnez votre projet ou créez-en un.
  3. Dans le menu de navigation, accédez à Cloud Storage > Buckets.
  4. Cliquez sur Créer un bucket.

  5. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Attribuez un nom au bucket Saisissez un nom unique (par exemple, github-audit-logs).
    Type d'emplacement Choisissez celle qui correspond le mieux à vos besoins (régionale, birégionale ou multirégionale).
    Emplacement Sélectionnez l'emplacement (par exemple, us-central1).
    Classe de stockage Standard (recommandé pour les journaux fréquemment consultés)
    Access control (Contrôle des accès) Uniforme (recommandé)
    Outils de protection Facultatif : Activez la gestion des versions d'objets ou la règle de conservation

  6. Cliquez sur Créer.

Créer un compte de service pour le streaming des journaux d'audit GitHub

GitHub nécessite un compte de service Google Cloud avec une clé JSON pour s'authentifier et écrire des journaux d'audit dans votre bucket GCS.

  1. Dans la console Google Cloud, accédez à IAM et administration > Comptes de service.
  2. Cliquez sur Créer un compte de service.
  3. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom descriptif (par exemple, github-audit-streaming).
    • Description du compte de service : saisissez Service account for GitHub Enterprise Cloud audit log streaming to GCS.
  4. Cliquez sur Créer et continuer.

  5. Cliquez sur OK.

Accorder au compte de service l'accès en écriture au bucket GCS

  1. Accédez à Cloud Storage > Buckets.
  2. Cliquez sur le nom de votre bucket (par exemple, github-audit-logs).
  3. Accédez à l'onglet Autorisations.
  4. Cliquez sur Accorder l'accès.
  5. Fournissez les informations de configuration suivantes :
    • Ajouter des comptes principaux : saisissez l'adresse e-mail du compte de service (par exemple, github-audit-streaming@PROJECT_ID.iam.gserviceaccount.com).
    • Attribuer des rôles : sélectionnez Créateur des objets de l'espace de stockage.
  6. Cliquez sur Enregistrer.

Créer une clé JSON pour le compte de service

  1. Dans la console Google Cloud, accédez à IAM et administration > Comptes de service.
  2. Cliquez sur le compte de service (par exemple, github-audit-streaming).
  3. Accédez à l'onglet Clés.
  4. Cliquez sur Ajouter une clé > Créer une clé.
  5. Sélectionnez JSON comme type de clé.
  6. Cliquez sur Créer.

  7. Un fichier de clé JSON est téléchargé sur votre ordinateur. Enregistrez ce fichier de manière sécurisée.

Configurer le streaming des journaux d'audit GitHub Enterprise Cloud vers GCS

  1. Connectez-vous à GitHub Enterprise Cloud en tant que propriétaire d'entreprise.
  2. En haut à droite, cliquez sur votre photo de profil, puis sur Paramètres Enterprise (ou cliquez sur Entreprises, puis sur l'entreprise que vous souhaitez afficher).
  3. En haut de la page, cliquez sur Paramètres.
  4. Sous Paramètres, cliquez sur Journal d'audit.
  5. Sous Journal d'audit, cliquez sur Diffusion des journaux.
  6. Sélectionnez le menu déroulant Configurer le flux, puis cliquez sur Google Cloud Storage.
  7. Fournissez les informations de configuration suivantes :
    • Bucket : saisissez le nom du bucket GCS (par exemple, github-audit-logs).
    • Identifiants JSON : collez l'intégralité du contenu du fichier de clé JSON du compte de service.
  8. Cliquez sur Vérifier le point de terminaison pour vérifier que GitHub peut se connecter au bucket Google Cloud Storage et y écrire.

  9. Une fois le point de terminaison validé, cliquez sur Enregistrer.

Récupérer le compte de service Google SecOps

Google SecOps utilise un compte de service unique pour lire les données de votre bucket GCS. Vous devez accorder à ce compte de service l'accès à votre bucket.

Obtenir l'adresse e-mail du compte de service

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Cliquez sur Configurer un flux unique.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, GitHub audit logs).
  5. Sélectionnez Google Cloud Storage V2 comme Type de source.
  6. Sélectionnez GitHub comme type de journal.
  7. Cliquez sur Get Service Account (Obtenir un compte de service).

  8. Une adresse e-mail de compte de service unique s'affiche, par exemple :

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. Copiez cette adresse e-mail pour l'utiliser à l'étape suivante.

  10. Cliquez sur Suivant.

  11. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URL du bucket de stockage : saisissez l'URI du bucket GCS :

      gs://github-audit-logs/

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :

      • Jamais : ne supprime jamais aucun fichier après les transferts (recommandé pour les tests).
      • Supprimer les fichiers transférés : supprime les fichiers une fois le transfert réussi.

      • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides après un transfert réussi.

    • Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours (180 jours par défaut).

    • Espace de noms de l'élément : espace de noms de l'élément

    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux

  12. Cliquez sur Suivant.

  13. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Accorder des autorisations IAM au compte de service Google SecOps

  1. Accédez à Cloud Storage > Buckets.
  2. Cliquez sur le nom du bucket (github-audit-logs).
  3. Accédez à l'onglet Autorisations.
  4. Cliquez sur Accorder l'accès.
  5. Fournissez les informations de configuration suivantes :
    • Ajouter des comptes principaux : collez l'adresse e-mail du compte de service Google SecOps.
    • Attribuez des rôles :
      • Lecteur d'objets de l'espace de stockage (roles/storage.objectViewer)
      • Attribuez l'un des rôles suivants en fonction de l'option de suppression de la source sélectionnée :
        • Si l'option Jamais est sélectionnée : Lecteur des anciens buckets Storage (roles/storage.legacyBucketReader)
        • Si l'option Supprimer les fichiers transférés ou Supprimer les fichiers transférés et les répertoires vides est sélectionnée : Rédacteur des anciens buckets Storage (roles/storage.legacyBucketWriter)
  6. Cliquez sur Enregistrer.

Option 2 : Configurer l'ingestion à l'aide d'un webhook

Créer un flux de webhook dans Google SecOps

Créer le flux

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, GitHub webhook events).
  5. Sélectionnez Webhook comme type de source.
  6. Sélectionnez GitHub comme type de journal.
  7. Cliquez sur Suivant.
  8. Spécifiez les valeurs des paramètres d'entrée suivants :
    • Délimiteur de division (facultatif) : saisissez \n si GitHub envoie plusieurs événements par requête, ou laissez le champ vide pour les charges utiles à événement unique.
    • Espace de noms de l'élément : espace de noms de l'élément
    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux
  9. Cliquez sur Suivant.
  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Générer et enregistrer une clé secrète

Après avoir créé le flux, vous devez générer une clé secrète pour l'authentification :

  1. Sur la page d'informations du flux, cliquez sur Générer une clé secrète.
  2. Une boîte de dialogue affiche la clé secrète.
  3. Copiez et enregistrez la clé secrète de manière sécurisée.

