Zum Hauptinhalt springen
Organisationen mit GitHub Team oder Free sollten die GitHub-Integration verwenden, die die über Webhooks der GitHub App verfügbaren Sicherheitsereignisse erfasst.
Die Integration GitHub Enterprise Cloud importiert Audit-Ereignisse von Organisationen in Wirespeed. Dazu gehören Web- und Git-Aktivitäten, etwa Änderungen an Organisationsmitgliedschaften, Repositorys, Berechtigungen, Einstellungen und Authentifizierung. Wirespeed indiziert IP-Adressen und Benutzernamen der Akteure für Untersuchungen und Bedrohungsdetektion.

​
Vor dem Verbinden

  • Vergewissern Sie sich, dass die Organisation GitHub Enterprise Cloud nutzt; dies ist für den Zugriff auf das Audit-Log der Organisation erforderlich.
  • Stellen Sie sicher, dass ein Owner der GitHub-Organisation verfügbar ist, um die Installation der Wirespeed GitHub App abzuschließen oder zu genehmigen.
  • Prüfen und akzeptieren Sie die schreibgeschützte Berechtigung Organization administration der App. Die App kann keine Repositorys, Organisationseinstellungen, Mitglieder oder Code ändern.
  • Für IP-basierte Untersuchungen und Detektionen aktivieren Sie die Offenlegung der Quell-IP unter Organization Settings → Logs → Audit log → Settings.

​
GitHub Enterprise Cloud verbinden

  1. Öffnen Sie in Wirespeed Einstellungen → Integrationen und wählen Sie GitHub Enterprise Cloud.
  2. Lesen Sie diese Anleitung und wählen Sie dann Integrieren.
  3. Wählen Sie in GitHub die Enterprise-Cloud-Organisation, die Sie überwachen möchten.
  4. Prüfen Sie die angeforderte schreibgeschützte Organisationsberechtigung und installieren Sie die Wirespeed GitHub App.
  5. Autorisieren Sie die App, wenn GitHub Sie dazu auffordert. GitHub leitet Sie zu Wirespeed zurück, sobald die Verbindung bereit ist.
Wiederholen Sie den Verbindungsvorgang für jede Organisation, die überwacht werden soll.
Das Löschen der Wirespeed-Verbindung deinstalliert die GitHub App nicht. Um dieselbe Organisation erneut zu verbinden, deinstallieren Sie die App in GitHub (Organization Settings → GitHub Apps) und verbinden Sie sie anschließend erneut aus Wirespeed, damit GitHub den OAuth-Installationsablauf erneut ausführen kann.
Wirespeed verwendet das kurzlebige GitHub-Token des autorisierenden Benutzers nur, um den Zugriff auf die ausgewählte Installation zu prüfen. Für das Polling wird ein einstündiges Installationstoken verwendet, das automatisch neu erzeugt wird; das Token des Benutzers wird nicht gespeichert.

​
Datenerfassung

Die erste Synchronisierung importiert die verfügbaren Audit-Ereignisse der Organisation aus bis zu sieben Tagen. Spätere Synchronisierungen setzen beim zuletzt erfolgreich erfassten Ereignis fort und umfassen sowohl Web- als auch Git-Ereignisse.
Die Offenlegung der Quell-IP ist standardmäßig deaktiviert. Audit-Ereignisse werden auch dann erfasst, wenn sie deaktiviert ist, enthalten dann aber nicht die IP-Adresse des Akteurs, die für IP-basierte Untersuchungen und Detektionen verwendet wird.
GitHub kann 403 oder 404 zurückgeben, wenn die Organisation nicht Enterprise Cloud nutzt oder die App keine Leseberechtigung für Organization administration hat. Wirespeed meldet diesen Zustand an der Integration, statt unvollständige Audit-Daten zu erfassen.

​
Detektionen

Wirespeed enthält einen Grundstock verwalteter Detektionen für Änderungen an der IP-Zulassungsliste der Organisation, Zuweisungen der Owner-Rolle, Änderungen an SAML- und Zwei-Faktor-Anforderungen sowie Berechtigungserteilungen für Personal Access Tokens, OAuth Apps oder GitHub Apps.