Skip to main content

Como fazer pesquisas no log de auditoria para sua empresa

Você pode pesquisar uma extensa lista de ações auditadas em sua empresa.

Quem pode usar esse recurso?

Enterprise owners can search the audit log.

Sobre a pesquisa no log de auditoria da empresa

Você pode pesquisar o log de auditoria da empresa diretamente na interface do usuário usando o menu suspenso Filtros ou digitando uma consulta de pesquisa.

Para saber como exibir o log de auditoria da empresa, confira "Como acessar o log de auditoria da sua empresa".

Observação: os eventos Git não estão incluídos nos resultados da pesquisa.

Use também a API para recuperar eventos de log de auditoria. Para obter mais informações, confira "Como usar a API do log de auditoria para sua empresa".

Observe que não é possível pesquisar entradas usando texto. No entanto, é possível criar consultas de pesquisa usando diversos filtros. Muitos operadores usados na consultar do log, como -, > ou <, correspondem ao mesmo formato que a pesquisa no GitHub Enterprise Cloud. Para obter mais informações, confira "Sobre a pesquisa no GitHub".

Observação: O log de auditoria lista os eventos disparados por atividades que afetam sua empresa nos últimos 180 dias. O log de auditoria mantém os eventos do Git por sete dias.

Por padrão, são exibidos apenas os eventos dos últimos três meses. Para ver eventos mais antigos, você deve especificar um intervalo de datas com o parâmetro created. Para obter mais informações, confira "Noções básicas de sintaxe de pesquisa".

Pesquisar filtros de consulta

FiltrarDescrição
Yesterday's activityTodas as ações criadas no último dia.
Enterprise account managementTodas as ações na categoria business.
Organization membershipTodas as ações de quando um novo usuário foi convidado a ingressar em uma organização.
Team managementTodas as ações relacionadas ao gerenciamento da equipe.
– Quando uma conta de usuário ou um repositório foi adicionado a uma equipe ou removido dela
– Quando um mantenedor da equipe foi promovido ou rebaixado
– Quando uma equipe foi excluída
Repository managementTodas as ações do gerenciamento do repositório.
– Quando um repositório foi criado ou excluído
– Quando a visibilidade do repositório foi alterada
– Quando uma equipe foi adicionada ou removida de um repositório
Billing updatesTodas as ações referentes à forma de pagamento do GitHub pela sua empresa e à data de alteração do seu endereço de email de cobrança.
Hook activityTodas as ações de webhooks e ganchos de pré-recebimento.
Security managementTodas as ações referentes a chaves SSH, chaves de implantação, chaves de segurança, 2FA e autorização de credencial de logon único do SAML e alertas de vulnerabilidade para repositórios.

Sintaxe de consulta de pesquisa

Você pode redigir uma consulta de pesquisa de um ou mais pares key:value, separados por operadores lógicos AND/OR. Por exemplo, para ver todas as ações que afetaram o repositório octocat/Spoon-Knife desde o início de 2017:

repo:"octocat/Spoon-Knife" AND created:>=2017-01-01

Os pares key:valueque podem ser usados em uma consulta de pesquisa são:

ChaveValor
actionNome da ação auditada.
actorNome da conta de usuário que iniciou a ação.
createdHora em que a ação ocorreu.
countryNome do país em que o agente estava ao realizar a ação.
country_codeCódigo curto de duas letras do país em que o agente estava ao realizar a ação.
hashed_tokenO token usado a fim de autenticar-se para a ação (se aplicável, confira "Identificar eventos de log de auditoria executados por um token de acesso").
ipEndereço IP do agente.
operationTipo de operação que corresponde à ação. Os tipos de operação são create, access, modify, remove, authentication, transfer e restore.
repositoryNome com o proprietário do repositório em que a ação ocorreu (como octocat/octo-repo).
userNome do usuário afetado pela ação.

Para ver as ações agrupadas por categoria, use também o qualificador de ação como um par key:value. Para obter mais informações, confira "Pesquisa com base na ação executada".

Para ver uma lista completa das ações no log de auditoria da sua empresa, confira "Auditar eventos de log para sua empresa".

