GitHub 集成

编辑

版本

2.3.0 (查看全部)

兼容的 Kibana 版本

8.13.0 或更高版本

支持的无服务器项目类型
这是什么?

安全
可观测性

订阅级别
这是什么?

基本

支持级别
这是什么?

Elastic

GitHub 集成从 GitHub API 收集事件。

日志

编辑

审计

编辑

GitHub 审计日志记录与 GitHub 组织/企业相关的所有事件。 有关更多详细信息,请参阅组织审计日志操作企业审计日志操作

要使用此集成,必须满足以下先决条件

对于 GitHub 企业云

  • 您必须是企业所有者。
  • 您的企业帐户必须在包含审计日志访问权限的 GitHub 企业云计划中。

对于 GitHub 企业服务器

  • 您需要成为站点管理员才能访问整个实例的审计日志。
  • 审计日志是服务器部署的一部分。确保在服务器配置中启用了审计日志记录。

对于组织

  • 您必须是组织所有者。
  • 您必须使用 GitHub 企业云。
  • 该组织必须是包含审计日志功能的企业计划的一部分。

必需的范围

  • 您必须使用具有 read:audit_log 范围的个人访问令牌。这适用于组织和企业管理员。
  • 如果您是企业管理员,请确保您的令牌还包括 admin:enterprise 以访问企业范围的日志。

此集成与 GitHub 企业服务器不兼容。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

data_stream.dataset

数据流数据集名称。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

github.actor_ip

执行操作的实体的 IP 地址。

ip

github.category

GitHub 操作类别。

keyword

github.hashed_token

用于身份验证的令牌的 SHA-256 哈希值。

keyword

github.integration

触发事件的 GitHub 应用程序。

keyword

github.org

GitHub 组织名称。

keyword

github.permission

事件的 GitHub 用户权限。

keyword

github.programmatic_access_type

使用的身份验证类型。

keyword

github.repo

GitHub 存储库名称。

keyword

github.repositories_added_names

添加到 GitHub 应用程序安装的存储库的名称。

keyword

github.repositories_removed_names

从 GitHub 应用程序安装中删除的存储库的名称。

keyword

github.repository_public

GitHub 存储库是否公开可见。

布尔值

github.repository_selection

是否选择了所有存储库或是否涉及到选择。

keyword

github.team

GitHub 团队名称。

keyword

github.user_agent

执行操作的实体的用户代理。

keyword

host.containerized

主机是否为容器。

布尔值

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代号(如果有)。

keyword

input.type

Filebeat 输入的类型。

keyword

示例

audit 的示例事件如下

{
    "@timestamp": "2020-11-18T17:05:48.837Z",
    "agent": {
        "ephemeral_id": "9246e7d9-fcc1-46ab-b3fd-2d0888f2a94d",
        "id": "ad5c3ec8-3015-4cd2-a269-a2f3df062a2c",
        "name": "docker-fleet-agent",
        "type": "filebeat",
        "version": "8.12.0"
    },
    "data_stream": {
        "dataset": "github.audit",
        "namespace": "ep",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "ad5c3ec8-3015-4cd2-a269-a2f3df062a2c",
        "snapshot": false,
        "version": "8.12.0"
    },
    "event": {
        "action": "repo.destroy",
        "agent_id_status": "verified",
        "category": [
            "configuration",
            "web"
        ],
        "created": "2024-01-18T15:58:09.826Z",
        "dataset": "github.audit",
        "id": "LwW2vpJZCDS-WUmo9Z-ifw",
        "ingested": "2024-01-18T15:58:19Z",
        "kind": "event",
        "original": "{\"@timestamp\":1605719148837,\"_document_id\":\"LwW2vpJZCDS-WUmo9Z-ifw\",\"action\":\"repo.destroy\",\"actor\":\"monalisa\",\"created_at\":1605719148837,\"org\":\"mona-org\",\"repo\":\"mona-org/mona-test-repo\",\"visibility\":\"private\"}",
        "type": [
            "change"
        ]
    },
    "github": {
        "category": "repo",
        "org": "mona-org",
        "repo": "mona-org/mona-test-repo"
    },
    "input": {
        "type": "httpjson"
    },
    "related": {
        "user": [
            "monalisa"
        ]
    },
    "tags": [
        "forwarded",
        "github-audit",
        "preserve_original_event"
    ],
    "user": {
        "name": "monalisa"
    }
}

代码扫描

编辑

通过代码扫描,您可以从使用 GitHub 高级安全代码扫描功能设置的存储库中检索所有安全漏洞和编码错误。 有关更多详细信息,请参阅 关于代码扫描

要使用此集成,GitHub 应用程序必须具有 security_events 读取权限。 或者,对于私有存储库,请使用具有 security_events 范围的个人访问令牌,对于公共存储库,请使用 public_repo 范围的个人访问令牌。 请参阅 列出存储库的代码扫描警报

导出的字段
字段 描述 类型 单位 指标类型

@timestamp

事件发生时的日期/时间。 这是从事件中提取的日期/时间,通常表示事件由源生成的时间。 如果事件源没有原始时间戳,则此值通常由管道首次接收到事件的时间填充。 所有事件的必填字段。

日期

data_stream.dataset

该字段可以包含任何对于表示数据来源有意义的内容。 例如,包括 nginx.accessprometheusendpoint 等。 对于其他方面都符合,但没有设置数据集的数据流,我们使用值“generic”作为数据集的值。event.dataset 应具有与 data_stream.dataset 相同的值。 除了上面提到的 Elasticsearch 数据流命名标准之外,dataset 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。 命名空间对于允许对数据进行分组非常有用。 许多用户已经以这种方式组织了他们的索引,而数据流命名方案现在将这种最佳实践作为默认值提供。 许多用户将使用 default 填充此字段。 如果未使用任何值,则会回退到 default。 除了上面提到的 Elasticsearch 索引命名标准之外,namespace 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。 当前允许的值为“logs”和“metrics”。 我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

event.dataset

数据集的名称。 如果事件源发布多种类型的日志或事件(例如,访问日志、错误日志),则数据集用于指定事件来自哪个日志或事件。 建议但不强制以模块名称开头数据集名称,后跟一个点,然后是数据集名称。

constant_keyword

event.kind

constant_keyword

event.module

此数据来自的模块的名称。 如果您的监视代理支持模块或插件的概念来处理给定来源的事件(例如,Apache 日志),则 event.module 应包含此模块的名称。

constant_keyword

github.code_scanning.created_at

以 ISO 8601 格式创建警报的时间 - YYYY-MM-DDTHH:MM:SSZ

日期

github.code_scanning.dismissed_at

以 ISO 8601 格式解除警报的时间 - YYYY-MM-DDTHH:MM:SSZ

日期

github.code_scanning.dismissed_by.email

keyword

github.code_scanning.dismissed_by.html_url

keyword

github.code_scanning.dismissed_by.id

整数

github.code_scanning.dismissed_by.login

keyword

github.code_scanning.dismissed_by.name

keyword

github.code_scanning.dismissed_by.site_admin

布尔值

github.code_scanning.dismissed_by.type

keyword

github.code_scanning.dismissed_by.url

keyword

github.code_scanning.dismissed_comment

与解除警报相关的解除注释。

keyword

github.code_scanning.dismissed_reason

解除或关闭警报的原因。

keyword

github.code_scanning.fixed_at

以 ISO 8601 格式不再检测到警报并被视为已修复的时间 - YYYY-MM-DDTHH:MM:SSZ

日期

github.code_scanning.html_url

警报资源的 GitHub URL。

keyword

github.code_scanning.instances_url

用于获取警报实例列表的 REST API URL。

keyword

github.code_scanning.most_recent_instance.analysis_key

标识执行分析所依据的配置。 例如,在 GitHub Actions 中,这包括工作流文件名和作业名称。

keyword

github.code_scanning.most_recent_instance.category

标识执行分析所依据的配置。 用于区分同一工具和提交的多个分析,但对不同语言或代码的不同部分执行。

keyword

github.code_scanning.most_recent_instance.classifications

已应用于触发警报的文件的分类。\n例如,将其标识为文档或生成的文件。

keyword

github.code_scanning.most_recent_instance.commit_sha

GitHub 提交 SHA。

keyword

github.code_scanning.most_recent_instance.environment

标识与生成此警报实例的分析所执行的环境相关的变量值,例如分析的语言。

keyword

github.code_scanning.most_recent_instance.html_url

keyword

github.code_scanning.most_recent_instance.location.end_column

整数

github.code_scanning.most_recent_instance.location.end_line

整数

github.code_scanning.most_recent_instance.location.path

keyword

github.code_scanning.most_recent_instance.location.start_column

整数

github.code_scanning.most_recent_instance.location.start_line

整数

github.code_scanning.most_recent_instance.ref

完整的 Git 引用,格式为 refs/heads/<branch name\>,`refs/pull/<number\>/merge` 或 refs/pull/<number\>/head