Obtenir l'URL du point de terminaison du flux

  1. Accédez à l'onglet Détails du flux.
  2. Dans la section Informations sur le point de terminaison, copiez l'URL du point de terminaison du flux.

  3. Le format d'URL est le suivant :

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Où {region} correspond à la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1) et {parent} correspond au chemin d'accès à la ressource au format projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Enregistrez cette URL pour les étapes suivantes.

  5. Cliquez sur OK.

Créer une clé API Google Cloud

  • Google SecOps nécessite une clé API pour l'authentification. Créez une clé API restreinte dans la Google Cloud Console.

Créer la clé API

  1. Accédez à la page "Identifiants" de la console Google Cloud.
  2. Sélectionnez votre projet (celui associé à votre instance Google SecOps).
  3. Cliquez sur Créer des identifiants> Clé API.
  4. Une clé API est créée et s'affiche dans une boîte de dialogue.
  5. Cliquez sur Modifier la clé API pour restreindre la clé.

Restreindre la clé API

  1. Sur la page des paramètres de la clé API :
    • Nom : saisissez un nom descriptif (par exemple, Chronicle Webhook API Key).
  2. Sous Restrictions relatives aux API :
    1. Sélectionnez Restreindre la clé.
    2. Dans le menu déroulant Sélectionner des API, recherchez et sélectionnez API Google SecOps (ou API Chronicle).
  3. Cliquez sur Enregistrer.
  4. Copiez la valeur de la clé API dans le champ Clé API en haut de la page.

  5. Enregistrez la clé API de manière sécurisée.

Créer l'URL de webhook

  • Combinez l'URL du point de terminaison Google SecOps et la clé API :

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

    • Exemple :

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

Configurer le webhook de l'organisation GitHub

  1. Connectez-vous à GitHub et accédez à votre organisation.
  2. Cliquez sur Paramètres.
  3. Dans la barre latérale de gauche, cliquez sur Webhooks.
  4. Cliquez sur Add webhook (Ajouter un Webhook).
  5. Fournissez les informations de configuration suivantes :
    • URL de webhook : collez l'URL complète du webhook créée à l'étape précédente (URL du point de terminaison avec la clé API et la clé secrète ajoutées en tant que paramètres de requête).
    • Type de contenu : sélectionnez application/json.
    • Secret : laissez ce champ vide (l'authentification est gérée par les paramètres d'URL).
  6. Sous Quels événements doivent déclencher ce webhook ? :
    1. Sélectionnez Je souhaite sélectionner des événements individuels.
    2. Sélectionnez les événements que vous souhaitez envoyer à Google SecOps. Voici quelques événements recommandés pour la surveillance de la sécurité :
      • Création de branches ou de tags
      • Suppression de branches ou de tags
      • Collaborateur ajouté, supprimé ou modifié
      • Clés de déploiement
      • Déploiements
      • Forks
      • Membre
      • Souscriptions
      • Organisations
      • Demandes d'extraction
      • Examens des demandes d'extraction
      • Pushs
      • Versions
      • Dépôts
      • Alertes d'analyse des secrets
      • Avis de sécurité
      • Teams
      • Modifications de la visibilité
  7. Cochez la case Active (Actif) pour activer le webhook.
  8. Cliquez sur Add webhook (Ajouter un Webhook).

  9. GitHub envoie un événement ping de test. Vérifiez que le webhook affiche une coche verte indiquant que la distribution a réussi.

Types d'événement

Le tableau suivant liste les types d'événements et les conditions associées :

event_type Conditions
NETWORK_CONNECTION [has_target] == "true" && [has_principal] == "true"
PROCESS_LAUNCH [has_principal] == "true" && [has_target_process] == "true"
STATUS_UPDATE [has_principal] == "true"
USER_LOGIN [raw][message] =~ "Authentication success" or [message] =~ "Authentication success" && ([has_target]== "true" || [has_target_user] == "true")
USER_RESOURCE_CREATION [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["personal_access_token.create" ,"repository_vulnerability_alert.create"]
USER_RESOURCE_DELETION [has_target_resource] == "true" && [has_principal_user] == "true" && [action] in ["hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"]
USER_RESOURCE_DELETION [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"]
USER_RESOURCE_UPDATE_CONTENT [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "pull_request.merge" , "hook.events_changed"]
USER_RESOURCE_UPDATE_PERMISSIONS [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["repo.update_actions_secret","protected_branch.update_pull_request_reviews_enforcement_level", "org.update_member" ,"protected_branch.update_admin_enforced" ,"protected_branch.update_required_status_checks_enforcement_level","org.integration_manager_removed" ,"repo.update_member", "repo.add_member"]
USER_UNCATEGORIZED [has_principal_userid] == "true"