Pesquisar no log de auditoria

Pesquisar com base em operação

Use o qualificador operation para limitar as ações a tipos específicos de operações. Por exemplo:

  • operation:access localiza todos os eventos em que um recurso foi acessado.
  • operation:authentication localiza todos os eventos em que um evento de autenticação foi realizado.
  • operation:create localiza todos os eventos em que um recurso foi criado.
  • operation:modify localiza todos os eventos em que um recurso existente foi modificado.
  • operation:remove localiza todos os eventos em que um recurso existente foi removido.
  • operation:restore localiza todos os eventos em que um recurso existente foi restaurado.
  • operation:transfer localiza todos os eventos em que um recurso existente foi transferido.

Pesquisar com base no repositório

Use o qualificador repo para limitar as ações a um repositório específico. Por exemplo:

  • repo:my-org/our-repo localiza todos os eventos que ocorreram no repositório our-repo na organização my-org.
  • repo:my-org/our-repo repo:my-org/another-repo localiza todos os eventos que ocorreram nos repositórios our-repo e another-repo na organização my-org.
  • -repo:my-org/not-this-repo exclui todos os eventos que ocorreram no repositório not-this-repo na organização my-org.

Observe que você deve incluir o nome da conta no qualificador repo; a busca apenas por repo:our-repo não funcionará.

Pesquisar com base no usuário

O qualificador actor pode definir o escopo de eventos com base no autor da ação. Por exemplo:

  • actor:octocat localiza todos os eventos realizados por octocat.
  • actor:octocat actor:hubot localiza todos os eventos realizados por octocat ou hubot.
  • -actor:hubot exclui todos os eventos realizados por hubot.

Observe que só é possível usar um nome de usuário do GitHub Enterprise Cloud, e não o nome verdadeiro da pessoa.

Pesquisar com base na ação

Para pesquisar eventos específicos, use o qualificador action na consulta. Por exemplo:

  • action:team localiza todos os eventos agrupados na categoria da equipe.
  • -action:hook exclui todos os eventos na categoria do webhook.

Cada categoria tem um conjunto de ações associadas que você pode filtrar. Por exemplo:

  • action:team.create localiza todos os eventos em que uma equipe foi criada.
  • -action:hook.events_changed exclui todos os eventos em que os eventos em um webhook foram alterados.

As ações que podem ser encontradas no log de auditoria da sua empresa são agrupadas nas seguintes categorias:

Nome da categoriaDescrição
accountContém atividades relacionadas a uma conta da organização.
advisory_creditContém atividades relacionadas ao crédito de um colaborador de uma consultoria de segurança no GitHub Advisory Database. Para obter mais informações, confira "Sobre os avisos de segurança do repositório".
artifactContém atividades relacionadas aos artefatos de execução de fluxo de trabalho do GitHub Actions.
audit_log_streamingContém atividades relacionadas aos logs de auditoria de streaming para organizações em uma conta corporativa.
billingContém atividades relacionadas à cobrança de uma organização.
businessContém atividades relacionadas às configurações corporativas de uma empresa.
business_advanced_securityContém as atividades relacionadas ao GitHub Advanced Security em uma empresa. Para obter mais informações, confira "Como gerenciar os recursos do GitHub Advanced Security na empresa".
business_secret_scanningContém as atividades relacionadas a secret scanning em uma empresa. Para obter mais informações, confira "Como gerenciar os recursos do GitHub Advanced Security na empresa".
business_secret_scanning_automatic_validity_checksContém atividades relacionadas à habilitação ou desabilitação de verificações de validade automáticas do secret scanning em uma empresa. Para obter mais informações, confira "Como gerenciar os recursos do GitHub Advanced Security na empresa".
business_secret_scanning_custom_patternContém atividades relacionadas aos padrões de secret scanning em uma empresa.
business_secret_scanning_custom_pattern_push_protectionContém as atividades no nível do repositório relacionadas à proteção por push de um padrão personalizado da secret scanning em uma empresa. Para obter mais informações, confira "Definir padrões personalizados para a verificação de segredo".
business_secret_scanning_push_protectionContém as atividades relacionadas ao recurso de proteção contra push do secret scanning em uma empresa. Para obter mais informações, confira "Como gerenciar os recursos do GitHub Advanced Security na empresa".
business_secret_scanning_push_protection_custom_messageContém as atividades relacionadas à mensagem personalizada exibida quando a proteção contra push é disparada em uma empresa. Para obter mais informações, confira "Como gerenciar os recursos do GitHub Advanced Security na empresa".
checksContém atividades relacionadas aos pacotes de verificação e às execuções.
codespacesContém atividades relacionadas aos codespaces de uma organização.
commit_commentContém atividades relacionadas à atualização ou à exclusão de comentários de commit.
dependabot_alertsContém as atividades de configuração no nível da organização para Dependabot alerts em repositórios existentes. Para obter mais informações, confira "Sobre alertas do Dependabot".
dependabot_alerts_new_reposContém atividades de configuração no nível da organização para Dependabot alerts em novos repositórios criados na organização.
dependabot_repository_accessContém atividades relacionadas aos repositórios privados de uma organização que o Dependabot tem permissão para acessar.
dependabot_security_updatesContém as atividades de configuração no nível da organização para Dependabot security updates em repositórios existentes. Para obter mais informações, confira "Configurando as atualizações de segurança do Dependabot".
dependabot_security_updates_new_reposContém atividades de configuração de nível da organização nas Dependabot security updates para os repositórios criados na organização.
dependency_graphContém atividades de configuração no nível da organização dos grafos de dependências nos repositórios. Para obter mais informações, confira "Sobre o gráfico de dependências".
dependency_graph_new_reposContém atividades de configuração no nível da organização para novos repositórios criados na organização.
dotcom_connectionContém atividades relacionadas ao GitHub Connect.
enterpriseContém atividades relacionadas às configurações da empresa.
enterprise_domainContém atividades relacionadas aos domínios corporativos verificados.
enterprise_installationContém atividades relacionadas aos GitHub Apps associados a uma conexão corporativa do GitHub Connect.
environmentContém atividades relacionadas a ambientes do GitHub Actions.
hookContém atividades relacionadas a webhooks.
integrationContém atividades relacionadas às integrações de uma conta.
integration_installationContém atividades relacionadas às integrações instaladas em uma conta.
integration_installation_requestContém atividades relacionadas às solicitações de membros da organização para proprietários aprovarem integrações para uso na organização.
ip_allow_listContém atividades relacionadas à habilitação ou à desabilitação da lista de permissões de IP para uma organização.
ip_allow_list_entryContém atividades relacionadas à criação, à exclusão e à edição de uma entrada na lista de permissões de IP para uma organização.
issueContém atividades relacionadas à fixação, à transferência ou à exclusão de um problema em um repositório.
issue_commentContém atividades relacionadas à fixação, à transferência ou à exclusão de comentários em um problema.
issuesContém atividades relacionadas à habilitação ou à desabilitação da criação de problemas para uma organização.
marketplace_agreement_signatureContém atividades relacionadas à assinatura do Contrato de Desenvolvedor do GitHub Marketplace.
marketplace_listingContém atividades relacionadas aos aplicativos de listagem do GitHub Marketplace.
members_can_create_pagesContém atividades relacionadas ao gerenciamento da publicação de sites do GitHub Pages para repositórios na organização. Para obter mais informações, confira "Gerenciar a publicação dos sites do GitHub Pages para a sua organização".
members_can_create_private_pagesContém atividades relacionadas ao gerenciamento da publicação de sites privados do GitHub Pages para repositórios na organização.
members_can_create_public_pagesContém atividades relacionadas ao gerenciamento da publicação de sites públicos do GitHub Pages para repositórios na organização.
members_can_delete_reposContém atividades relacionadas à habilitação ou à desabilitação da criação de repositórios para uma organização.
members_can_view_dependency_insightsContém atividades de configuração no nível da organização que permitem que os membros da organização vejam insights de dependência.
migrationContém atividades relacionadas à transferência de dados de um local de origem (como uma organização do GitHub.com ou uma instância do GitHub Enterprise Server) para uma instância de destino do GitHub Enterprise Server.
oauth_accessContém atividades relacionadas aos tokens de acesso OAuth.
oauth_applicationContém atividades relacionadas a OAuth apps.
