Доступ к журналу аудита

В журнале аудита приведены события, активируемые действиями, влияющими на организацию в течение текущего месяца и предыдущих шести месяцев. Только владельцы могут иметь доступ к журналу аудита организации.

По умолчанию отображаются только события за последние три месяца. Чтобы увидеть старые события, необходимо указать диапазон дат с параметром created. Дополнительные сведения см. в разделе Основные сведения о синтаксисе поиска.

1. В правом верхнем углу GitHub.com щелкните фотографию профиля, а затем щелкните Ваши организации.

   

2. Рядом с организацией щелкните Параметры.

3. В разделе "Архивы" боковой панели щелкните Журналы, а затем щелкните Журнал аудита.

Поиск в журнале аудита

Имя каждой записи в журнале аудита состоит из квалификатора объекта или категории action и типа операции. Например, запись repo.create указывает на операцию create в категории repo.

Каждая запись в журнале аудита содержит применимые сведения о событии, например:

• предприятие или организация, в которых было выполнено действие;
• Пользователь (субъект), выполнивший действие
• Пользователь, на которого повлияло действие
• Репозиторий, в котором было выполнено действие
• Действие, которое было выполнено
• Страна, в которой было выполнено действие
• Дата и время выполнения действия
• (Необязательно) Исходный IP-адрес пользователя (субъекта), выполнившего действие

Обратите внимание, что поиск записей по тексту невозможен. При этом можно составлять поисковые запросы, используя различные фильтры. Многие операторы, используемые в запросах к журналу, например -, > и <, используются в том же формате, что и при поиске в GitHub Enterprise Cloud. Дополнительные сведения см. в разделе Сведения о поиске в GitHub.

Поиск по операции

Чтобы ограничить действия определенными типами операций, используйте квалификатор operation. Пример:

• operation:access находит все события, в которых осуществлялся доступ к ресурсу.
• operation:authentication находит все события, в которых происходило событие проверки подлинности.
• operation:create находит все события, в которых создавался ресурс.
• operation:modify находит все события, в которых изменялся существующий ресурс.
• operation:remove находит все события, в которых удалялся существующий ресурс.
• operation:restore находит все события, в которых восстанавливался существующий ресурс.
• operation:transfer находит все события, в которых переносился существующий ресурс.

Поиск по репозиторию

Чтобы ограничить действия определенным репозиторием, используйте квалификатор repo. Пример:

• repo:my-org/our-repo находит все произошедшие события для репозитория our-repo в организации my-org.
• repo:my-org/our-repo repo:my-org/another-repo находит все произошедшие события для репозиториев our-repo и another-repo в организации my-org.
• -repo:my-org/not-this-repo исключает все произошедшие события для репозитория not-this-repo в организации my-org.

Обратите внимание, что в квалификатор необходимо включить имя учетной записи repo. Поиск просто по запросу repo:our-repo работать не будет.

Поиск по пользователю

Квалификатор actor может ограничивать события в зависимости от того, кто выполнил действие. Пример:

• actor:octocat находит все события, выполненные пользователем octocat.
• actor:octocat actor:hubot находит все события, выполняемые octocat или hubot.
• -actor:hubot исключает все события, выполненные пользователем hubot.

Обратите внимание, что можно использовать только имя пользователя GitHub Enterprise Cloud; фактическое имя использовать нельзя.

Поиск с учетом выполненного действия

Для поиска определенных событий используйте квалификатор action в запросе. Действия, перечисленные в журнале аудита, группируются по разным категориям. Полный список событий в каждой категории см. в разделе События журнала аудита для вашей организации.