Table de mappage UDM

Champ du journal Mappage UDM Logique
invitee event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
inviter event.idm.read_only_udm.src.user.userid Mappé à partir du journal des modifications
pull_request.user.login event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
pull_request.user.id event.idm.read_only_udm.principal.user.product_object_id Mappé à partir du journal des modifications
sender.login event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
sender.id event.idm.read_only_udm.principal.user.product_object_id Mappé à partir du journal des modifications
sender.node_id event.idm.read_only_udm.principal.asset_id et event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
sender.url event.idm.read_only_udm.principal.url Mappé à partir du journal des modifications
repository.custom_properties.criticality event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
host.name event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
host event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
logData.Level event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
logData.Level event.idm.read_only_udm.security_result.severity_details Mappé à partir du journal des modifications
logData.Method event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
logData.IdentityName event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
logData.IPAddress event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
logData.IdentityName event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
logData.Username event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
logData.HostId event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
logData.ServiceHost event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
logData.TenantId event.idm.read_only_udm.metadata.product_deployment_id Mappé à partir du journal des modifications
logData.AuthenticationMechanism event.idm.read_only_udm.extensions.auth.auth_details Mappé à partir du journal des modifications
logData.HttpRequestHost event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
logData.HttpRequestHost event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
logData.HttpRemotePort event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
logData.Command event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
logData.HttpRequestMethod event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
logData.ResponseCode event.idm.read_only_udm.network.http.response_code Mappé à partir du journal des modifications
logData.Status event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
logData.PersistentSessionId event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
logData.ActivityId event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
logData.HttpRequestProtocol event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
logData.HttpRequestProtocol event.idm.read_only_udm.network.application_protocol_version Mappé à partir du journal des modifications
logData.UserAgent event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
logData.UserAgent event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications
logData.Referrer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
logData.Application event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
logData.UriStem event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
logData.CUID event.idm.read_only_udm.principal.user.product_object_id Mappé à partir du journal des modifications
logData event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AadExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AadExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AadGraphExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AadGraphExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AadTokenExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AadTokenExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ActivityStatus event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AfdRefInfo event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AnonymousIdentifier event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ApplicationHash event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Area event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AuthorizationId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
BlobStorageExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
BlobStorageExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CPUCycles event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CPUExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CPUTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CommandHash event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CommandIdentifier event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ConcurrencySemaphoreTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ContextId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ControllerTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CurrentAuthenticationSessionId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
DelayTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
E2EID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ElapsedTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ExceptionMessage event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ExceptionType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ExecutionTimeThreshold event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Feature event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
FinalSqlCommandExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HostStartTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HostType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HttpRequestTransferEncoding event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HttpResponseArrProxyTarget event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HttpResponseCacheControl event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HttpResponseContentEncoding event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HttpUriQuery event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IsExceptionExpected event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Layer event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LogicalReads event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Message event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
MethodInformationTimeout event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OrchestrationId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ParentHostId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Path event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PendingAuthenticationSessionId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PhysicalReads event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PostControllerTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PreControllerTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PreciseTimeStamp event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProcessName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProviderId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
QueueTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RedisExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RedisExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RelatedActivityId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Service event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ServiceBusExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ServiceBusExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SqlExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SqlExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SqlReadOnlyExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SqlReadOnlyExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SqlRetryExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SqlRetryExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
StartTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SupportsPublicAccess event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TSTUs event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TableStorageExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TableStorageExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ThrottleReason event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TimeToFirstPage event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TraceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Tracepoint event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
UniqueIdentifier event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Uri event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
UserDefined event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
VSID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
VssClientExecutionCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
VssClientExecutionTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.email event.idm.read_only_udm.target.user.email_addresses Mappé à partir du journal des modifications
invitation.created_at event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
invitation.id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