oauth_authorizationContém atividades relacionadas à autorização de OAuth apps.
orgContém atividades relacionadas à associação a uma organização.
org_credential_authorizationContém atividades relacionadas à autorização de credenciais para uso com o logon único do SAML.
org_secret_scanning_automatic_validity_checksContém atividades relacionadas à habilitação ou desabilitação de verificações de validade automáticas do secret scanning em uma organização. Para obter mais informações, confira "Gerenciando as configurações de segurança e de análise da sua organização".
org_secret_scanning_custom_patternContém atividades relacionadas aos padrões de secret scanning em uma organização. Para obter mais informações, confira "Definir padrões personalizados para a verificação de segredo".
organization_default_labelContém atividades relacionadas aos rótulos padrão em uma organização.
organization_domainContém atividades relacionadas aos domínios da organização verificados.
organization_projects_changeContém atividades relacionadas aos projetos (clássico) de toda a organização em uma empresa.
pages_protected_domainContém atividades relacionadas aos domínios personalizados verificados do GitHub Pages.
payment_methodContém atividades relacionadas à forma de pagamento do GitHub de uma organização.
prebuild_configurationContém atividades relacionadas às configurações de pré-build do GitHub Codespaces.
private_repository_forkingContém atividades relacionadas à permissão de forks de repositórios privados e internos para um repositório, uma organização ou uma empresa.
profile_pictureContém atividades relacionadas à imagem de perfil de uma organização.
projectContém atividades relacionadas aos projetos.
project_fieldContém atividades relacionadas à criação e à exclusão de campos em um projeto.
project_viewContém atividades relacionadas à criação e à exclusão de exibições em um projeto.
protected_branchContém atividades relacionadas aos branches protegidos.
public_keyContém atividades relacionadas às chaves SSH e às chaves de implantação.
pull_requestContém atividades relacionadas às solicitação de pull.
pull_request_reviewContém atividades relacionadas às revisões de solicitação de pull.
pull_request_review_commentContém atividades relacionadas aos comentários de revisão de solicitação de pull.
repoContém atividades relacionadas aos repositórios pertencentes a uma organização.
repository_advisoryContém atividades de nível do repositório relacionadas às consultorias de segurança no GitHub Advisory Database. Para obter mais informações, confira "Sobre os avisos de segurança do repositório".
repository_content_analysisContém atividades relacionadas à habilitação ou desabilitação do uso de dados para um repositório privado. Para obter mais informações, confira "Gerenciando as configurações de segurança e análise do repositório".
repository_dependency_graphContém atividades de nível do repositório relacionadas à habilitação ou à desabilitação do grafo de dependência em um repositório privado . Para obter mais informações, confira "Sobre o gráfico de dependências".
repository_imageContém atividades relacionadas a imagens para um repositório.
repository_invitationContém atividades relacionadas a convites para ingresso em um repositório.
repository_projects_changeContém atividades relacionadas à habilitação de projetos em um repositório ou em todos os repositórios de uma organização.
repository_secret_scanningContém atividades de nível do repositório relacionadas à secret scanning. Para obter mais informações, confira "Sobre a verificação de segredo".
repository_secret_scanning_automatic_validity_checksContém atividades relacionadas à habilitação ou desabilitação de verificações de validade automáticas do secret scanning em um repositório. Para obter mais informações, confira "Configurar a verificação de segredo para seus repositórios".
repository_secret_scanning_custom_patternContém atividades relacionadas aos padrões personalizados de secret scanning em um repositório. Para obter mais informações, confira "Definir padrões personalizados para a verificação de segredo".
repository_secret_scanning_custom_pattern_push_protectionContém as atividades no nível do repositório relacionadas à proteção por push de um padrão personalizado da secret scanning em um repositório. Para obter mais informações, confira "Definir padrões personalizados para a verificação de segredo".
repository_secret_scanning_push_protectionContém atividades relacionadas ao recurso de proteção de push de secret scanning em um repositório. Para obter mais informações, confira "Proteção por push para repositórios e organizações".
repository_visibility_changeContém atividades relacionadas à permissão de que os membros da organização alterem a visibilidade do repositório para a organização.
repository_vulnerability_alertContém atividades relacionadas a Dependabot alerts.
repository_vulnerability_alertsContém atividades de configuração no nível do repositório em relação a Dependabot alerts.
required_status_checkContém atividades relacionadas às verificações de status obrigatórias em branches protegidos.
restrict_notification_deliveryContém atividades relacionadas à restrição de notificações por email para domínios aprovados ou verificados em uma empresa.
roleContém atividades relacionadas a funções de repositório personalizadas.
secret_scanningContém atividades de configuração de nível da organização para a secret scanning em repositórios existentes. Para obter mais informações, confira "Sobre a verificação de segredo".
secret_scanning_new_reposContém as atividades de configuração no nível da organização da secret scanning nos novos repositórios criados na organização.
security_keyContém atividades relacionadas ao registro e à remoção de chaves de segurança.
sponsorsContém eventos relacionados a botões de patrocinador (confira "Exibir botão de patrocinador no repositório").
ssh_certificate_authorityContém atividades relacionadas a uma autoridade de certificação SSH em uma organização ou uma empresa.
ssh_certificate_requirementContém atividades relacionadas ao requisito de que os membros usem certificados SSH para acessar recursos da organização.
staffContém atividades relacionadas a um administrador do site que executa uma ação.
teamContém atividades relacionadas a equipes em uma organização.
team_sync_tenantContém atividades relacionadas à sincronização de equipe com um IdP para uma empresa ou organização.
userContém atividades relacionadas aos usuários em uma empresa ou organização.
user_licenseContém atividades relacionadas a um usuário que ocupa uma estação licenciada e que é membro de uma empresa.
workflowsContém atividades relacionadas a fluxos de trabalho do GitHub Actions.

