来自 PAT 的 GitHub 仓库克隆数量过多

编辑

来自 PAT 的 GitHub 仓库克隆数量过多

编辑

检测在短时间内从单个个人访问令牌发起的众多唯一私有仓库克隆事件。

规则类型: 阈值

规则索引:

logs-github.audit-*

严重性: 低

风险评分: 21

每隔: 5 分钟

搜索索引时间范围: now-6m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域: 云
用例: 威胁检测
用例: UEBA
战术: 执行
数据源: Github

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

event.dataset:"github.audit" and event.category:"configuration" and event.action:"git.clone" and
github.programmatic_access_type:("OAuth access token" or "Fine-grained personal access token") and
github.repository_public:false

框架: MITRE ATT&CK^TM

战术
- 名称: 执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 无服务器执行
- ID: T1648
- 参考 URL: https://attack.mitre.org/techniques/T1648/