invitation.invitation_teams_url event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
invitation.role event.idm.read_only_udm.target.user.attribute.roles Mappé à partir du journal des modifications
invitation.inviter.id event.idm.read_only_udm.principal.user.product_object_id Mappé à partir du journal des modifications
invitation.inviter.login event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
invitation.inviter.html_url event.idm.read_only_udm.principal.url Mappé à partir du journal des modifications
invitation.login event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
invitation.inviter.url event.idm.read_only_udm.principal.user.attribute.labels Mappé à partir du journal des modifications
invitation.inviter.avatar_url event.idm.read_only_udm.principal.user.attribute.labels Mappé à partir du journal des modifications
invitation.inviter.type event.idm.read_only_udm.principal.user.attribute.labels Mappé à partir du journal des modifications
organization.url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.invitation_source event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.team_count event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.node_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.failed_at event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.failed_reason event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.avatar_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.events_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.followers_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.following_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.gists_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.gravatar_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.node_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.organizations_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.received_events_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.repos_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.site_admin event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.starred_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.subscriptions_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
invitation.inviter.user_view_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
commit_message event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
sender.type event.idm.read_only_udm.src.user.title Mappé à partir du journal des modifications
sha event.idm.read_only_udm.target.file.sha1 Mappé à partir du journal des modifications
target_url event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
description event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
avatar_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
context event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
commit_node_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
commit_committer_name event.id.read_only_udm.additional.fields Mappé à partir du journal des modifications
state event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
commit_committer_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
commit_committer_email event.idm.read_only_udm.principal.email Mappé à partir du journal des modifications
commit_tree_sha event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
comment_count event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
reason event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
commit_url event.idm.read_only_udm.principal.url Mappé à partir du journal des modifications
comments_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
commit_user_name event.idm.read_only_udm.principal.user.user_display_name Mappé à partir du journal des modifications
commit_user_id event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
principal.assetid event.idm.read_only_udm.principal.asset_id Mappé à partir du journal des modifications
sender_login event.idm.read_only_udm.src.user.user_display_name Mappé à partir du journal des modifications
sender_id event.idm.read_only_udm.src.user.product_object_id Mappé à partir du journal des modifications
sender_assetid event.idm.read_only_udm.src.asset_id Mappé à partir du journal des modifications
sender_url event.idm.read_only_udm.src.url Mappé à partir du journal des modifications
alert.created_at event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.html_url event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.locations_url event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.multi_repo event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.number event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.publicly_leaked event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.push_protection_bypassed event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.secret_type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.secret_type_display_name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.updated_at event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.validity event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
repository_selection", "user_programmatic_access_name", and "permissions_added.* additional.fields Mappé à partir du journal des modifications
external_identity_nameid principal.user.userid Mappé à partir du journal des modifications
actor_id principal.user.userid Mappé à partir du journal des modifications
new_repo_permission", "user", and "actor additional.fields Mappé à partir du journal des modifications
secret_type_display_name additional.fields Mappé à partir du journal des modifications
user_id target.user.userid Mappé à partir du journal des modifications
push_protection_bypass_reason security_result.detection_fields Mappé à partir du journal des modifications
actor principal.resource.attribute.labels Mappé à partir du journal des modifications
pull_request_url target.url Mappé à partir du journal des modifications
pull_request_title", "pull_request_id" ,and "previous_visibility additional.fields Mappé à partir du journal des modifications
explanation additional.fields Mappé à partir du journal des modifications
invitee_email" and "email additional.fields Mappé à partir du journal des modifications
required_status_checks_enforcement_level", "events_were" and "old_permission additional.fields Mappé à partir du journal des modifications
name", "manager", "pull_request_reviews_enforcement_level", "hook_id", "events", "config_was", "key", "fingerprint", "permission", and "title additional.fields Mappé à partir du journal des modifications
security_result.action ALLOW Mappé à partir du journal des modifications
security_result.action BLOCK Mappé à partir du journal des modifications
user target.user.user_display_name Mappé à partir du journal des modifications
referrer network.http.referral_url Mappé à partir du journal des modifications
user_session_id network.session_id Mappé à partir du journal des modifications
ip principal.ip Mappé à partir du journal des modifications
from additional.fields Mappé à partir du journal des modifications
request_category additional.fields Mappé à partir du journal des modifications
device_cookie additional.fields Mappé à partir du journal des modifications
operation_type additional.fields Mappé à partir du journal des modifications
category_type additional.fields Mappé à partir du journal des modifications
note additional.fields Mappé à partir du journal des modifications
read additional.fields Mappé à partir du journal des modifications
pre_perform_allocation_count additional.fields Mappé à partir du journal des modifications
backend additional.fields Mappé à partir du journal des modifications
queue additional.fields Mappé à partir du journal des modifications
class additional.fields Mappé à partir du journal des modifications
success additional.fields Mappé à partir du journal des modifications
controller_action security_result.detection_fields Mappé à partir du journal des modifications
two_factor security_result.detection_fields Mappé à partir du journal des modifications
user_agent network.http.user_agent Mappé à partir du journal des modifications
request_method network.http.method Mappé à partir du journal des modifications
application_name target.application Mappé à partir du journal des modifications
status_code network.http.response_code Mappé à partir du journal des modifications
url_path target.url Mappé à partir du journal des modifications
user_id target.userid Mappé à partir du journal des modifications
transport_protocol_name network.application_protocol Mappé à partir du journal des modifications
raw.now metadata.event_timestamp Mappé à partir du journal des modifications
raw.ip principal.ip Mappé à partir du journal des modifications
raw.request_id metadata.product_log_id Mappé à partir du journal des modifications
raw.repo target.url Mappé à partir du journal des modifications
raw.action security_result.summary Mappé à partir du journal des modifications
raw.protocol network.application_protocol Mappé à partir du journal des modifications
raw.message metadata.description Mappé à partir du journal des modifications
raw.at security_result.action Mappé à partir du journal des modifications
raw.login target.user_display_name Mappé à partir du journal des modifications
raw.user_id target.userid Mappé à partir du journal des modifications