| Имя категории | Описание |------------------|------------------- | account | Содержит все действия, связанные с учетной записью организации. | advisory_credit | Содержит все действия, связанные с зачислением участник для рекомендаций по безопасности в GitHub Advisory Database. Дополнительные сведения см. в разделе Сведения о рекомендациях по безопасности репозитория.
| auto_approve_personal_access_token_requests | Содержит действия, связанные с политикой утверждения организации для fine-grained personal access tokens. Дополнительные сведения см. в разделе Настройка политики личного маркера доступа для организации. | billing | Содержит все действия, связанные с выставлением счетов в вашей организации. | business | Содержит действия, связанные с бизнес-параметрами для предприятия. | | codespaces | Содержит все действия, связанные с codespace вашей организации. | | dependabot_alerts | Содержит действия по настройке на уровне организации для Dependabot alerts в существующих репозиториях. Дополнительные сведения см. в разделе Сведения об оповещениях Dependabot. | dependabot_alerts_new_repos | Содержит действия по настройке на уровне организации для Dependabot alerts в новых репозиториях, созданных в организации. | dependabot_security_updates | Содержит действия конфигурации на уровне организации для Dependabot security updates в существующих репозиториях. Дополнительные сведения см. в разделе Настройка обновлений для системы безопасности Dependabot. | dependabot_security_updates_new_repos | Содержит действия по настройке на уровне организации для Dependabot security updates для новых репозиториев, созданных в организации. | dependency_graph | Содержит действия по настройке на уровне организации для графов зависимостей для репозиториев. Дополнительные сведения см. в разделе Сведения о графе зависимостей. | dependency_graph_new_repos | Содержит действия по настройке на уровне организации для новых репозиториев, созданных в организации. | discussion_post | Содержит все действия, связанные с обсуждениями, опубликованными на странице команды. | discussion_post_reply | Содержит все действия, связанные с ответами на обсуждения, опубликованные на странице команды. | enterprise | Содержит действия, связанные с корпоративными настройками. | | hook | Содержит все действия, связанные с веб-перехватчиками. | integration_installation | Содержит действия, связанные с интеграциями, установленными в учетной записи. | | integration_installation_request | Содержит все действия, связанные с запросами участников организации, чтобы владельцы утверждали интеграции для использования в организации. | | ip_allow_list | Содержит действия, связанные с включением или отключением списка разрешенных IP-адресов для организации. | ip_allow_list_entry | Содержит действия, связанные с созданием, удалением и редактированием записи списка разрешенных IP-адресов для организации. | issue | Содержит действия, связанные с удалением проблемы. | marketplace_agreement_signature | Содержит все действия, связанные с подписанием соглашения с разработчиком GitHub Marketplace. | marketplace_listing | Содержит все действия, связанные с перечислением приложений в GitHub Marketplace. | members_can_create_pages | Содержит все действия, связанные с управлением публикацией сайтов GitHub Pages для репозиториев в организации. Дополнительные сведения см. в разделе Управление публикацией сайтов GitHub Pages для организации. | | org | Содержит действия, связанные с членством в организации. | org_credential_authorization | Содержит все действия, связанные с авторизацией учетных данных для использования с единым входом SAML.

| org_secret_scanning_custom_pattern | Содержит действия на уровне организации, связанные с пользовательскими шаблонами secret scanning. Дополнительные сведения см. в разделе Определение пользовательских шаблонов для проверки секретов. | organization_default_label | Содержит все действия, связанные с метками по умолчанию для репозиториев в организации. | oauth_application | Содержит все действия, связанные с приложениями OAuth. | packages | Содержит все действия, связанные с GitHub Packages. | payment_method | Содержит все действия, связанные с тем, как ваша организация платит за GitHub.

| personal_access_token | Содержит действия, связанные с fine-grained personal access tokens в вашей организации. Дополнительные сведения см. в разделе Управление личными маркерами доступа. | profile_picture| Содержит все действия, связанные с изображением профиля вашей организации. | project | Содержит все действия, связанные с панелями проекта. | protected_branch | Содержит все действия, связанные с защищенными ветвями. | repo | Содержит действия, связанные с репозиториями, принадлежащими вашей организации. | repository_advisory | Содержит действия уровня репозитория, связанные с советами по безопасности в GitHub Advisory Database. Дополнительные сведения см. в разделе Сведения о рекомендациях по безопасности репозитория. | repository_content_analysis | Содержит все действия, связанные с включением или отключением использования данных для частного репозитория. | repository_dependency_graph | Содержит действия уровня репозитория, связанные с включением или отключением графа зависимостей для закрытого репозитория. Дополнительные сведения см. в разделе Сведения о графе зависимостей.

| repository_secret_scanning | Содержит действия уровня репозитория, связанные с secret scanning. Дополнительные сведения см. в разделе Сведения о проверке секретов.
| repository_secret_scanning_custom_pattern | Содержит действия уровня репозитория, связанные с пользовательскими шаблонами secret scanning. Дополнительные сведения см. в разделе Определение пользовательских шаблонов для проверки секретов.
| repository_secret_scanning_custom_pattern_push_protection| Содержит действия уровня репозитория, связанные с принудительной защитой пользовательского шаблона для secret scanning. Дополнительные сведения см. в разделе Определение пользовательских шаблонов для проверки секретов.
| repository_secret_scanning_push_protection | Содержит действия уровня репозитория, связанные с пользовательскими шаблонами secret scanning. Дополнительные сведения см. в разделе Защита отправок с помощью сканирования секретов. | repository_vulnerability_alert | Содержит все действия, связанные с Dependabot alerts. | repository_vulnerability_alerts | Содержит действия конфигурации уровня репозитория для Dependabot alerts.
| role | Содержит все действия, связанные с пользовательскими ролями репозитория.

| secret_scanning | Содержит действия конфигурации на уровне организации для secret scanning в существующих репозиториях. Дополнительные сведения см. в разделе Сведения о проверке секретов. | secret_scanning_new_repos | Содержит действия по настройке на уровне организации для secret scanning для новых репозиториев, созданных в организации. | sponsors| Содержит все события, связанные с кнопками спонсора (см. раздел "Отображение кнопки спонсора в репозитории") | team | Содержит все действия, связанные с командами в вашей организации. | workflows | Содержит действия, связанные с рабочими процессами GitHub Actions.

Вы можете искать конкретные наборы действий с помощью этих терминов. Пример:

• action:team находит все события, сгруппированные в категории команды.
• -action:hook исключает все события в категории веб-перехватчика.