keyword

github.code_scanning.most_recent_instance.state

代码扫描警报的状态。

keyword

github.code_scanning.number

安全警报编号。

整数

github.code_scanning.rule.full_description

用于检测警报的规则的描述。

文本

github.code_scanning.rule.help

GitHub Flavored Markdown 格式的规则的详细文档。

文本

github.code_scanning.rule.security_severity_level

警报的安全严重性。

keyword

github.code_scanning.rule.severity

警报的严重性。

keyword

github.code_scanning.state

代码扫描警报的状态。

keyword

github.code_scanning.time_to_resolution.sec

解除或修复警报所花费的时间(以秒为单位)。

长整型

s

度量

github.code_scanning.tool.guid

用于生成代码扫描分析的工具的 GUID(如果在上传的 SARIF 数据中提供)。

keyword

github.code_scanning.tool.name

用于生成代码扫描分析的工具的名称。

keyword

github.code_scanning.tool.version

用于生成代码扫描分析的工具的版本。

keyword

github.code_scanning.updated_at

以 ISO 8601 格式上次更新警报的时间 - YYYY-MM-DDTHH:MM:SSZ

日期

github.code_scanning.url

警报资源的 REST API URL。

keyword

github.repository.description

存储库描述。

文本

github.repository.fork

存储库是否为分支。

布尔值

github.repository.full_name

存储库的完整、全局唯一的名称。

keyword

github.repository.html_url

在 GitHub.com 上查看仓库的 URL。

keyword

github.repository.id

仓库的唯一标识符。

整数

github.repository.is_in_organization

指示仓库是由组织拥有,还是组织仓库的私有分支。

布尔值

github.repository.name

仓库的名称。

keyword

github.repository.owner.email

仓库所有者的公开电子邮件。

keyword

github.repository.owner.html_url

仓库所有者的 HTTP URL。

keyword

github.repository.owner.id

仓库所有者的 ID。

整数

github.repository.owner.login

仓库所有者的登录用户名。

keyword

github.repository.owner.name

仓库所有者的名称。

keyword

github.repository.owner.site_admin

指示所有者是否为站点管理员。

布尔值

github.repository.owner.type

仓库所有者的类型。示例 - 用户。

keyword

github.repository.owner.url

从 GitHub API 获取有关仓库所有者的更多信息的 URL。

keyword

github.repository.private

指示仓库是否为私有仓库。

布尔值

github.repository.url

从 GitHub API 获取有关仓库的更多信息的 URL。

keyword

host.containerized

主机是否为容器。

布尔值

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代号(如果有)。

keyword

input.type

输入类型。

keyword

labels.is_transform_source

区分作为转换源的文档和作为转换输出的文档,以便更容易进行过滤。

constant_keyword

log.offset

日志偏移量。

长整型

示例

一个code_scanning的示例事件如下所示

{
    "@timestamp": "2022-06-29T18:03:27.000Z",
    "agent": {
        "ephemeral_id": "6ff86bf4-40bb-48d0-a0c3-7620a07cc706",
        "id": "2b4faf01-5ea6-4888-8ea5-db817b2b8915",
        "name": "elastic-agent-67340",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "github.code_scanning",
        "namespace": "68459",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "2b4faf01-5ea6-4888-8ea5-db817b2b8915",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "created": "2022-06-29T18:03:27.000Z",
        "dataset": "github.code_scanning",
        "ingested": "2024-10-30T03:17:27Z",
        "original": "{\"created_at\":\"2022-06-29T18:03:27Z\",\"html_url\":\"https://github.com/sample_owner/sample_repo/security/code-scanning/91\",\"most_recent_instance\":{\"analysis_key\":\".github/workflows/codeql-analysis.yml:analyze\",\"category\":\".github/workflows/codeql-analysis.yml:analyze/language:javascript\",\"classifications\":[],\"commit_sha\":\"3244e8b15cc1b8f2732eecd69fc1890b737f0dda\",\"location\":{\"end_column\":50,\"end_line\":67,\"path\":\"routes/chatbot.ts\",\"start_column\":23,\"start_line\":67},\"message\":{\"text\":\"(Experimental) This may be a database query that depends on a user-provided value. Identified using machine learning.(Experimental) This may be a database query that depends on a user-provided value. Identified using machine learning.\"},\"ref\":\"refs/heads/master\",\"state\":\"open\"},\"number\":90,\"rule\":{\"description\":\"SQL database query built from user-controlled sources (experimental)\",\"id\":\"js/ml-powered/sql-injection\",\"security_severity_level\":\"high\",\"severity\":\"error\",\"tags\":[\"experimental\",\"external/cwe/cwe-089\",\"security\"]},\"state\":\"open\",\"tool\":{\"name\":\"CodeQL\",\"version\":\"2.9.4\"},\"updated_at\":\"2022-06-29T18:03:27Z\",\"url\":\"https://api.github.com/repos/sample_owner/sample_repo/code-scanning/alerts/91\"}",
        "type": [
            "creation"
        ]
    },
    "github": {
        "code_scanning": {
            "created_at": "2022-06-29T18:03:27Z",
            "html_url": "https://github.com/sample_owner/sample_repo/security/code-scanning/91",
            "most_recent_instance": {
                "analysis_key": ".github/workflows/codeql-analysis.yml:analyze",
                "category": ".github/workflows/codeql-analysis.yml:analyze/language:javascript",
                "commit_sha": "3244e8b15cc1b8f2732eecd69fc1890b737f0dda",
                "location": {
                    "end_column": 50,
                    "end_line": 67,
                    "path": "routes/chatbot.ts",
                    "start_column": 23,
                    "start_line": 67
                },
                "ref": "refs/heads/master",
                "state": "open"
            },
            "number": 90,
            "rule": {
                "security_severity_level": "high",
                "severity": "error"
            },
            "state": "open",
            "tool": {
                "name": "CodeQL",
                "version": "2.9.4"
            },
            "updated_at": "2022-06-29T18:03:27Z",
            "url": "https://api.github.com/repos/sample_owner/sample_repo/code-scanning/alerts/91"
        },
        "repository": {
            "html_url": "https://github.com/sample_owner/sample_repo",
            "name": "sample_repo",
            "owner": {
                "login": "sample_owner"
            },
            "url": "https://api.github.com/repos/sample_owner/sample_repo"
        }
    },
    "input": {
        "type": "httpjson"
    },
    "message": "(Experimental) This may be a database query that depends on a user-provided value. Identified using machine learning.(Experimental) This may be a database query that depends on a user-provided value. Identified using machine learning.",
    "rule": {
        "description": "SQL database query built from user-controlled sources (experimental)",
        "id": "js/ml-powered/sql-injection"
    },
    "tags": [
        "forwarded",
        "github-code-scanning",
        "preserve_original_event",
        "experimental",
        "external/cwe/cwe-089",
        "security"
    ]
}

秘密扫描

编辑

GitHub 秘密扫描允许您从使用 GitHub 高级安全秘密扫描功能设置的仓库中检索高级安全警报的秘密扫描信息。有关更多详细信息,请参阅关于秘密扫描

要使用此集成,GitHub Apps 必须具有secret_scanning_alerts读取权限。或者,您必须是仓库或拥有该仓库的组织的管理员,并且您必须使用具有repo范围或security_events范围的个人访问令牌。对于公共仓库,您可以改用public_repo范围。请参阅列出仓库的秘密扫描警报

导出的字段
字段 描述 类型 单位 指标类型

@timestamp

事件发生时的日期/时间。 这是从事件中提取的日期/时间,通常表示事件由源生成的时间。 如果事件源没有原始时间戳,则此值通常由管道首次接收到事件的时间填充。 所有事件的必填字段。