raw.failure_reason", "raw.failure_type", "raw.raw_login" and "raw.from additional.fields Mappé à partir du journal des modifications
workflow_run.id target.resource.attribute.labels Mappé à partir du journal des modifications
workflow_run.event additional.fields Mappé à partir du journal des modifications
workflow_run.actor.login principal.user.userid Mappé à partir du journal des modifications
workflow_run.head_branch security_result.about.labels Mappé à partir du journal des modifications
workflow_run.head_sha target.file.sha256 Mappé à partir du journal des modifications
enterprise.name additional.fields Mappé à partir du journal des modifications
workflow.name security_result.about.labels Mappé à partir du journal des modifications
workflow_run.workflow_id security_result.about.labels Mappé à partir du journal des modifications
external_identity_nameid target.user.email_addresses Mappé à partir du journal des modifications
external_identity_nameid target.user.userid Mappé à partir du journal des modifications
config.url target.url Mappé à partir du journal des modifications
Champ du journal Mappage UDM Remarques
above_lock_quota additional.fields
above_warn_quota additional.fields
ac_ms additional.fields
accept additional.fields
action metadata.product_event_type Pour les journaux JSON.
action security_result.summary Pour les journaux syslog.
active target.resource.attribute.labels
active_job_id additional.fields
actor principal.user.userid
actor_id principal.user.attribute.labels.value
actor_ip principal.ip
actor_is_agent additional.fields
actor_is_bot principal.user.attribute.labels
actor_location.country_code principal.location.country_or_region
actor_session additional.fields
additional_list additional.fields
additional_string additional.fields
after additional.fields
alert_id security_result.detection_fields
alert_number security_result.detection_fields
alert_numbers additional.fields
allow_deletions_enforcement_level additional.fields
allow_force_pushes_enforcement_level additional.fields
allow_private_repository_forking additional.fields
application_name target.application
aqueduct_job_id additional.fields
auth_tries additional.fields
babeld additional.fields
banner additional.fields
before additional.fields
best_cipher additional.fields
best_kex additional.fields
best_mac additional.fields
best_sigtype additional.fields
Body security_result.description
branch target.resource.attribute.labels
branches target.resource.attribute.labels
business additional.fields
business_id additional.fields
cactive additional.fields
calling_workflow_refs target.resource.attribute.labels
calling_workflow_shas target.resource.attribute.labels
changes.body.from additional.fields
charset additional.fields
check_run.app additional.fields
check_run.app.events additional.fields
check_run.app.owner additional.fields
check_run.check_suite.app.client_id additional.fields
check_run.check_suite.app.created_at additional.fields
check_run.check_suite.app.description additional.fields
check_run.check_suite.app.events additional.fields
check_run.check_suite.app.external_url additional.fields
check_run.check_suite.app.html_url additional.fields
check_run.check_suite.app.id additional.fields
check_run.check_suite.app.name additional.fields
check_run.check_suite.app.node_id additional.fields
check_run.check_suite.app.slug additional.fields
check_run.check_suite.app.updated_at additional.fields
check_run.check_suite.conclusion additional.fields
check_run.check_suite.id additional.fields
check_run.check_suite.url additional.fields
check_run.completed_at additional.fields
check_run.conclusion additional.fields
check_run.output additional.fields
check_run.started_at additional.fields
check_suite (tous ses sous-champs) additional.fields
check_suite.app (tous ses sous-champs) additional.fields
check_suite.app.events additional.fields
check_suite.app.owner (tous ses sous-champs) additional.fields
check_suite.head_commit (tous ses sous-champs) additional.fields
cid additional.fields
cipher network.tls.cipher
client_id principal.user.attribute.labels
cloning additional.fields
code additional.fields
CodeNamespace additional.fields
comment (tous ses sous-champs) additional.fields
comment.performed_via_github_app (tous ses sous-champs) additional.fields
comment.performed_via_github_app.events additional.fields
comment.reactions (tous ses sous-champs) additional.fields
commit.author principal.resource.attribute.labels
commit.commit.author.date additional.fields
commit.commit.author.email additional.fields
commit.commit.author.name additional.fields
commit.commit.tree.url additional.fields
commit.commit.verification additional.fields
commit.committer additional.fields
commit.parents additional.fields
commit.sha additional.fields
commit.url additional.fields
commit_oid additional.fields
committer_date additional.fields
completed_at vulns.vulnerabilities.scan_end_time
config.content_typt target.resource.attribute.labels
config.insecure_ssl target.resource.attribute.labels
config.secret target.resource.attribute.labels
config.url target.url
considers.site.admin additional.fields
content_type target.file.mime_type
cr additional.fields
create_protected additional.fields
created_at metadata.event_timestamp La valeur est convertie de millisecondes UNIX en code temporel.
credential detection_fields
ctotal additional.fields
data._document_id metadata.product_log_id
data.active_job_id additional.fields
data.aqueduct_job_id additional.fields
data.business target.administrative_domain
data.business_id additional.fields
data.cancelled_at extensions.vulns.vulnerabilities.scan_end_time La valeur est convertie du format ISO8601 en code temporel.
data.category_type security_result.category_details
data.dn additional.fields
data.email target.user.email_addresses
data.entry_found additional.fields
data.event target.resource.attribute.labels
data.events security_result.about.labels.value
data.head_branch target.resource.attribute.labels
data.head_sha target.file.sha256
data.hook_id target.resource.product_object_id
data.job target.application
data.operation_type additional.fields
data.started_at extensions.vulns.vulnerabilities.scan_start_time La valeur est convertie du format ISO8601 en code temporel.
data.team target.group.group_display_name
data.trigger_id target.resource.attribute.labels
data.uid additional.fields
data.workflow_id target.resource.attribute.labels
data.workflow_run_id target.resource.attribute.labels
default_new_repo_branch additional.fields
default_repo_visibility additional.fields
default_repository_permission additional.fields
degraded additional.fields
dependency_scope additional.fields
deployment.environment additional.fields
disable_members_can_create_repositories additional.fields
disable_members_can_delete_repositories additional.fields
disable_user_org_creation additional.fields
disk_info additional.fields
disk_py_file additional.fields
dismiss_stale_reviews_on_push additional.fields
dotcom_contributions additional.fields
dotcom_user_license_usage_upload additional.fields
duration_ms additional.fields
ecosystem additional.fields
enforcement_level additional.fields
enterprise principal.resource.attribute.labels
enterprise.name additional.fields.value.string_value
environment_name target.resource.attribute.labels
error additional.fields
external_id additional.fields
external_identity_nameid target.user.email_addresses Si la valeur est une adresse e-mail, elle est ajoutée au tableau target.user.email_addresses.
external_identity_nameid target.user.userid
external_identity_username additional.fields Mappé sur additional.fields lorsqu'il n'est pas renseigné dans target.user.user_display_name.
external_identity_username target.user.user_display_name Mappé lorsqu'il est renseigné dans target.user.user_display_name.
features additional.fields
filtered additional.fields
filtered_request_body.query additional.fields
fluentbit_pod_name additional.fields
fp_sha256 additional.fields
frontend additional.fields
frontend_pid intermediary.process.pid
frontend_ppid intermediary.process.parent_process.pid
fs_host target.hostname
fsc_ms additional.fields
fully_qualified_domain_name additional.fields
gh.sdk.name additional.fields
gh.sdk.version additional.fields
gh.timerd.timer.name additional.fields
ghsa_id additional.fields
git.maxobjectsize additional.fields
git_dir_safe target.resource.attribute.labels
github_event_after target.resource.attribute.labels
github_event_before target.resource.attribute.labels
github_event_compare target.resource.attribute.labels
github_event_created target.resource.attribute.labels
github_event_deleted target.resource.attribute.labels
github_event_forced target.resource.attribute.labels
github_event_head_commit_author_email target.resource.attribute.labels
github_event_head_commit_author_name target.resource.attribute.labels
github_event_head_commit_author_username target.resource.attribute.labels
github_event_head_commit_committer_email target.resource.attribute.labels
github_event_head_commit_committer_name target.resource.attribute.labels
github_event_head_commit_committer_username target.resource.attribute.labels
github_event_head_commit_distinct target.resource.attribute.labels
github_event_head_commit_msg1 target.resource.attribute.labels
