Informationen zu Tokendaten im Überwachungsprotokoll für ein Unternehmen
Das Überwachungsprotokoll Ihres Unternehmens enthält ein Ereignis für jede Aktion, die ein Benutzer oder eine Integration ausführt. Wenn die Aktion außerhalb der Web-UI von GitHub stattgefunden hat, zeigen die Daten des Ereignisses Details darüber, wie sich der Benutzer oder die Integration authentifiziert hat.
Wenn Sie erfahren, dass ein Token kompromittiert wurde, können Sie die vom kompromittierten Token durchgeführten Aktionen nachvollziehen, indem Sie das Audit-Protokoll nach allen mit diesem Token verbundenen Ereignissen durchsuchen.
Token-Daten erscheinen im Audit-Protokoll für die folgenden Authentifizierungsmethoden.
- Personal access token
- OAuth-Token
- GitHub Apps (Authentifizierung als App-Installation oder im Auftrag eines Benutzers)
- Bereitstellungsschlüssel
- SSH-Schlüssel
Hinweis
Die Anzeige von Tokendaten für SSH-Schlüssel und Bereitstellungsschlüssel im Überwachungsprotokoll befindet sich in der öffentliche Vorschau. Änderungen sind vorbehalten.
Tokendaten in Überwachungsprotokollereignissen
Die folgenden Daten über die Verwendung von Token werden im Audit-Protokoll angezeigt, damit Sie nachvollziehen können, wie sich der Benutzer oder die Integration authentifiziert hat.
| Information | Beschreibung |
|---|---|
hashed_token | SHA-256-Hash des für die Authentifizierung verwendeten Tokens. |
programmatic_access_type | Art der verwendeten Authentifizierung. |
token_scopes | Falls zutreffend, die Geltungsbereiche für das Token. |
Bezeichnen von Ereignissen, die einem Token zugeordnet sind
Um Ereignisse zu identifizieren, die mit einem bestimmten Token verbunden sind, können Sie die Benutzeroberfläche oder die REST-API verwenden. Um Git-Ereignisse zu identifizieren, müssen Sie die Ereignisse aus dem Audit-Protokoll exportieren. Um Ereignisse zu identifizieren, müssen Sie zunächst den SHA-256-Hash des Tokens kennen.
- Erzeugen eines SHA-256-Hashwerts für ein Token
- Suche nach GitHub
- Suche mit der REST-API
- Identifizieren von Git-Ereignissen
Erzeugen eines SHA-256-Hashwerts für ein Token
Suchen auf GitHub
Schließe beim Durchsuchen des Überwachungsprotokolls auf GitHub hashed_token:"VALUE" in deine Suchabfrage ein, und ersetze VALUE durch den SHA-256-Hash des Tokens.
Hinweis
Setze den Hashtokenwert unbedingt in Anführungszeichen.
Bei der Suche mit GitHub werden keine Git-Ereignisse zurückgegeben.
Suchen mit der REST-API
Damit du mithilfe der REST-API nach einem Token suchen kannst, musst du nach dem Generieren eines SHA-256-Hashs den Hash ebenfalls mit dem URI als Escapezeichen versehen. Die meisten gängigen Programmiersprachen bieten ein Hilfsprogramm für die Verwendung des URI als Escapezeichen. Beispielsweise wird mit encodeURIComponent() eine Zeichenfolge für JavaScript codiert.
Füge dann hashed_token:"VALUE" in deinen Suchbegriff ein, und ersetze VALUE durch den Hash, den du mit dem URI als Escapezeichen versehen hast.
Bei der Suche über die REST-API werden keine Git-Ereignisse zurückgegeben.
Wenn der Name des Unternehmenskontos beispielsweise octo-corp lautet, durchsucht der folgende cURL-Befehl das Überwachungsprotokoll von @octo-corp nach allen Ereignissen, die dem Token zugeordnet sind, dessen URI-codierter SHA-256-Hash EH4L8o6PfCqipALbL%2BQT62lyqUtnI7ql0SPbkaQnjv8 lautet.
curl --header "Accept: application/vnd.github+json" --header "Authorization: Bearer YOUR-TOKEN" --header "X-GitHub-Api-Version:2026-03-10" 'https://api.github.com/enterprises/octo-corp/audit-log?phrase=hashed_token:"EH4L8o6PfCqipALbL%2BQT62lyqUtnI7ql0SPbkaQnjv8"'
Identifizieren von Git-Ereignissen
Sie können Git-Ereignisse identifizieren, die mit einem bestimmten Token authentifiziert wurden. Wenn Sie Git-Ereignisdaten aus dem Audit-Protokoll exportieren, werden in der Ausgabe Felder mit Details zur Authentifizierung angezeigt. Weitere Informationen sind unter Exportieren der Prüfprotokollaktivität für Ihr Unternehmen zu finden.
Hinweis
Die Anzeige von Tokendaten für Git-Ereignisse im Überwachungsprotokoll befindet sich in der öffentliche Vorschau. Änderungen sind vorbehalten.
Weiterführende Lektüre
-
[AUTOTITLE](/admin/monitoring-activity-in-your-enterprise/reviewing-audit-logs-for-your-enterprise/using-the-audit-log-api-for-your-enterprise) -
[AUTOTITLE](/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/identifying-audit-log-events-performed-by-an-access-token)