日期

data_stream.dataset

该字段可以包含任何对于表示数据来源有意义的内容。 例如,包括 nginx.accessprometheusendpoint 等。 对于其他方面都符合,但没有设置数据集的数据流,我们使用值“generic”作为数据集的值。event.dataset 应具有与 data_stream.dataset 相同的值。 除了上面提到的 Elasticsearch 数据流命名标准之外,dataset 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。 命名空间对于允许对数据进行分组非常有用。 许多用户已经以这种方式组织了他们的索引,而数据流命名方案现在将这种最佳实践作为默认值提供。 许多用户将使用 default 填充此字段。 如果未使用任何值,则会回退到 default。 除了上面提到的 Elasticsearch 索引命名标准之外,namespace 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。 当前允许的值为“logs”和“metrics”。 我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

event.dataset

数据集的名称。 如果事件源发布多种类型的日志或事件(例如,访问日志、错误日志),则数据集用于指定事件来自哪个日志或事件。 建议但不强制以模块名称开头数据集名称,后跟一个点,然后是数据集名称。

constant_keyword

event.kind

constant_keyword

event.module

此数据来自的模块的名称。 如果您的监视代理支持模块或插件的概念来处理给定来源的事件(例如,Apache 日志),则 event.module 应包含此模块的名称。

constant_keyword

github.repository.description

存储库描述。

文本

github.repository.fork

存储库是否为分支。

布尔值

github.repository.full_name

存储库的完整、全局唯一的名称。

keyword

github.repository.html_url

在 GitHub.com 上查看仓库的 URL。

keyword

github.repository.id

仓库的唯一标识符。

整数

github.repository.is_in_organization

指示仓库是由组织拥有,还是组织仓库的私有分支。

布尔值

github.repository.name

仓库的名称。

keyword

github.repository.owner.email

仓库所有者的公开电子邮件。

keyword

github.repository.owner.html_url

仓库所有者的 HTTP URL。

keyword

github.repository.owner.id

仓库所有者的 ID。

整数

github.repository.owner.login

仓库所有者的登录用户名。

keyword

github.repository.owner.name

仓库所有者的名称。

keyword

github.repository.owner.site_admin

指示所有者是否为站点管理员。

布尔值

github.repository.owner.type

仓库所有者的类型。示例 - 用户。

keyword

github.repository.owner.url

从 GitHub API 获取有关仓库所有者的更多信息的 URL。

keyword

github.repository.private

指示仓库是否为私有仓库。

布尔值

github.repository.url

从 GitHub API 获取有关仓库的更多信息的 URL。

keyword

github.secret_scanning.created_at

以 ISO 8601 格式创建警报的时间 - YYYY-MM-DDTHH:MM:SSZ

日期

github.secret_scanning.html_url

警报资源的 GitHub URL。

keyword

github.secret_scanning.locations_url

此警报的代码位置的 REST API URL。

keyword

github.secret_scanning.number

安全警报编号。

整数

github.secret_scanning.push_protection_bypassed

指示是否为检测到的秘密绕过了推送保护。

布尔值

github.secret_scanning.push_protection_bypassed_at

绕过推送保护的时间,格式为 ISO 8601 - YYYY-MM-DDTHH:MM:SSZ

日期

github.secret_scanning.push_protection_bypassed_by.email

keyword

github.secret_scanning.push_protection_bypassed_by.html_url

keyword

github.secret_scanning.push_protection_bypassed_by.id

整数

github.secret_scanning.push_protection_bypassed_by.login

keyword

github.secret_scanning.push_protection_bypassed_by.name

keyword

github.secret_scanning.push_protection_bypassed_by.node_id

keyword

github.secret_scanning.push_protection_bypassed_by.site_admin

布尔值

github.secret_scanning.push_protection_bypassed_by.type

keyword

github.secret_scanning.push_protection_bypassed_by.url

keyword

github.secret_scanning.resolution

stateresolved时为必需项。解决警报的原因。

keyword

github.secret_scanning.resolved_at

警报解决的时间,格式为 ISO 8601 - YYYY-MM-DDTHH:MM:SSZ

日期

github.secret_scanning.resolved_by.email

keyword

github.secret_scanning.resolved_by.html_url

keyword

github.secret_scanning.resolved_by.id

整数

github.secret_scanning.resolved_by.login

keyword

github.secret_scanning.resolved_by.name

keyword

github.secret_scanning.resolved_by.node_id

keyword

github.secret_scanning.resolved_by.site_admin

布尔值

github.secret_scanning.resolved_by.type

keyword

github.secret_scanning.resolved_by.url

keyword

github.secret_scanning.secret

检测到的秘密。

keyword

github.secret_scanning.secret_type

秘密扫描检测到的秘密类型。

keyword

github.secret_scanning.secret_type_display_name

检测到的秘密的用户友好名称,与secret_type匹配。

keyword

github.secret_scanning.state

秘密扫描警报的状态。

keyword

github.secret_scanning.time_to_resolution.sec

修复秘密所花费的时间(以秒为单位)。

长整型

s

度量

github.secret_scanning.updated_at

以 ISO 8601 格式上次更新警报的时间 - YYYY-MM-DDTHH:MM:SSZ

日期

github.secret_scanning.url

警报资源的 REST API URL

keyword

host.containerized

主机是否为容器。

布尔值

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代号(如果有)。

keyword

input.type

输入类型。

keyword

labels.is_transform_source

区分作为转换源的文档和作为转换输出的文档,以便更容易进行过滤。

constant_keyword

log.offset

日志偏移量。

长整型

示例

一个secret_scanning的示例事件如下所示

{
    "@timestamp": "2022-06-30T18:07:27.000Z",
    "agent": {
        "ephemeral_id": "b651a7b7-f9b4-4d2c-a268-85adcaf38b31",
        "id": "a998f341-28a4-4447-91a3-2f132fd17d6e",
        "name": "elastic-agent-83267",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "github.secret_scanning",
        "namespace": "15643",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "a998f341-28a4-4447-91a3-2f132fd17d6e",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "created": "2022-06-30T18:07:27Z",
        "dataset": "github.secret_scanning",
        "ingested": "2024-10-30T03:20:24Z",
        "original": "{\"created_at\":\"2022-06-30T18:07:27Z\",\"html_url\":\"https://github.com/sample_owner/sample_repo/security/secret-scanning/3\",\"number\":3,\"push_protection_bypassed\":true,\"push_protection_bypassed_by\":{\"html_url\":\"https://github.com/sample_owner\",\"login\":\"sample_owner\",\"type\":\"User\",\"url\":\"https://api.github.com/users/sample_owner\"},\"resolution\":\"revoked\",\"resolved_by\":{\"login\":\"sample_owner\",\"type\":\"User\",\"url\":\"https://api.github.com/users/sample_owner\"},\"secret\":\"npm_2vYJ3QzGXoGbEgMYduYS1k2M4D0wDu2opJbl\",\"secret_type\":\"npm_access_token\",\"secret_type_display_name\":\"npm Access Token\",\"state\":\"open\",\"url\":\"https://api.github.com/repos/sample_owner/sample_repo/secret-scanning/alerts/3\"}",
        "type": [
            "creation"
        ]
    },
    "github": {
        "repository": {
            "html_url": "https://github.com/sample_owner/sample_repo",
            "name": "sample_repo",
            "owner": {
                "login": "sample_owner"
            },
            "url": "https://api.github.com/repos/sample_owner/sample_repo"
        },
        "secret_scanning": {
            "created_at": "2022-06-30T18:07:27Z",
            "html_url": "https://github.com/sample_owner/sample_repo/security/secret-scanning/3",
            "number": 3,
            "push_protection_bypassed": true,
            "push_protection_bypassed_by": {
                "html_url": "https://github.com/sample_owner",
                "login": "sample_owner",
                "type": "User",
                "url": "https://api.github.com/users/sample_owner"
            },
            "resolution": "revoked",
            "resolved_by": {
                "login": "sample_owner",
                "type": "User",
                "url": "https://api.github.com/users/sample_owner"
            },
            "secret": "npXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXbl",
            "secret_type": "npm_access_token",
            "secret_type_display_name": "npm Access Token",
            "state": "open",
            "url": "https://api.github.com/repos/sample_owner/sample_repo/secret-scanning/alerts/3"
        }
    },
    "input": {
        "type": "httpjson"
    },
    "tags": [
        "forwarded",
        "github-secret-scanning",
        "preserve_original_event",
        "hide_secret"
    ]
}

Dependabot

编辑

GitHub Dependabot 允许您从使用 GitHub 高级安全 Dependabot 功能设置的仓库中检索依赖项中已知的漏洞。有关更多详细信息,请参阅关于 Dependabot

要使用此集成,您必须是仓库或拥有该仓库的组织的管理员,并且您必须使用具有repo范围或security_events范围的个人访问令牌。对于公共仓库,您可以改用public_repo范围。请参阅使用 GraphQL 进行身份验证令牌问题

导出的字段
字段 描述 类型

@timestamp

事件发生时的日期/时间。 这是从事件中提取的日期/时间,通常表示事件由源生成的时间。 如果事件源没有原始时间戳,则此值通常由管道首次接收到事件的时间填充。 所有事件的必填字段。

