Passer au contenu principal
Les organisations GitHub Team et Free doivent utiliser l’intégration GitHub, qui collecte les événements de sécurité disponibles via les webhooks de GitHub App.
L’intégration GitHub Enterprise Cloud importe dans Wirespeed les événements d’audit d’organisation. Ces événements couvrent l’activité web et Git, comme les modifications de l’appartenance à l’organisation, des dépôts, des autorisations, des paramètres et de l’authentification. Wirespeed indexe les adresses IP et les noms d’utilisateur des acteurs pour l’investigation et la détection des menaces.

​
Avant de connecter l’intégration

  • Vérifiez que l’organisation utilise GitHub Enterprise Cloud, requis pour accéder au journal d’audit de l’organisation.
  • Assurez-vous qu’un propriétaire de l’organisation GitHub est disponible pour effectuer ou approuver l’installation de la GitHub App Wirespeed.
  • Examinez et acceptez l’autorisation en lecture seule Organization administration de l’App. L’App ne peut pas modifier les dépôts, les paramètres de l’organisation, les membres ni le code.
  • Pour les investigations et les détections fondées sur l’IP, activez la divulgation de l’IP source sous Organization Settings → Logs → Audit log → Settings.

​
Connecter GitHub Enterprise Cloud

  1. Dans Wirespeed, ouvrez Paramètres → Intégrations et sélectionnez GitHub Enterprise Cloud.
  2. Lisez ces instructions, puis sélectionnez Intégrer.
  3. Dans GitHub, choisissez l’organisation Enterprise Cloud à surveiller.
  4. Examinez l’autorisation d’organisation en lecture seule demandée et installez la GitHub App Wirespeed.
  5. Autorisez l’App lorsque GitHub vous y invite. GitHub vous renvoie vers Wirespeed une fois la connexion prête.
Répétez la procédure de connexion pour chaque organisation à surveiller.
La suppression de la connexion Wirespeed ne désinstalle pas la GitHub App. Pour connecter de nouveau la même organisation, désinstallez l’App dans GitHub (Organization Settings → GitHub Apps), puis reconnectez l’organisation depuis Wirespeed afin que GitHub puisse relancer le flux d’installation OAuth.
Wirespeed utilise le jeton GitHub de courte durée de l’utilisateur qui donne l’autorisation uniquement pour vérifier l’accès à l’installation sélectionnée. L’interrogation périodique utilise un jeton d’installation valable une heure, régénéré automatiquement ; le jeton de l’utilisateur n’est pas conservé.

​
Collecte des données

La première synchronisation importe jusqu’à sept jours d’événements d’audit d’organisation disponibles. Les synchronisations suivantes reprennent à partir du dernier événement ingéré avec succès et incluent les événements web et Git.
La divulgation de l’IP source est désactivée par défaut. Les événements d’audit sont tout de même ingérés lorsqu’elle est désactivée, mais ils n’incluent pas l’adresse IP de l’acteur utilisée par les investigations et les détections fondées sur l’IP.
GitHub peut renvoyer 403 ou 404 lorsque l’organisation n’est pas sur Enterprise Cloud ou que l’App ne dispose pas de l’autorisation de lecture Organization administration. Wirespeed signale cet état sur l’intégration plutôt que de collecter des données d’audit partielles.

​
Détections

Wirespeed inclut des détections gérées de base pour les modifications de la liste d’IP autorisées de l’organisation, les attributions du rôle de propriétaire, les modifications des exigences SAML et d’authentification à deux facteurs, ainsi que les octrois de jetons d’accès personnels, d’OAuth Apps ou de GitHub Apps.