github_event_head_commit_timestamp target.resource.attribute.labels
github_event_pusher_email target.resource.attribute.labels
github_event_pusher_name target.resource.attribute.labels
github_event_ref target.resource.attribute.labels
github_event_repository_has_projects target.resource.attributes.labels
github_event_repository_master_branch target.resource.attribute.labels
github_event_repository_organization target.resource.attribute.labels
github_event_repository_owner_name target.resource.attribute.labels
github_event_repository_stargazers target.resource.attribute.labels
github_event_workflow_job_completed_at target.resource.attributes.labels
gpv additional.fields
handler_code additional.fields
hashed_token network.session_id
head_branch target.resource.attribute.labels
head_sha target.file.sha256
healthy additional.fields
hmac additional.fields
hook_id target.resource.attribute.labels
host.name principal.user.attribute.labels
http_version network.application_protocol_version
id metadata.product_log_id
ignore_approvals_from_contributors additional.fields
imode additional.fields
imperfect additional.fields
InstrumentationScope additional.fields
integration_id additional.fields
intel.flat additional.fields
is_hosted_runner target.resource.attribute.labels
issue (tous ses sous-champs) additional.fields
issue.pull_request (tous ses sous-champs) additional.fields
job_name target.resource.attribute.labels.value
job_workflow_ref target.resource.attribute.labels.value
job_workflow_sha target.resource.attribute.labels.value
kafka_cluster additional.fields
kex additional.fields
keytype additional.fields
kubernetes.container_image principal.resource.attribute.labels
kubernetes.container_name principal.resource.attribute.labels
kubernetes.host principal.resource.attribute.labels
kubernetes.labels.app principal.resource.attribute.labels
kubernetes.labels.chart principal.resource.attribute.labels
kubernetes.labels.component principal.resource.attribute.labels
kubernetes.labels.heritage principal.resource.attribute.labels
kubernetes.labels.pod-template-hash principal.resource.attribute.labels
kubernetes.labels.release principal.resource.attribute.labels
kubernetes.labels.system principal.resource.attribute.labels
kubernetes.namespace_name principal.resource.attribute.labels
kubernetes.pod_ip principal.ip,
principal.asset.ip
kubernetes.pod_name principal.resource.attribute.labels
last_state_change_at additional.fields
last_state_change_reason additional.fields
lat principal.location.region_coordinates.latitude
ldap.debug_logging_enabled additional.fields
level security_result.severity
lfs_auth_scope additional.fields
lfs_deploy_key_header additional.fields
lfs_verify_reason additional.fields
linear_history_requirement_enforcement_level additional.fields
lock_allows_fetch_and_merge additional.fields
lock_branch_enforcement_level additional.fields
log_level security_result.severity
log_source additional.fields
log_source_file target.file.full_path
logData.Count additional.fields
logData.Metrics.* additional.fields L'astérisque (*) indique que tous les sous-champs sont inclus.
logType additional.fields
lon principal.location.region_coordinates.longitude
loop additional.fields
matched_policies security_result.detection_fields
member target.user.attribute.labels
merge_queue_enforcement_level additional.fields
method additional.fields
multi_repo security_result.detection_fields
mysql_component additional.fields
mysql_warning_code additional.fields
name target.resource.attribute.labels
non_integer_id additional.fields
ns additional.fields
number additional.fields
oauth_application principal.application
oauth_application_id principal.resource.attribute.labels
oauth_party additional.fields
offset additional.fields
old_permissions additional.fields
old_repo_permissions additional.fields
org target.administrative_domain
org_id additional.fields.value.string_value
organization.url additional.fields
original_user_agent additional.fields
overridden_codes additional.fields
owner principal.user.user_display_name
owner_id principal.user.userid
package additional.fields
package_name target.application
parent additional.fields
parent_installation_id additional.fields
partition additional.fields
path_info additional.fields Il s'agit du mappage lorsque le chemin est déjà mappé sur target.file.full_path.
path_info target.file.full_path Il s'agit du mappage lorsque le chemin d'accès n'est pas déjà mappé à target.file.full_path.
pgroup additional.fields
pk_ms additional.fields
prin_ip principal.ip,
principal.asset.ip
prin_port principal.port
prin_usr principal.user.userid
pro_pid target.process.pid
probe_fail additional.fields
probe_ok additional.fields
programmatic_access_type additional.fields.value.string_value
pubkey_creator_id additional.fields
pubkey_creator_login additional.fields
pubkey_fingerprint additional.fields
pubkey_id additional.fields
pubkey_verifier_id additional.fields
pubkey_verifier_login additional.fields
public_repo additional.fields.value.string_value
public_repo target.location.name
publicly_leaked security_result.detection_fields
pull_request.* additional.fields L'astérisque (*) indique que tous les sous-champs sont inclus.
pull_request._links.comments.href additional.fields
pull_request._links.commits.href additional.fields
pull_request._links.html.href additional.fields
pull_request._links.issue.href additional.fields
pull_request._links.review_comment.href additional.fields
pull_request._links.review_comments.href additional.fields
pull_request._links.self.href additional.fields
pull_request._links.statuses.href additional.fields
pull_request.base.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.base.repo.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.base.repo.owner.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.head.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.head.owner.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.head.repo.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.head.user.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.requested_reviewers.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.requested_teams.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
pull_request.user. (et tous ses sous-champs, à l'exception de login) principal.user.attribute.labels
pull_request.user.login principal.user.user_display_name
pull_request_id target.resource.attribute.labels
pull_request_title target.resource.attribute.labels
query_string additional.fields.value.string_value
queue_duration additional.fields
quotas_enabled additional.fields
rate_limit additional.fields
rate_limit_family additional.fields
rate_limit_key additional.fields
rate_limit_remaining additional.fields.value.string_value
rate_limit_reset additional.fields
rate_limit_used additional.fields
raw.at additional.fields
raw.hashed_token network.session_id
raw.token_type additional.fields
raw.url target.url
raw.user_agent network.http.user_agent,
network.http.parsed_user_agent
raw_login additional.fields
read_only additional.fields
readonly additional.fields
reasons additional.fields
ref target.resource.attribute.labels
replicas additional.fields
repo target.resource.name
repo_id additional.fields.value.string_value
repo_owner_login target.resource.attribute.labels
repo_owner_type target.resource.attribute.labels
repo_public additional.fields
repository target.resource.attribute.labels
repository.archive_url target.resource.attribute.labels
repository.assignees_url target.resource.attribute.labels
repository.blobs_url target.resource.attribute.labels
repository.branches_url target.resource.attribute.labels
repository.clone_url target.resource.attribute.labels
repository.collaborators_url target.resource.attribute.labels
repository.comments_url target.resource.attribute.labels
repository.commits_url target.resource.attribute.labels
repository.compare_url target.resource.attribute.labels
repository.contents_url target.resource.attribute.labels
repository.contributors_url target.resource.attribute.labels
repository.created_at target.resource.attribute.labels
repository.custom_properties. (et tous ses sous-champs) target.resource.attribute.labels
repository.deployments_url target.resource.attribute.labels
repository.downloads_url target.resource.attribute.labels
repository.events_url target.resource.attribute.labels
repository.fork target.resource.attribute.labels
repository.forks_url target.resource.attribute.labels
repository.full_name target.resource.attribute.labels
repository.git_commits_url target.resource.attribute.labels
repository.git_refs_url target.resource.attribute.labels
repository.git_tags_url target.resource.attribute.labels
repository.git_url target.resource.attribute.labels
repository.homepage target.resource.attributes.labels
repository.hooks_url target.resource.attribute.labels
repository.html_url target.resource.attribute.labels
repository.id target.resource.attribute.labels
repository.issue_comment_url target.resource.attribute.labels
repository.issue_events_url target.resource.attribute.labels
repository.issues_url target.resource.attribute.labels
repository.keys_url target.resource.attribute.labels
repository.labels_url target.resource.attribute.labels
repository.languages_url target.resource.attribute.labels
repository.license target.resource.attributes.labels