日期

data_stream.dataset

该字段可以包含任何对于表示数据来源有意义的内容。 例如,包括 nginx.accessprometheusendpoint 等。 对于其他方面都符合,但没有设置数据集的数据流,我们使用值“generic”作为数据集的值。event.dataset 应具有与 data_stream.dataset 相同的值。 除了上面提到的 Elasticsearch 数据流命名标准之外,dataset 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。 命名空间对于允许对数据进行分组非常有用。 许多用户已经以这种方式组织了他们的索引,而数据流命名方案现在将这种最佳实践作为默认值提供。 许多用户将使用 default 填充此字段。 如果未使用任何值,则会回退到 default。 除了上面提到的 Elasticsearch 索引命名标准之外,namespace 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。 当前允许的值为“logs”和“metrics”。 我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

event.dataset

数据集的名称。 如果事件源发布多种类型的日志或事件(例如,访问日志、错误日志),则数据集用于指定事件来自哪个日志或事件。 建议但不强制以模块名称开头数据集名称,后跟一个点,然后是数据集名称。

constant_keyword

event.kind

constant_keyword

event.module

此数据来自的模块的名称。 如果您的监视代理支持模块或插件的概念来处理给定来源的事件(例如,Apache 日志),则 event.module 应包含此模块的名称。

