安装了新的 GitHub 应用

此规则检测在您的组织帐户中是否安装了新的 GitHub 应用。GitHub 应用扩展了 GitHub 在 GitHub 内部和外部的功能。安装应用后，它将被授予读取或修改您的存储库和组织数据的权限。仅应安装受信任的应用，并且应调查任何新安装的应用以验证其合法性。未经授权的应用安装可能会降低您组织的安全态势，并使您容易遭受未来攻击。

规则类型: eql

规则索引:

logs-github.audit-*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域：云
用例：威胁检测
策略：执行
数据源：Github

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

configuration where event.dataset == "github.audit" and event.action == "integration_installation.create"

框架: MITRE ATT&CK^TM

策略
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：软件部署工具
- ID：T1072
- 参考网址：https://attack.mitre.org/techniques/T1072/

« 通过 PowerShell 添加新的 ActiveSyncAllowedDeviceID 添加新的 GitHub 所有者 »