repository.merges_url target.resource.attribute.labels
repository.milestones_url target.resource.attribute.labels
repository.mirror_url target.resource.attributes.labels
repository.name target.resource.attribute.labels
repository.node_id target.resource.attribute.labels
repository.notifications_url target.resource.attribute.labels
repository.open_issues_count target.resource.attribute.labels
repository.owner.avatar_url target.resource.attribute.labels
repository.owner.events_url target.resource.attribute.labels
repository.owner.followers_url target.resource.attribute.labels
repository.owner.following_url target.resource.attribute.labels
repository.owner.gists_url target.resource.attribute.labels
repository.owner.gravatar_id target.resource.attribute.labels
repository.owner.html_url target.resource.attribute.labels
repository.owner.id target.resource.attribute.labels
repository.owner.node_id target.resource.attribute.labels
repository.owner.organizations_url target.resource.attribute.labels
repository.owner.received_events_url target.resource.attribute.labels
repository.owner.repos_url target.resource.attribute.labels
repository.owner.site_admin target.resource.attribute.labels
repository.owner.starred_url target.resource.attribute.labels
repository.owner.subscriptions_url target.resource.attribute.labels
repository.owner.type target.resource.attribute.labels
repository.owner.url target.resource.attribute.labels
repository.owner.user_view_type target.resource.attribute.labels
repository.private target.resource.attribute.labels
repository.pulls_url target.resource.attribute.labels
repository.pushed_at target.resource.attribute.labels
repository.releases_url target.resource.attribute.labels
repository.size target.resource.attribute.labels
repository.ssh_url target.resource.attribute.labels
repository.stargazers_url target.resource.attribute.labels
repository.statuses_url target.resource.attribute.labels
repository.subscribers_url target.resource.attribute.labels
repository.subscription_url target.resource.attribute.labels
repository.svn_url target.resource.attribute.labels
repository.tags_url target.resource.attribute.labels
repository.teams_url target.resource.attribute.labels
repository.topics target.resource.attributes.labels
repository.trees_url target.resource.attribute.labels
repository.updated_at target.resource.attribute.labels
repository.url target.resource.attribute.labels
repository.visibility target.resource.attribute.labels
repository_public target.resource.attribute.labels
req_content_type target.file.mime_type
request_access_security_header security_result.detection_fields
request_auth additional.fields
request_body additional.fields.value.string_value
request_duration additional.fields
request_host principal.ip,
principal.asset.ip		 Lorsqu'une adresse IP est présente, le mappage est effectué vers principal.ip (en conservant le mappage existant de principal.hostname).
request_method network.http.method La valeur est convertie en majuscules.
requested_reviewers.* additional.fields L'astérisque (*) indique que cela inclut tous les sous-champs.
require_code_owner_review additional.fields
require_last_push_approval additional.fields
required_approving_review_count additional.fields
required_deployments_enforcement_level additional.fields
required_review_thread_resolution_enforcement_level additional.fields
rerun_type additional.fields
res_type target.resource.resource_subtype
response_time additional.fields
review_id target.resource.attributes.labels
route additional.fields.value.string_value
rpc.jsonrpc.error_code network.http.response_code
rpc.jsonrpc.error_message security_result.summary
rule_suite_id security_result.rule_id
run_attempt additional.fields
run_number additional.fields
runner_labels target.resource.attribute.labels
runner_owner_type target.resource.attribute.labels
runner_tenant_id target.resource.attribute.labels
s3_tag additional.fields
secret_type security_result.detection_fields
secret_types security_result.detection_fields
secrets_passed security_result.detection_fields
sender.id src.user.product_object_id
sender.login src.user.user_display_name
sender.node_id src.asset_id
sender.type src.user.title
sender.url src.url
service target.resource.name
service.version additional.fields
serviceName target.resource.name
severity (si élevée) security_result.severity
SeverityText security_result.severity
shallow additional.fields
sign_in_verification_method security_result.detection_fields
signature_requirement_enforcement_level additional.fields
sigtype additional.fields
source src.resource.name
spec additional.fields
sr additional.fields
ss additional.fields
started_at vulns.vulnerabilities.scan_start_time
stateless additional.fields
status_code network.http.response_code
strict_required_status_checks_policy additional.fields
subject.business.id target.resource.attribute.labels
subject.owner.id additional.fields
subject.owning_organization.id principal.group.product_object_id
subject.repository.id target.resource.product_object_id
subject.repository.internal target.resource.attribute.labels
subject.repository.owner.id additional.fields
subject.repository.public target.resource.attribute.labels
subject.repository.writable target.resource.attribute.labels
subject.type target.resource.attribute.labels
synthetic_status additional.fields
tar_application target.application
telemetry.sdk.name additional.fields
tenant_id target.resource.attribute.labels
tid additional.fields
time metadata.event_timestamp
time_duration_ms additional.fields
time_zone additional.fields
timestamp metadata.event_timestamp
tls_version network.tls.version
token_id additional.fields.value.string_value
token_scopes additional.fields.value.string_value
topic additional.fields
total additional.fields
transport_protocol additional.fields
transport_protocol_name network.application_protocol La valeur est convertie en majuscules.
ts metadata.event_timestamp Quand process_type est github_production.
TTY additional.fields
twirp_method additional.fields
twirp_package additional.fields
twirp_service additional.fields
twirp_status network.http.response_code
two_factor_type security_result.detection_fields
type additional.fields
unavailable additional.fields
updated_at metadata.collected_timestamp
url_path target.url
usage_metrics additional.fields
user target.user.userid
user.id target.user.attr.labels Lorsque actor.id est présent.
user.id target.user.userid Quand actor.id n'est pas présent.
user_agent network.http.parsed_user_agent La valeur est analysée.
user_agent network.http.user_agent
user_id target.user.userid
user_operator_mode additional.fields
user_programmatic_access_id additional.fields
user_renaming_enabled additional.fields
user_spammy additional.fields
version metadata.product_version Ce mappage inclut les journaux JSON.
visibility additional.fields
vk_ms additional.fields
vulnerability_id additional.fields
vulnerable_version_range_id additional.fields
workflow target.resource.attributes.labels
workflow.name target.resource.attribute.labels
workflow_id target.resource.attribute.labels
workflow_job.head_branch security_result.detection_fields
workflow_job.name target.resource.attributes.labels
workflow_job.workflow_name security_result.detection_fields
workflow_run.actor. (et tous ses sous-champs, à l'exception du champ login, inclus dans chaque sous-champ) principal.user.attribute.labels
workflow_run.actor.login principal.user.userid
workflow_run.artifacts_url target.resource.attributes.labels
workflow_run.cancel_url target.resource.attributes.labels
workflow_run.check_suite_id additional.fields
workflow_run.check_suite_node_id additional.fields
workflow_run.check_suite_url target.resource.attributes.labels
workflow_run.conclusion target.resource.attribute.labels
workflow_run.created_at metadata.event_timestamp
workflow_run.display_title target.resource.attribute.labels
workflow_run.event additional.fields.value.string_value
workflow_run.event target.resource.attribute.labels
workflow_run.head_branch target.resource.attribute.labels
workflow_run.head_commit target.resource.attributes.labels
workflow_run.head_repository additional.fields
workflow_run.head_sha target.file.sha256
workflow_run.html_url target.resource.attribute.labels
workflow_run.id target.resource.attribute.labels.value
workflow_run.jobs_url target.resource.attributes.labels
workflow_run.logs_url target.resource.attributes.labels
workflow_run.name target.resource.name
workflow_run.node_id target.resource.product_object_id
workflow_run.path target.resource.attribute.labels
workflow_run.previous_attempt_url target.resource.attributes.labels
workflow_run.pull_requests about.resource.attribute.labels
workflow_run.repository additional.fields
workflow_run.rerun_url target.resource.attributes.labels
workflow_run.run_attempt target.resource.attribute.labels
workflow_run.run_number target.resource.attribute.labels
workflow_run.run_started_at target.resource.attribute.labels
workflow_run.status security_result.description
workflow_run.triggering_actor additional.fields
workflow_run.updated_at metadata.collected_timestamp
workflow_run.url target.url
workflow_run.workflow_id security_result.about.labels.value
workflow_run.workflow_id target.resource.attribute.labels
workflow_run.workflow_url target.resource.attributes.labels