constant_keyword

github.dependabot.created_at

警报何时创建。

日期

github.dependabot.dependabot_update.error.body

错误的正文。

文本

github.dependabot.dependabot_update.error.error_type

错误代码。

keyword

github.dependabot.dependabot_update.error.title

错误的标题。

keyword

github.dependabot.dependabot_update.pull_request.closed

指示拉取请求是否已关闭。

布尔值

github.dependabot.dependabot_update.pull_request.closed_at

标识拉取请求关闭的日期和时间。

日期

github.dependabot.dependabot_update.pull_request.created_at

标识拉取请求创建的日期和时间。

日期

github.dependabot.dependabot_update.pull_request.merged

指示拉取请求是否已合并。

布尔值

github.dependabot.dependabot_update.pull_request.merged_at

拉取请求合并的日期和时间。

日期

github.dependabot.dependabot_update.pull_request.number

标识拉取请求编号。

整数

github.dependabot.dependabot_update.pull_request.title

标识拉取请求标题。

keyword

github.dependabot.dependabot_update.pull_request.url

此拉取请求的 HTTP URL。

keyword

github.dependabot.dependency_scope

警报的依赖项的范围。

keyword

github.dependabot.dismiss_reason

警报被解除的原因。

keyword

github.dependabot.dismissed_at

警报何时被解除。

日期

github.dependabot.dismisser.login

解除警报的用户的用户名。

keyword

github.dependabot.dismisser.url

此用户的 HTTP URL。

keyword

github.dependabot.fixed_at

警报何时被修复。

日期

github.dependabot.number

标识警报编号。

整数

github.dependabot.security_advisory.classification

咨询的分类。

keyword

github.dependabot.security_advisory.cvss.vector_string

与此咨询相关的 CVSS 向量字符串。

keyword

github.dependabot.security_advisory.cwes

与此咨询相关的 CWE。

嵌套

github.dependabot.security_advisory.cwes.cwe_id

CWE 的 ID。

keyword

github.dependabot.security_advisory.cwes.description

此 CWE 的名称。

keyword

github.dependabot.security_advisory.cwes.name

此 CWE 的详细描述。

keyword

github.dependabot.security_advisory.ghsa_id

GitHub 安全咨询 ID。

keyword

github.dependabot.security_advisory.identifiers

此咨询的标识符列表。

嵌套

github.dependabot.security_advisory.identifiers.type

标识符类型,例如 GHSA、CVE。

keyword

github.dependabot.security_advisory.identifiers.value

标识符。

keyword

github.dependabot.security_advisory.origin

发起咨询的组织。

keyword

github.dependabot.security_advisory.permalink

咨询的永久链接。

keyword

github.dependabot.security_advisory.published_at

咨询发布的时间。

日期

github.dependabot.security_advisory.severity

咨询的严重程度。

keyword

github.dependabot.security_advisory.summary

咨询的简短纯文本摘要。

keyword

github.dependabot.security_advisory.updated_at

咨询上次更新的时间。

日期

github.dependabot.security_advisory.withdrawn_at

咨询撤回的时间(如果已撤回)。

日期

github.dependabot.security_vulnerability.first_patched_version.identifier

包含漏洞修复的第一个版本。

keyword

github.dependabot.security_vulnerability.package.ecosystem

软件包所属的生态系统,例如 RUBYGEMS、NPM。

keyword

github.dependabot.security_vulnerability.package.name

软件包名称。

keyword

github.dependabot.security_vulnerability.updated_at

漏洞上次更新的时间。

日期

github.dependabot.security_vulnerability.vulnerable_version_range

一个描述易受攻击的软件包版本的字符串。

keyword

github.dependabot.state

标识警报的状态。

keyword

github.dependabot.vulnerable_manifest_filename

易受攻击的清单文件名。

keyword

github.dependabot.vulnerable_manifest_path

易受攻击的清单路径。

keyword

github.dependabot.vulnerable_requirements

易受攻击的要求。

keyword

github.repository.description

存储库描述。

文本

github.repository.fork

存储库是否为分支。

布尔值

github.repository.full_name

存储库的完整、全局唯一的名称。

keyword

github.repository.html_url

在 GitHub.com 上查看仓库的 URL。

keyword

github.repository.id

仓库的唯一标识符。

整数

github.repository.is_in_organization

指示仓库是由组织拥有,还是组织仓库的私有分支。

布尔值

github.repository.name

仓库的名称。

keyword

github.repository.owner.email

仓库所有者的公开电子邮件。

keyword

github.repository.owner.html_url

仓库所有者的 HTTP URL。

keyword

github.repository.owner.id

仓库所有者的 ID。

整数

github.repository.owner.login

仓库所有者的登录用户名。

keyword

github.repository.owner.name

仓库所有者的名称。

keyword

github.repository.owner.site_admin

指示所有者是否为站点管理员。

布尔值

github.repository.owner.type

仓库所有者的类型。示例 - 用户。

keyword

github.repository.owner.url

从 GitHub API 获取有关仓库所有者的更多信息的 URL。

keyword

github.repository.private

指示仓库是否为私有仓库。

布尔值

github.repository.url

从 GitHub API 获取有关仓库的更多信息的 URL。

keyword

host.containerized

主机是否为容器。

布尔值

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代号(如果有)。

keyword

input.type

输入类型。

keyword

labels.is_transform_source

区分作为转换源的文档和作为转换输出的文档,以便更容易进行过滤。

constant_keyword

log.offset

日志偏移量。

长整型

示例

一个dependabot的示例事件如下所示

{
    "@timestamp": "2022-07-11T11:39:07.000Z",
    "agent": {
        "ephemeral_id": "e7f76da2-a5c1-461e-afff-c8d8aaab6f63",
        "id": "63db2a58-1665-44a9-b23a-4dd2b0be9bd6",
        "name": "elastic-agent-88319",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "github.dependabot",
        "namespace": "20232",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "63db2a58-1665-44a9-b23a-4dd2b0be9bd6",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "created": "2022-07-11T11:39:07.000Z",
        "dataset": "github.dependabot",
        "ingested": "2024-10-30T03:18:26Z",
        "original": "{\"createdAt\":\"2022-07-11T11:39:07Z\",\"dependabotUpdate\":{\"error\":{\"body\":\"The currently installed version can't be determined.\\n\\nTo resolve the issue add a supported lockfile (package-lock.json or yarn.lock).\",\"errorType\":\"dependency_file_not_supported\",\"title\":\"Dependabot can't update vulnerable dependencies without a lockfile\"},\"pullRequest\":null},\"dependencyScope\":\"RUNTIME\",\"dismissReason\":null,\"dismissedAt\":null,\"dismisser\":null,\"fixedAt\":null,\"number\":1,\"repository\":{\"description\":\"OWASP Juice Shop: Probably the most modern and sophisticated insecure web application\",\"isInOrganization\":false,\"isPrivate\":false,\"name\":\"sample_repo\",\"owner\":{\"login\":\"sample_owner\",\"url\":\"https://github.com/sample_owner\"},\"url\":\"https://github.com/sample_owner/sample_repo\"},\"securityAdvisory\":{\"classification\":\"GENERAL\",\"cvss\":{\"score\":0,\"vectorString\":null},\"cwes\":{\"nodes\":[{\"cweId\":\"CWE-20\",\"description\":\"The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.\",\"name\":\"Improper Input Validation\"}]},\"description\":\"Versions 4.2.1 and earlier of `jsonwebtoken` are affected by a verification bypass vulnerability. This is a result of weak validation of the JWT algorithm type, occuring when an attacker is allowed to arbitrarily specify the JWT algorithm.\\n\\n\\n\\n\\n## Recommendation\\n\\nUpdate to version 4.2.2 or later.\",\"ghsaId\":\"GHSA-c7hr-j4mj-j2w6\",\"identifiers\":[{\"type\":\"GHSA\",\"value\":\"GHSA-c7hr-j4mj-j2w6\"},{\"type\":\"CVE\",\"value\":\"CVE-2015-9235\"}],\"origin\":\"UNSPECIFIED\",\"permalink\":\"https://github.com/advisories/GHSA-c7hr-j4mj-j2w6\",\"publishedAt\":\"2018-10-09T00:38:30Z\",\"references\":[{\"url\":\"https://nvd.nist.gov/vuln/detail/CVE-2015-9235\"},{\"url\":\"https://github.com/auth0/node-jsonwebtoken/commit/1bb584bc382295eeb7ee8c4452a673a77a68b687\"},{\"url\":\"https://auth0.com/blog/2015/03/31/critical-vulnerabilities-in-json-web-token-libraries/\"},{\"url\":\"https://github.com/advisories/GHSA-c7hr-j4mj-j2w6\"},{\"url\":\"https://npmjs.net.cn/advisories/17\"},{\"url\":\"https://www.timmclean.net/2015/02/25/jwt-alg-none.html\"},{\"url\":\"https://nodesecurity.io/advisories/17\"}],\"severity\":\"CRITICAL\",\"summary\":\"Verification Bypass in jsonwebtoken\",\"updatedAt\":\"2021-01-08T19:00:39Z\",\"withdrawnAt\":null},\"securityVulnerability\":{\"firstPatchedVersion\":{\"identifier\":\"4.2.2\"},\"package\":{\"ecosystem\":\"NPM\",\"name\":\"jsonwebtoken\"},\"severity\":\"CRITICAL\",\"updatedAt\":\"2018-11-30T19:54:28Z\",\"vulnerableVersionRange\":\"\\u003c 4.2.2\"},\"state\":\"OPEN\",\"vulnerableManifestFilename\":\"package.json\",\"vulnerableManifestPath\":\"package.json\",\"vulnerableRequirements\":\"= 0.4.0\"}",
        "start": "2022-07-11T11:39:07Z",
        "type": [
            "creation"
        ]
    },
    "github": {
        "dependabot": {
            "created_at": "2022-07-11T11:39:07Z",
            "dependabot_update": {
                "error": {
                    "body": "The currently installed version can't be determined.\n\nTo resolve the issue add a supported lockfile (package-lock.json or yarn.lock).",
                    "error_type": "dependency_file_not_supported",
                    "title": "Dependabot can't update vulnerable dependencies without a lockfile"
                }
            },
            "dependency_scope": "RUNTIME",
            "number": 1,
            "security_advisory": {
                "classification": "GENERAL",
                "cwes": [
                    {
                        "cwe_id": "CWE-20",
                        "description": "The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.",
                        "name": "Improper Input Validation"
                    }
                ],
                "ghsa_id": "GHSA-c7hr-j4mj-j2w6",
                "identifiers": [
                    {
                        "type": "GHSA",
                        "value": "GHSA-c7hr-j4mj-j2w6"
                    },
                    {
                        "type": "CVE",
                        "value": "CVE-2015-9235"
                    }
                ],
                "origin": "UNSPECIFIED",
                "permalink": "https://github.com/advisories/GHSA-c7hr-j4mj-j2w6",
                "published_at": "2018-10-09T00:38:30Z",
                "severity": "CRITICAL",
                "summary": "Verification Bypass in jsonwebtoken",
                "updated_at": "2021-01-08T19:00:39Z"
            },
            "security_vulnerability": {
                "first_patched_version": {
                    "identifier": "4.2.2"
                },
                "package": {
                    "ecosystem": "NPM",
                    "name": "jsonwebtoken"
                },
                "updated_at": "2018-11-30T19:54:28Z",
                "vulnerable_version_range": "< 4.2.2"
            },
            "state": "open",
            "vulnerable_manifest_filename": "package.json",
            "vulnerable_manifest_path": "package.json",
            "vulnerable_requirements": "= 0.4.0"
        },
        "repository": {
            "description": "OWASP Juice Shop: Probably the most modern and sophisticated insecure web application",
            "is_in_organization": false,
            "name": "sample_repo",
            "owner": {
                "login": "sample_owner",
                "url": "https://github.com/sample_owner"
            },
            "private": false,
            "url": "https://github.com/sample_owner/sample_repo"
        }
    },
    "input": {
        "type": "httpjson"
    },
    "tags": [
        "forwarded",
        "github-dependabot",
        "preserve_original_event"
    ],
    "vulnerability": {
        "classification": "CVSS",
        "description": "Versions 4.2.1 and earlier of `jsonwebtoken` are affected by a verification bypass vulnerability. This is a result of weak validation of the JWT algorithm type, occuring when an attacker is allowed to arbitrarily specify the JWT algorithm.\n\n\n\n\n## Recommendation\n\nUpdate to version 4.2.2 or later.",
        "enumeration": "CVE",
        "id": "CVE-2015-9235",
        "reference": [
            "https://nvd.nist.gov/vuln/detail/CVE-2015-9235",
            "https://github.com/auth0/node-jsonwebtoken/commit/1bb584bc382295eeb7ee8c4452a673a77a68b687",
            "https://auth0.com/blog/2015/03/31/critical-vulnerabilities-in-json-web-token-libraries/",
            "https://github.com/advisories/GHSA-c7hr-j4mj-j2w6",
            "https://npmjs.net.cn/advisories/17",
            "https://www.timmclean.net/2015/02/25/jwt-alg-none.html",
            "https://nodesecurity.io/advisories/17"
        ],
        "scanner": {
            "vendor": "Github"
        },
        "score": {
            "base": 0
        },
        "severity": "critical"
    }
}

议题

编辑

GitHub 议题数据流允许您检索 github 议题,包括拉取请求、议题受让人、评论、标签和里程碑。有关更多详细信息,请参阅关于议题。您可以检索特定仓库或整个组织的议题。由于 GitHub API 将拉取请求视为议题,因此用户可以使用github.issues.is_pr字段来仅筛选拉取请求。

默认情况下会检索包括closed在内的所有议题。如果用户只想检索open请求,则需要将State参数更改为open

要使用此集成,用户必须使用 GitHub Apps 或具有仓库或组织read权限的个人访问令牌。有关更多详细信息,请参阅GitHub Apps 所需的权限个人访问令牌所需的权限

导出的字段
字段 描述 类型 单位 指标类型

@timestamp

事件发生时的日期/时间。 这是从事件中提取的日期/时间,通常表示事件由源生成的时间。 如果事件源没有原始时间戳,则此值通常由管道首次接收到事件的时间填充。 所有事件的必填字段。

日期

data_stream.dataset

该字段可以包含任何对于表示数据来源有意义的内容。 例如,包括 nginx.accessprometheusendpoint 等。 对于其他方面都符合,但没有设置数据集的数据流,我们使用值“generic”作为数据集的值。event.dataset 应具有与 data_stream.dataset 相同的值。 除了上面提到的 Elasticsearch 数据流命名标准之外,dataset 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.namespace