Каждая категория содержит набор связанных действий, для которых можно выполнить фильтрацию. Пример:

• action:team.create находит все события, в которых создавалась команда.
• -action:hook.events_changed исключает все события, в рамках которых изменялись события в веб-перехватчике.

Поиск с учетом времени действия

Используйте квалификатор created для фильтрации событий в журнале аудита с учетом времени их возникновения. Форматы дат должны соответствовать стандарту ISO8601: YYYY-MM-DD (год-месяц-день). Кроме того, можно добавить дополнительные сведения о времени THH:MM:SS+00:00 после даты, чтобы выполнить поиск по часам, минутам и секундам. Это T, а затем идет HH:MM:SS (час, минуты, секунды) и смещение от UTC (+00:00).

При поиске по дате можно использовать квалификаторы "больше", "меньше" и "диапазон" для дополнительной фильтрации результатов. Дополнительные сведения см. в разделе Основные сведения о синтаксисе поиска.

Пример:

• created:2014-07-08 находит все события, произошедшие 8 июля 2014 г.
• created:>=2014-07-08 находит все события, произошедшие после 8 июля 2014 г.
• created:<=2014-07-08 находит все события, произошедшие до 8 июля 2014 г.
• created:2014-07-01..2014-07-31 находит все события, произошедшие в июле 2014 г.

Поиск по расположению

С помощью квалификатора country можно выполнить фильтрацию событий в журнале аудита с учетом страны-происхождения. Можно использовать двухбуквенный короткий код страны или ее полное название. Имейте в виду, что страны, в названиях которых есть пробелы, необходимо заключать в кавычки. Пример:

• country:de находит все события, произошедшие в Германии.
• country:Mexico находит все события, произошедшие в Мексике.
• country:"United States" находит события, произошедшие в США.

Экспорт журнала аудита

Вы можете экспортировать журнал в виде данных JSON или csv-файла с разделиниями-запятыми с помощью раскрывающегося меню Экспорт .

Чтобы отфильтровать результаты экспорта, выполните поиск по одному или нескольким из этих поддерживаемых квалификаторов, прежде чем использовать раскрывающееся меню Экспорт .

Квалификатор	Пример значения
action	team.create
actor	octocat
user	codertocat
org	octo-org
repo	octo-org/documentation
created	2019-06-01

В файле, который будет создан после экспорта журнала, вы найдете указанные ниже ключи и значения.

Ключ	Пример значения
action	team.create
actor	octocat
user	codertocat
actor_location.country_code	США
org	octo-org
repo	octo-org/documentation
created_at	1429548104000 (Метка времени показывает время, прошедшее после Epoch, в миллисекундах.)
data.email	octocat@nowhere.com
data.hook_id	245
data.events	["issues", "issue_comment", "pull_request", "pull_request_review_comment"]
data.events_were	["push", "pull_request", "issues"]
data.target_login	octocat
data.old_user	hubot
data.team	octo-org/engineering

Использование API журнала аудита

Вы можете взаимодействовать с журналом аудита с помощью API GraphQL или REST API.{ % ifversion read-audit-область %} Вы можете использовать read:audit_log область для доступа к журналу аудита через API.{ % endif %}

Использование API GraphQL

Чтобы обеспечить безопасность интеллектуальной собственности и обеспечить соответствие требованиям вашей организации, можно использовать API GraphQL журнала аудита для хранения копий данных журнала аудита и мониторинга: * обращение к параметрам вашей организации или репозитория;

• изменения в разрешениях;
• добавление или удаление пользователей в организации, репозитории или команде;
• повышение пользователей до администратора;
• Изменения разрешений GitHub App * запросов API (должны быть включены)

Обратите внимание, что вы не можете получить события Git с помощью API GraphQL. Чтобы получить события Git, используйте REST API. Дополнительные сведения см. в разделе Действия категорииgit.

Ответ GraphQL может содержать данные за 90–120 дней.

Например, вы можете создать запрос GraphQL, чтобы просмотреть всех новых участников, добавленных в вашу организацию. Дополнительные сведения см. в разделе Интерфейсы.

Использование REST API

Чтобы обеспечить безопасность интеллектуальной собственности и обеспечить соответствие требованиям вашей организации, можно использовать REST API журнала аудита для хранения копий данных журнала аудита и мониторинга: * обращение к параметрам вашей организации или репозитория;

• изменения в разрешениях;
• добавление или удаление пользователей в организации, репозитории или команде;
• повышение пользователей до администратора;
• Изменения разрешений GitHub App запросов API (должны быть включены) События Git, такие как клонирование, выборка и отправка

События Git хранятся в журнале аудита семь дней — меньше, чем другие события журнала аудита, которые могут храниться до семи месяцев.

По умолчанию возвращаются только события за последние три месяца. Чтобы включить более ранние события, необходимо указать метку времени в запросе.

Дополнительные сведения о REST API журнала аудита см. в разделе Организации.

Дополнительные материалы

• "Обеспечение безопасности организации"
• "Экспорт сведений об участниках организации"