Monitoreo del registro de auditoría de GitHub
Qué vigilar en el registro de auditoría de GitHub (anulaciones, force-push, borrado de ejecuciones, secretos y tokens nuevos) con notas de detección copiables.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Cada bypass y cada intento de encubrirlo dejan rastro en el registro de auditoría; la única pregunta es si alguien está mirando. Este es un catálogo de los eventos del registro de auditoría y de los webhooks de organización de GitHub por los que merece la pena saltar una alarma: anulaciones de la protección de ramas, force-push a ramas protegidas, borrado de ejecuciones de workflows, secretos nuevos, tokens OAuth y PAT nuevos, instalaciones de aplicaciones, cambios de rol de miembros, desactivación de SSO o 2FA, repositorios que pasan a públicos y webhooks nuevos. Cada evento incluye el nombre o los nombres de acción del registro que hay que buscar, por qué importa y una lógica de detección de ejemplo copiable que puedes adaptar a tu SIEM. Marca si para cada uno tienes Alerta, Solo registro o Sin cobertura y obtén una puntuación ponderada de cobertura de detección de 0 a 100 y la lista de lo que sigue sin vigilar. Los eventos etiquetados «LiteLLM» son exactamente los que produce un bypass seguido de encubrimiento: anular una regla, borrar el registro de la ejecución, añadir un secreto, crear un token, hacer force-push, escalar un rol. Funciona al 100 % en el cliente. GitHub revisa los nombres de las acciones con el tiempo, así que confirma cada uno contra tu propio registro antes de desplegarlo. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Recorre el catálogo de eventos: nombre de la acción, por qué importa y lógica de detección de ejemplo.
- Marca cada evento como Alerta, Solo registro o Sin cobertura.
- Revisa tu puntuación de cobertura de 0 a 100 y la lista de lo que sigue sin vigilar.
- Copia una nota o todas, o exporta, y valida cada nombre de acción contra tu propio registro antes de desplegar.
Preguntas frecuentes
¿Dónde encuentro estos eventos?
En el registro de auditoría de tu organización (Settings → Logs → Audit log) y, mejor aún, activando el streaming del registro de auditoría a tu SIEM o a tu canal de logs, para que los eventos se conserven y puedan generar alertas en lugar de verse solo en la interfaz durante un tiempo. Algunos eventos, como git.force_push, solo aparecen si los eventos de Git están activados en la configuración del registro de auditoría. Los webhooks de organización también pueden entregar un subconjunto de estos eventos casi en tiempo real.
¿Los nombres de las acciones son exactos?
Siguen la referencia del registro de auditoría de GitHub y son correctos como patrones que buscar, pero GitHub añade y renombra acciones con el tiempo, y algunas dependen del plan (por ejemplo, eventos solo de Enterprise). Trata los nombres y la lógica que se ofrecen como punto de partida: valida cada uno contra tu propio registro de auditoría, confirma los nombres de campo que usa tu exportación y después despliega la regla. La herramienta lo indica en cada nota.
¿Qué eventos deben avisar a una persona de guardia y cuáles basta con que abran un ticket?
Los etiquetados como críticos (una anulación de la protección de ramas o de un ruleset, o un force-push a una rama protegida) deben avisar de inmediato, porque en una organización sana su línea base es prácticamente cero y cada uno es una señal fuerte de bypass. El borrado de ejecuciones de workflows, los nuevos propietarios de la organización y la desactivación de SSO o 2FA van justo detrás. Los eventos de menor gravedad (un webhook nuevo, un repositorio que pasa a público) merecen una alerta revisada, pero rara vez un aviso urgente. Ajusta los umbrales a tu propia línea base.
¿Qué relación tiene con el incidente de LiteLLM?
El compromiso de LiteLLM de octubre de 2026, según se informó públicamente, incluyó la exfiltración de secretos de CI, una versión publicada desde el código de un fork, el borrado de los registros de ejecución de workflows y un force-push para borrar el rastro. Cada una de esas acciones deja huella en el registro de auditoría (un evento de secreto, un borrado de ejecución, un force-push o una anulación), así que detectar el ataque en horas o descubrirlo mucho después depende de si alguien tenía alertas sobre esas acciones. Para eso sirve este catálogo. Hace referencia a un incidente real y documentado como contexto y no está afiliado a LiteLLM ni a GitHub.
¿Mis datos salen del navegador?
No. La lista de comprobación se puntúa y las notas de detección se montan íntegramente en el cliente. No se lee nada de GitHub ni se sube nada; copias o descargas lo que quieras conservar.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.