用户定义的命名空间。 命名空间对于允许对数据进行分组非常有用。 许多用户已经以这种方式组织了他们的索引,而数据流命名方案现在将这种最佳实践作为默认值提供。 许多用户将使用 default 填充此字段。 如果未使用任何值,则会回退到 default。 除了上面提到的 Elasticsearch 索引命名标准之外,namespace 值还有其他限制:*不得包含 - *长度不超过 100 个字符

constant_keyword

data_stream.type

数据流的总体类型。 当前允许的值为“logs”和“metrics”。 我们预计在不久的将来还会添加“traces”和“synthetics”。

constant_keyword

event.dataset

数据集的名称。 如果事件源发布多种类型的日志或事件(例如,访问日志、错误日志),则数据集用于指定事件来自哪个日志或事件。 建议但不强制以模块名称开头数据集名称,后跟一个点,然后是数据集名称。

constant_keyword

event.kind

constant_keyword

event.module

此数据来自的模块的名称。 如果您的监视代理支持模块或插件的概念来处理给定来源的事件(例如,Apache 日志),则 event.module 应包含此模块的名称。

constant_keyword

github.issues.active_lock_reason

keyword

github.issues.assignee.email

keyword

github.issues.assignee.html_url

keyword

github.issues.assignee.id

整数

github.issues.assignee.login

keyword

github.issues.assignee.name

keyword

github.issues.assignee.site_admin

布尔值

github.issues.assignee.type

keyword

github.issues.assignee.url

keyword

github.issues.assignees

分配了议题的用户的相关信息。

已展平

github.issues.author_association

keyword

github.issues.body

文本

github.issues.closed_at

议题关闭的时间,格式为 ISO 8601 - YYYY-MM-DDTHH:MM:SSZ

日期

github.issues.closed_by.email

keyword

github.issues.closed_by.html_url

keyword

github.issues.closed_by.id

整数

github.issues.closed_by.login

keyword

github.issues.closed_by.name

keyword

github.issues.closed_by.site_admin

布尔值

github.issues.closed_by.type

keyword

github.issues.closed_by.url

keyword

github.issues.comments

整数

github.issues.comments_url

keyword

github.issues.created_at

议题创建的时间,格式为 ISO 8601 - YYYY-MM-DDTHH:MM:SSZ

日期

github.issues.draft

布尔值

github.issues.events_url

keyword

github.issues.html_url

keyword

github.issues.id

GitHub 议题的 ID。

整数

github.issues.is_pr

布尔值

github.issues.labels.description

keyword

github.issues.labels.integration

keyword

github.issues.labels.name

keyword

github.issues.labels.team

keyword

github.issues.labels_url

keyword

github.issues.locked

布尔值

github.issues.node_id

GitHub 议题的 node_id。

keyword

github.issues.number

整数

github.issues.pull_request.diff_url

keyword

github.issues.pull_request.html_url

keyword

github.issues.pull_request.patch_url

keyword

github.issues.pull_request.url

keyword

github.issues.repository_url

包含 GitHub 议题的存储库。

keyword

github.issues.state

keyword

github.issues.state_reason

keyword

github.issues.time_to_close.sec

关闭议题所花费的时间,以秒为单位。

长整型

s

度量

github.issues.timeline_url

keyword

github.issues.title

keyword

github.issues.updated_at

议题最后一次更新的时间,采用 ISO 8601 格式 - YYYY-MM-DDTHH:MM:SSZ

日期

github.issues.url

GitHub 议题的 URL。

keyword

github.issues.user.email

keyword

github.issues.user.html_url

keyword

github.issues.user.id

整数

github.issues.user.login

keyword

github.issues.user.name

keyword

github.issues.user.site_admin

布尔值

github.issues.user.type

keyword

github.issues.user.url

keyword

github.repository.description

存储库描述。

文本

github.repository.fork

存储库是否为分支。

布尔值

github.repository.full_name

存储库的完整、全局唯一的名称。

keyword

github.repository.html_url

在 GitHub.com 上查看仓库的 URL。

keyword

github.repository.id

仓库的唯一标识符。

整数

github.repository.is_in_organization

指示仓库是由组织拥有,还是组织仓库的私有分支。

布尔值

github.repository.name

仓库的名称。

keyword

github.repository.owner.email

仓库所有者的公开电子邮件。

keyword

github.repository.owner.html_url

仓库所有者的 HTTP URL。

keyword

github.repository.owner.id

仓库所有者的 ID。

整数

github.repository.owner.login

仓库所有者的登录用户名。

keyword

github.repository.owner.name

仓库所有者的名称。

keyword

github.repository.owner.site_admin

指示所有者是否为站点管理员。

布尔值

github.repository.owner.type

仓库所有者的类型。示例 - 用户。

keyword

github.repository.owner.url

从 GitHub API 获取有关仓库所有者的更多信息的 URL。

keyword

github.repository.private

指示仓库是否为私有仓库。

布尔值

github.repository.url

从 GitHub API 获取有关仓库的更多信息的 URL。

keyword

host.containerized

主机是否为容器。

布尔值

host.os.build

操作系统构建信息。

keyword

host.os.codename

操作系统代号(如果有)。

keyword

input.type

输入类型。

keyword

labels.is_transform_source

区分作为转换源的文档和作为转换输出的文档,以便更容易进行过滤。

constant_keyword

log.offset

日志偏移量。

长整型

示例

关于 issues 的示例事件如下所示

{
    "@timestamp": "2011-04-22T13:33:48.000Z",
    "agent": {
        "ephemeral_id": "24244f5f-9ce8-4ce3-983d-e172bb7f9fad",
        "id": "1cd88ff5-88f4-4117-b49f-204bb2d5e1c3",
        "name": "elastic-agent-46814",
        "type": "filebeat",
        "version": "8.13.0"
    },
    "data_stream": {
        "dataset": "github.issues",
        "namespace": "81948",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "elastic_agent": {
        "id": "1cd88ff5-88f4-4117-b49f-204bb2d5e1c3",
        "snapshot": false,
        "version": "8.13.0"
    },
    "event": {
        "agent_id_status": "verified",
        "created": "2011-04-22T13:33:48.000Z",
        "dataset": "github.issues",
        "ingested": "2024-10-30T03:19:25Z",
        "original": "{\"active_lock_reason\":\"too heated\",\"assignee\":{\"avatar_url\":\"https://github.com/images/error/octocat_happy.gif\",\"events_url\":\"https://api.github.com/users/octocat/events{/privacy}\",\"followers_url\":\"https://api.github.com/users/octocat/followers\",\"following_url\":\"https://api.github.com/users/octocat/following{/other_user}\",\"gists_url\":\"https://api.github.com/users/octocat/gists{/gist_id}\",\"gravatar_id\":\"\",\"html_url\":\"https://github.com/octocat\",\"id\":1,\"login\":\"octocat\",\"node_id\":\"MDQ6VXNlcjE=\",\"organizations_url\":\"https://api.github.com/users/octocat/orgs\",\"received_events_url\":\"https://api.github.com/users/octocat/received_events\",\"repos_url\":\"https://api.github.com/users/octocat/repos\",\"site_admin\":false,\"starred_url\":\"https://api.github.com/users/octocat/starred{/owner}{/repo}\",\"subscriptions_url\":\"https://api.github.com/users/octocat/subscriptions\",\"type\":\"User\",\"url\":\"https://api.github.com/users/octocat\"},\"assignees\":[{\"avatar_url\":\"https://github.com/images/error/octocat_happy.gif\",\"events_url\":\"https://api.github.com/users/octocat/events{/privacy}\",\"followers_url\":\"https://api.github.com/users/octocat/followers\",\"following_url\":\"https://api.github.com/users/octocat/following{/other_user}\",\"gists_url\":\"https://api.github.com/users/octocat/gists{/gist_id}\",\"gravatar_id\":\"\",\"html_url\":\"https://github.com/octocat\",\"id\":1,\"login\":\"octocat\",\"node_id\":\"MDQ6VXNlcjE=\",\"organizations_url\":\"https://api.github.com/users/octocat/orgs\",\"received_events_url\":\"https://api.github.com/users/octocat/received_events\",\"repos_url\":\"https://api.github.com/users/octocat/repos\",\"site_admin\":false,\"starred_url\":\"https://api.github.com/users/octocat/starred{/owner}{/repo}\",\"subscriptions_url\":\"https://api.github.com/users/octocat/subscriptions\",\"type\":\"User\",\"url\":\"https://api.github.com/users/octocat\"}],\"author_association\":\"COLLABORATOR\",\"body\":\"I'm having a problem with this.