Documentation de référence sur les deltas de version

Le 8 janvier 2026, Google SecOps a publié une nouvelle version de l'analyseur GitHub, qui inclut des modifications importantes.

Delta de mappage des champs de journal

Le tableau suivant liste le delta de mappage pour les champs de journal GitHub vers UDM exposés avant le 8 janvier 2026 et ultérieurement (listés respectivement dans les colonnes Ancien mappage et Mappage actuel) :

Champ du journal Ancien mappage Mappage actuel
action (pour les journaux JSON) metadata.product_event_type, security_result.summary,security_result.detection_fields metadata.product_event_type
action (pour les journaux syslog) additional.fields, security_result.summary security_result.summary
business additional.fields, target.user.company_name additional.fields
business_id target.resource.attribute.labels additional.fields
data.email target.email target.user.email_addresses
data.event security_result.about.labels target.resource.attribute.labels
data.head_branch security_result.about.labels target.resource.attribute.labels
data.hook_id target.resource.attribute.labels target.resource.product_object_id
data.team target.user.group_identifiers target.group.group_display_name
data.trigger_id security_result.about.labels target.resource.attribute.labels
data.workflow_id security_result.about.labels target.resource.attribute.labels
data.workflow_run_id security_result.about.labels target.resource.attribute.labels
hashed_token additional.fields network.session_id
hook_id (pour les journaux JSON) additional.fields target.resource.attribute.labels
name additional.fields target.resource.attribute.labels
oauth_application_id additional.fields principal.resource.attribute.labels
pull_request_id additional.fields target.resource.attribute.labels
pull_request_title additional.fields target.resource.attribute.labels
repository.archive_url additional.fields target.resource.attribute.labels
repository.assignees_url additional.fields target.resource.attribute.labels
repository.blobs_url additional.fields target.resource.attribute.labels
repository.branches_url additional.fields target.resource.attribute.labels
repository.clone_url additional.fields target.resource.attribute.labels
repository.collaborators_url additional.fields target.resource.attribute.labels
repository.comments_url additional.fields target.resource.attribute.labels
repository.commits_url additional.fields target.resource.attribute.labels
repository.compare_url additional.fields target.resource.attribute.labels
repository.contents_url additional.fields target.resource.attribute.labels
repository.contributors_url additional.fields target.resource.attribute.labels
repository.created_at additional.fields target.resource.attribute.labels
repository.deployments_url additional.fields target.resource.attribute.labels
repository.downloads_url additional.fields target.resource.attribute.labels
repository.events_url additional.fields target.resource.attribute.labels
repository.fork additional.fields target.resource.attribute.labels
repository.forks_url additional.fields target.resource.attribute.labels
repository.full_name additional.fields target.resource.attribute.labels
repository.git_commits_url additional.fields target.resource.attribute.labels
repository.git_refs_url additional.fields target.resource.attribute.labels
repository.git_tags_url additional.fields target.resource.attribute.labels
repository.git_url additional.fields target.resource.attribute.labels
repository.hooks_url additional.fields target.resource.attribute.labels
repository.html_url additional.fields target.resource.attribute.labels
repository.id additional target.resource.attribute.labels
repository.issue_comment_url additional.fields target.resource.attribute.labels
repository.issue_events_url additional.fields target.resource.attribute.labels
repository.issues_url additional.fields target.resource.attribute.labels
repository.keys_url additional.fields target.resource.attribute.labels
repository.labels_url additional.fields target.resource.attribute.labels
repository.languages_url additional.fields target.resource.attribute.labels
repository.merges_url additional.fields target.resource.attribute.labels
repository.milestones_url additional.fields target.resource.attribute.labels
repository.name additional.fields target.resource.attribute.labels
repository.node_id additional.fields target.resource.attribute.labels
repository.notifications_url additional.fields target.resource.attribute.labels
repository.owner.avatar_url additional.fields target.resource.attribute.labels
repository.owner.events_url additional.fields target.resource.attribute.labels
repository.owner.followers_url additional.fields target.resource.attribute.labels
repository.owner.following_url additional.fields target.resource.attribute.labels
repository.owner.gists_url additional.fields target.resource.attribute.labels
repository.owner.gravatar_id additional.fields target.resource.attribute.labels
repository.owner.html_url additional.fields target.resource.attribute.labels
repository.owner.id additional.fields target.resource.attribute.labels
repository.owner.node_id additional.fields target.resource.attribute.labels
repository.owner.organizations_url additional.fields target.resource.attribute.labels
repository.owner.received_events_url additional.fields target.resource.attribute.labels
repository.owner.repos_url additional.fields target.resource.attribute.labels
repository.owner.site_admin additional.fields target.resource.attribute.labels
repository.owner.starred_url additional.fields target.resource.attribute.labels
repository.owner.subscriptions_url additional.fields target.resource.attribute.labels
repository.owner.type additional.fields target.resource.attribute.labels
repository.owner.url additional.fields target.resource.attribute.labels
repository.owner.user_view_type additional.fields target.resource.attribute.labels
repository.private additional.fields target.resource.attribute.labels
repository.pulls_url additional.fields target.resource.attribute.labels
repository.pushed_at additional.fields target.resource.attribute.labels
repository.releases_url additional.fields target.resource.attribute.labels
repository.size additional.fields target.resource.attribute.labels
repository.ssh_url additional.fields target.resource.attribute.labels
repository.stargazers_url additional.fields target.resource.attribute.labels
repository.statuses_url additional.fields target.resource.attribute.labels
repository.subscribers_url additional.fields target.resource.attribute.labels
repository.subscription_url additional.fields target.resource.attribute.labels
repository.svn_url additional.fields target.resource.attribute.labels
repository.tags_url additional.fields target.resource.attribute.labels
repository.teams_url additional.fields target.resource.attribute.labels
repository.trees_url additional.fields target.resource.attribute.labels
repository.updated_at additional.fields target.resource.attribute.labels
repository.url additional.fields target.resource.attribute.labels
repository.visibility additional.fields target.resource.attribute.labels
repository_public additional.fields target.resource.attribute.labels
res_type target.resource.type target.resource.resource_subtype
sender.id src.user.product_object_id, additional.fields src.user.product_object_id
sender.login additional.fields, src.user.user_display_name src.user.user_display_name
sender.node_id src.asset_id, additional.fields src.asset_id
sender.type src.user.title, additional.fields src.user.title
sender.url src.url, additional.fields src.url
workflow.name security_result.about.labels target.resource.attribute.labels
workflow_job.head_branch security_result.about.labels security_result.detection_fields
workflow_job.workflow_name security_result.about.labels security_result.detection_fields
workflow_run.event additional.fields target.resource.attribute.labels
workflow_run.head_branch security_result.about.labels target.resource.attribute.labels
workflow_run.workflow_id security_result.about.labels target.resource.attribute.labels

Delta des conditions de type d'événement

Les conditions qui déterminent les types d'événements Google SecOps ont été modifiées dans la version du 8 janvier 2026.

Le tableau suivant liste les types d'événements et les conditions actuelles (c'est-à-dire que les conditions étaient différentes avant la version du 8 janvier 2026) :

event_type Conditions
NETWORK_CONNECTION [has_target] == "true" && [has_principal] == "true"
STATUS_UPDATE [has_principal] == "true"
USER_RESOURCE_DELETION [has_target_resource] == "true" && [has_principal_user] == "true" && [action] in ["hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"]
USER_RESOURCE_UPDATE_CONTENT [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "pull_request.merge" , "hook.events_changed"]
USER_RESOURCE_UPDATE_PERMISSIONS [has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["repo.update_actions_secret","protected_branch.update_pull_request_reviews_enforcement_level", "org.update_member" ,"protected_branch.update_admin_enforced" ,"protected_branch.update_required_status_checks_enforcement_level","org.integration_manager_removed" ,"repo.update_member", "repo.add_member"]

Delta de mappage des touches

Le tableau suivant liste le delta de mappage pour les clés des champs de journaux bruts vers les clés des champs UDM exposés avant le 8 janvier 2026 et après (listés respectivement dans les colonnes Ancienne clé et Clé actuelle) :

Clé dans le journal brut Ancienne clé Clé actuelle
alert.secret_type_display_name secret_type_display_name alert_secret_type_display_name
enterprise.name Enterprise Name enterprise_name
hook_id Hook Id Hook_Id
invitation.failed_at failed_at invitation_failed_at
invitation.failed_reason failed_reason invitation_failed_reason
invitation.invitation_source invitation_source invitation_invitation_source
raw.failure_reason failure_reason raw_failure_reason
raw.failure_type failure_type raw_failure_type
raw.from from raw_from
workflow_run.event event workflow_run_event
workflow_run.head_branch Head Branch Head_Branch
workflow_run.id workflow_run_id workflow_Run_id
workflow_run.workflow_id Workflow Id Workflow_Id

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.