Pesquisar com base na hora da ação

Use o qualificador created para filtrar eventos no log de auditoria com base na data em que eles ocorreram.

A formatação de data precisa seguir o padrão ISO8601, que é YYYY-MM-DD (ano-mês-dia). Adicione também informações de hora THH:MM:SS+00:00 opcionais após a data, para fazer a pesquisa por hora, minuto e segundo. Isso é T, seguido de HH:MM:SS (hora-minutos-segundos) e uma diferença UTC (+00:00).

Ao pesquisar uma data, você pode usar qualificadores de maior que, menor que e intervalo para filtrar os resultados ainda mais. Para obter mais informações, confira "Noções básicas de sintaxe de pesquisa".

Por exemplo:

  • created:2014-07-08 localiza todos os eventos ocorridos em 8 de julho de 2014.
  • created:>=2014-07-08 localiza todos os eventos ocorridos em 8 de julho de 2014 ou após essa data.
  • created:<=2014-07-08 localiza todos os eventos ocorridos em 8 de julho de 2014 ou antes dessa data.
  • created:2014-07-01..2014-07-31 localiza todos os eventos ocorridos no mês de julho de 2014.

Pesquisar com base no local

Usando o qualificador country, você pode filtrar eventos no log de auditoria com base no país de origem. Use o código curto de duas letras ou o nome completo de um país/região. Os países/regiões com espaços no nome precisarão ser colocados entre aspas. Por exemplo:

  • country:de localiza todos os eventos ocorridos na Alemanha.
  • country:Mexico localiza todos os eventos ocorridos no México.
  • country:"United States" localiza todos os eventos ocorridos nos Estados Unidos.

Pesquisar com base no token que executou a ação

Use o qualificador hashed_token para pesquisar com base no token que executou a ação. Antes de procurar um token, gere um hash SHA-256. Para obter mais informações, confira "Identificar eventos de log de auditoria executados por um token de acesso".