\",\"closed_at\":null,\"closed_by\":{\"avatar_url\":\"https://github.com/images/error/octocat_happy.gif\",\"events_url\":\"https://api.github.com/users/octocat/events{/privacy}\",\"followers_url\":\"https://api.github.com/users/octocat/followers\",\"following_url\":\"https://api.github.com/users/octocat/following{/other_user}\",\"gists_url\":\"https://api.github.com/users/octocat/gists{/gist_id}\",\"gravatar_id\":\"\",\"html_url\":\"https://github.com/octocat\",\"id\":1,\"login\":\"octocat\",\"node_id\":\"MDQ6VXNlcjE=\",\"organizations_url\":\"https://api.github.com/users/octocat/orgs\",\"received_events_url\":\"https://api.github.com/users/octocat/received_events\",\"repos_url\":\"https://api.github.com/users/octocat/repos\",\"site_admin\":false,\"starred_url\":\"https://api.github.com/users/octocat/starred{/owner}{/repo}\",\"subscriptions_url\":\"https://api.github.com/users/octocat/subscriptions\",\"type\":\"User\",\"url\":\"https://api.github.com/users/octocat\"},\"comments\":0,\"comments_url\":\"https://api.github.com/repos/octocat/Hello-World/issues/1347/comments\",\"created_at\":\"2011-04-22T13:33:48Z\",\"events_url\":\"https://api.github.com/repos/octocat/Hello-World/issues/1347/events\",\"html_url\":\"https://github.com/octocat/Hello-World/issues/1347\",\"id\":1,\"labels\":[{\"color\":\"f29513\",\"default\":true,\"description\":\"Something isn't working\",\"id\":208045946,\"name\":\"bug\",\"node_id\":\"MDU6TGFiZWwyMDgwNDU5NDY=\",\"url\":\"https://api.github.com/repos/octocat/Hello-World/labels/bug\"}],\"labels_url\":\"https://api.github.com/repos/octocat/Hello-World/issues/1347/labels{/name}\",\"locked\":true,\"milestone\":{\"closed_at\":\"2013-02-12T13:22:01Z\",\"closed_issues\":8,\"created_at\":\"2011-04-10T20:09:31Z\",\"creator\":{\"avatar_url\":\"https://github.com/images/error/octocat_happy.gif\",\"events_url\":\"https://api.github.com/users/octocat/events{/privacy}\",\"followers_url\":\"https://api.github.com/users/octocat/followers\",\"following_url\":\"https://api.github.com/users/octocat/following{/other_user}\",\"gists_url\":\"https://api.github.com/users/octocat/gists{/gist_id}\",\"gravatar_id\":\"\",\"html_url\":\"https://github.com/octocat\",\"id\":1,\"login\":\"octocat\",\"node_id\":\"MDQ6VXNlcjE=\",\"organizations_url\":\"https://api.github.com/users/octocat/orgs\",\"received_events_url\":\"https://api.github.com/users/octocat/received_events\",\"repos_url\":\"https://api.github.com/users/octocat/repos\",\"site_admin\":false,\"starred_url\":\"https://api.github.com/users/octocat/starred{/owner}{/repo}\",\"subscriptions_url\":\"https://api.github.com/users/octocat/subscriptions\",\"type\":\"User\",\"url\":\"https://api.github.com/users/octocat\"},\"description\":\"Tracking milestone for version 1.0\",\"due_on\":\"2012-10-09T23:39:01Z\",\"html_url\":\"https://github.com/octocat/Hello-World/milestones/v1.0\",\"id\":1002604,\"labels_url\":\"https://api.github.com/repos/octocat/Hello-World/milestones/1/labels\",\"node_id\":\"MDk6TWlsZXN0b25lMTAwMjYwNA==\",\"number\":1,\"open_issues\":4,\"state\":\"open\",\"title\":\"v1.0\",\"updated_at\":\"2014-03-03T18:58:10Z\",\"url\":\"https://api.github.com/repos/octocat/Hello-World/milestones/1\"},\"node_id\":\"MDU6SXNzdWUx\",\"number\":1347,\"pull_request\":{\"diff_url\":\"https://github.com/octocat/Hello-World/pull/1347.diff\",\"html_url\":\"https://github.com/octocat/Hello-World/pull/1347\",\"patch_url\":\"https://github.com/octocat/Hello-World/pull/1347.patch\",\"url\":\"https://api.github.com/repos/octocat/Hello-World/pulls/1347\"},\"repository_url\":\"https://api.github.com/repos/octocat/Hello-World\",\"state\":\"open\",\"state_reason\":\"completed\",\"title\":\"Found a bug\",\"updated_at\":\"2011-04-22T13:33:48Z\",\"url\":\"https://api.github.com/repos/octocat/Hello-World/issues/1347\",\"user\":{\"avatar_url\":\"https://github.com/images/error/octocat_happy.gif\",\"events_url\":\"https://api.github.com/users/octocat/events{/privacy}\",\"followers_url\":\"https://api.github.com/users/octocat/followers\",\"following_url\":\"https://api.github.com/users/octocat/following{/other_user}\",\"gists_url\":\"https://api.github.com/users/octocat/gists{/gist_id}\",\"gravatar_id\":\"\",\"html_url\":\"https://github.com/octocat\",\"id\":1,\"login\":\"octocat\",\"node_id\":\"MDQ6VXNlcjE=\",\"organizations_url\":\"https://api.github.com/users/octocat/orgs\",\"received_events_url\":\"https://api.github.com/users/octocat/received_events\",\"repos_url\":\"https://api.github.com/users/octocat/repos\",\"site_admin\":false,\"starred_url\":\"https://api.github.com/users/octocat/starred{/owner}{/repo}\",\"subscriptions_url\":\"https://api.github.com/users/octocat/subscriptions\",\"type\":\"User\",\"url\":\"https://api.github.com/users/octocat\"}}",
        "type": [
            "creation"
        ]
    },
    "github": {
        "issues": {
            "active_lock_reason": "too heated",
            "assignee": {
                "html_url": "https://github.com/octocat",
                "id": 1,
                "login": "octocat",
                "site_admin": false,
                "type": "User",
                "url": "https://api.github.com/users/octocat"
            },
            "assignees": [
                {
                    "html_url": "https://github.com/octocat",
                    "id": 1,
                    "login": "octocat",
                    "site_admin": false,
                    "type": "User",
                    "url": "https://api.github.com/users/octocat"
                }
            ],
            "author_association": "COLLABORATOR",
            "body": "I'm having a problem with this.",
            "closed_by": {
                "html_url": "https://github.com/octocat",
                "id": 1,
                "login": "octocat",
                "site_admin": false,
                "type": "User",
                "url": "https://api.github.com/users/octocat"
            },
            "comments": 0,
            "comments_url": "https://api.github.com/repos/octocat/Hello-World/issues/1347/comments",
            "created_at": "2011-04-22T13:33:48.000Z",
            "events_url": "https://api.github.com/repos/octocat/Hello-World/issues/1347/events",
            "html_url": "https://github.com/octocat/Hello-World/issues/1347",
            "id": 1,
            "is_pr": true,
            "labels": [
                {
                    "description": "Something isn't working",
                    "name": "bug"
                }
            ],
            "labels_url": "https://api.github.com/repos/octocat/Hello-World/issues/1347/labels{/name}",
            "locked": true,
            "node_id": "MDU6SXNzdWUx",
            "number": 1347,
            "pull_request": {
                "diff_url": "https://github.com/octocat/Hello-World/pull/1347.diff",
                "html_url": "https://github.com/octocat/Hello-World/pull/1347",
                "patch_url": "https://github.com/octocat/Hello-World/pull/1347.patch",
                "url": "https://api.github.com/repos/octocat/Hello-World/pulls/1347"
            },
            "repository_url": "https://api.github.com/repos/octocat/Hello-World",
            "state": "open",
            "state_reason": "completed",
            "title": "Found a bug",
            "updated_at": "2011-04-22T13:33:48.000Z",
            "url": "https://api.github.com/repos/octocat/Hello-World/issues/1347",
            "user": {
                "html_url": "https://github.com/octocat",
                "id": 1,
                "login": "octocat",
                "site_admin": false,
                "type": "User",
                "url": "https://api.github.com/users/octocat"
            }
        },
        "repository": {
            "html_url": "https://github.com/octocat/Hello-World",
            "name": "Hello-World",
            "owner": {
                "login": "octocat"
            },
            "url": "https://api.github.com/repos/octocat/Hello-World"
        }
    },
    "input": {
        "type": "httpjson"
    },
    "related": {
        "user": [
            "octocat"
        ]
    },
    "tags": [
        "forwarded",
        "github-issues",
        "preserve_original_event"
    ],
    "user": {
        "id": "1",
        "name": "octocat"
    }
}

变更日志

编辑
变更日志
版本 详细信息 Kibana 版本

2.3.0

增强 (查看拉取请求)
不要在主摄取管道中删除 event.original

8.13.0 或更高版本

2.2.0

增强 (查看拉取请求)
将 "preserve_original_event" 标签添加到 event.kind 设置为 "pipeline_error" 的文档。

8.13.0 或更高版本

2.1.1

错误修复 (查看拉取请求)
解决了一些缺失的文档问题,并修复了示例企业审计日志中的时间戳值。

8.13.0 或更高版本

2.1.0

增强 (查看拉取请求)
在审计数据流中添加了对企业审计日志的支持。

8.13.0 或更高版本

2.0.0

增强 (查看拉取请求)
更新代码扫描、秘密扫描和 Dependabot 中指纹处理器内的字段,以摄取所有事件更新。

增强 (查看拉取请求)
重新格式化字段,以便在所有数据流中添加 package-fields.yml。

重大更改 (查看拉取请求)
由于数据流之间的不一致,删除 github.state、github.severity。更新仪表板以改用相应的数据流级别字段。

重大更改 (查看拉取请求)
从代码扫描、秘密扫描、Dependabot 和议题中删除 event.action 字段,因为它是冗余的。更新仪表板以改用 data_stream.dataset。

增强 (查看拉取请求)
为 github 议题、Dependabot、代码扫描和秘密扫描警报添加最新的转换。

增强 (查看拉取请求)
为所有仪表板添加导航。

增强 (查看拉取请求)
将代码扫描和秘密扫描的旧版可视化升级到最新版本。

增强 (查看拉取请求)
更改仪表板以指向议题、Dependabot、代码扫描和秘密扫描警报的目标索引。

8.13.0 或更高版本

1.29.3

错误修复 (查看拉取请求)
在引用摄取管道中的变量时,使用三括号 Mustache 模板。

8.13.0 或更高版本

1.29.2

错误修复 (查看拉取请求)
在引用摄取管道中的变量时,使用三括号 Mustache 模板。

8.13.0 或更高版本

1.29.1

错误修复 (查看拉取请求)
修复嵌套子字段的定义

8.13.0 或更高版本

1.29.0

增强 (查看拉取请求)
将 kibana 约束更新为 ^8.13.0。修改了字段定义,以删除 ecs@mappings 组件模板使其冗余的 ECS 字段。

8.13.0 或更高版本

1.28.0

增强 (查看拉取请求)
将敏感值设置为秘密,并修复不正确的映射。

8.12.0 或更高版本

1.27.3

错误修复 (查看拉取请求)
清理空值处理、格式设置

8.7.1 或更高版本

1.27.2

增强 (查看拉取请求)
更改了所有者

8.7.1 或更高版本

1.27.1

错误修复 (查看拉取请求)
事件持续时间以秒为单位,而不是纳秒。

8.7.1 或更高版本

1.27.0

增强 (查看拉取请求)
将请求跟踪器日志计数限制为 5 个。

8.7.1 或更高版本

1.26.0

增强 (查看拉取请求)
ECS 版本已更新到 8.11.0。

8.7.1 或更高版本

1.25.0

增强 (查看拉取请求)
改进了对 event.original 的检查,以避免在设置时出现错误。

8.7.1 或更高版本

1.24.0

增强 (查看拉取请求)
增加了对其他审计日志字段的支持。

8.7.1 或更高版本

1.23.1

错误修复 (查看拉取请求)
修复了 Github 审计日志权限的文档。

8.7.1 或更高版本

1.23.0

增强 (查看拉取请求)
ECS 版本已更新到 8.10.0。

8.7.1 或更高版本

1.22.0

增强 (查看拉取请求)
包清单中的 format_version 从 2.11.0 更改为 3.0.0。从包清单中删除了带点的 YAML 键。将 owner.type: elastic 添加到包清单。

8.7.1 或更高版本

1.21.0

增强 (查看拉取请求)
添加 tags.yml 文件,以便将集成的仪表板和保存的搜索标记为“安全解决方案”,并在安全解决方案 UI 中显示。

8.7.1 或更高版本

1.20.1

错误修复 (查看拉取请求)
使数据流在 github.repository.description 类型上达成一致。

8.7.1 或更高版本

1.20.0

增强 (查看拉取请求)
增加了对 github.permissiongithub.repository_public 字段的支持。

8.7.1 或更高版本

1.19.0

增强 (查看拉取请求)
将包更新到 ECS 8.9.0。

8.7.1 或更高版本

1.18.0

增强 (查看拉取请求)
记录持续时间单位。

8.7.1 或更高版本

1.17.0

增强 (查看拉取请求)
将 package-spec 更新到 2.9.0。

8.7.1 或更高版本

1.16.0

增强 (查看拉取请求)
将仪表板可视化转换为镜头。

8.7.1 或更高版本

1.15.0

增强 (查看拉取请求)
记录有效的持续时间单位。

8.7.1 或更高版本

1.14.0

增强 (查看拉取请求)
记录有效的持续时间单位。

1.13.0

增强 (查看拉取请求)
确保为管道错误正确设置 event.kind。

8.7.1 或更高版本

1.12.2

错误修复 (查看拉取请求)
修复审计日志先决条件的文档

8.7.1 或更高版本

1.12.1

错误修复 (查看拉取请求)
删除其他存储库字段 github.issues。

8.7.1 或更高版本

1.12.0

增强 (查看拉取请求)
将包更新到 ECS 8.8.0。

8.7.1 或更高版本

1.11.0

增强 (查看拉取请求)
添加一个新标志来启用请求跟踪

8.7.1 或更高版本

1.10.2

错误修复 (查看拉取请求)
从 Dependabot 请求中删除 fixReason

8.4.1 或更高版本

1.10.1

错误修复 (查看拉取请求)
将 issues 数据流添加到 README 中。

8.4.1 或更高版本

1.10.0

增强 (查看拉取请求)
将包更新到 ECS 8.7.0。

8.4.1 或更高版本

1.9.0

增强 (查看拉取请求)
将 Github 数据流作为 GA 发布。

8.4.1 或更高版本

1.8.2

增强 (查看拉取请求)
添加了类别和/或子类别。

8.4.1 或更高版本

1.8.1

错误修复 (查看拉取请求)
修复 Github 审计中的分页

8.4.1 或更高版本

1.8.0

增强 (查看拉取请求)
添加 Github 议题数据流

8.4.1 或更高版本

1.7.0

增强 (查看拉取请求)
将包更新到 ECS 8.6.0。

8.4.1 或更高版本

1.6.0

增强 (查看拉取请求)
将包更新到 ECS 8.5.0。

8.4.1 或更高版本

1.5.0

增强 (查看拉取请求)
为 code_scanning 和 secret_scanning 添加 org 端点以及仪表板

8.4.1 或更高版本

1.4.0

增强 (查看拉取请求)
添加 Dependabot 警报

8.3.0 或更高版本

1.3.0

增强 (查看拉取请求)
将软件包更新至 ECS 8.4.0

7.16.0 或更高版本
8.0.0 或更高版本

1.2.3

错误修复 (查看拉取请求)
修复代理 URL 文档渲染问题。

7.16.0 或更高版本
8.0.0 或更高版本

1.2.2

错误修复 (查看拉取请求)
使用 resolved_at 更新 Github Secret Scanning 指纹

7.16.0 或更高版本
8.0.0 或更高版本

1.2.1

增强 (查看拉取请求)
更新软件包名称和描述,以符合标准措辞

7.16.0 或更高版本
8.0.0 或更高版本

1.2.0

增强 (查看拉取请求)
添加 GitHub 高级安全集成

7.16.0 或更高版本
8.0.0 或更高版本

1.1.0

增强 (查看拉取请求)
将软件包更新至 ECS 8.3.0。

7.16.0 或更高版本
8.0.0 或更高版本

1.0.3

错误修复 (查看拉取请求)
添加对 @timestamp 和缺失的 created_at 字段的支持

1.0.2

错误修复 (查看拉取请求)
为 event.created 添加正确的字段映射

7.16.0 或更高版本
8.0.0 或更高版本

1.0.1

增强 (查看拉取请求)
更新自述文件

7.16.0 或更高版本
8.0.0 或更高版本

1.0.0

增强 (查看拉取请求)
使其正式发布

7.16.0 或更高版本
8.0.0 或更高版本

0.4.0

增强 (查看拉取请求)
更新至 ECS 8.2

0.3.4

错误修复 (查看拉取请求)
修复用于忽略主机丰富化的配置模板中的拼写错误

0.3.3

增强 (查看拉取请求)
添加多字段文档

0.3.2

错误修复 (查看拉取请求)
修复查询中使用的日期格式。

0.3.1

错误修复 (查看拉取请求)
解决无效的查询运算符

0.3.0

增强 (查看拉取请求)
更新至 ECS 8.0

0.2.2

错误修复 (查看拉取请求)
删除用于测试的已保存搜索

0.2.1

错误修复 (查看拉取请求)
使用新的 GeoIP 数据库重新生成测试文件

0.2.0

增强 (查看拉取请求)
添加 8.0.0 版本约束

0.1.1

错误修复 (查看拉取请求)
更新标题和描述。

0.1.0

增强 (查看拉取请求)
初始版本