GitHound

अवलोकन

GitHound GitHub के लिए एक BloodHound OpenGraph कलेक्टर है, जो आपके संगठन की संरचना और अनुमतियों को एक नेविगेट करने योग्य हमले-पथ ग्राफ में मैप करने के लिए डिज़ाइन किया गया है। यह:

• मुख्य GitHub संस्थाओं का मॉडल बनाता है

  • GH_Organization: आपके GitHub संगठन का मेटाडेटा
  • GH_User: संगठन में व्यक्तिगत उपयोगकर्ता खाते
  • GH_Team: साझा पहुंच के लिए उपयोगकर्ताओं को समूहित करने वाली टीमें
  • GH_Repository: संगठन के भीतर रिपॉजिटरी
  • GH_Branch: प्रत्येक रिपॉजिटरी में नामित शाखाएं
  • GH_OrgRole, GH_TeamRole, GH_RepoRole: संगठन-, टीम-, और रिपॉजिटरी-स्तरीय भूमिकाएँ/अनुमतियाँ

• BloodHound में विज़ुअलाइज़ और विश्लेषण करें

  • एक्सेस ऑडिट: एक नज़र में देखें कि रिपॉजिटरी और शाखाओं पर किसके पास एडमिन/राइट/रीड पहुँच है
  • अनुपालन जाँच: टीमों और रिपॉजिटरी में न्यूनतम-विशेषाधिकार सत्यापित करें
  • घटना प्रतिक्रिया: विशेषाधिकार वृद्धि और समूह सदस्यता का पता लगाएं

GitHound के साथ, आपको अपने GitHub अनुमति परिदृश्य का एक स्पष्ट, इंटरैक्टिव ग्राफ मिलता है—जो सुरक्षा समीक्षाओं, अनुपालन ऑडिट और त्वरित घटना जांच के लिए एकदम सही है।

दस्तावेज़ीकरण

विस्तृत दस्तावेज़ीकरण के लिए, देखें BloodHound Docs - GitHound.

त्वरित प्रारंभ

# 1. Load the collector
. ./githound.ps1

# 2. Create a session with your Personal Access Token
$session = New-GitHubSession -OrganizationName "YourOrgName" -Token (Get-Clipboard)

# 3. Run the collection
Invoke-GitHound -Session $session

# 4. Upload the resulting githound_<orgId>.json file to BloodHound

यदि संग्रह बाधित होता है, तो जहाँ से छोड़ा था वहाँ से फिर से शुरू करें:

Invoke-GitHound -Session $session -Resume

GitHub ऐप सत्र

GitHound व्यक्तिगत पहुँच टोकन सत्र और GitHub ऐप इंस्टॉलेशन सत्र दोनों का समर्थन करता है। मौजूदा संगठन-स्कोप्ड GitHub ऐप वर्कफ़्लो अपरिवर्तित है:

. ./githound.ps1

$session = New-GitHubJwtSession `
  -OrganizationName "YourOrgName" `
  -ClientId $clientId `
  -PrivateKeyPath $privateKeyPath `
  -InstallationId $installationId

Invoke-GitHound -Session $session -CollectAll

वही फ़ंक्शन एंटरप्राइज़-सक्षम सत्र भी बना सकता है:

. ./githound.ps1

$session = New-GitHubJwtSession `
  -EnterpriseName "YourEnterpriseSlug" `
  -ClientId $clientId `
  -PrivateKeyPath $privateKeyPath `
  -InstallationId $installationId `
  -PersonalAccessToken $pat

एंटरप्राइज़-सक्षम सत्र लौटाए गए GitHound.Session पर कई प्रमाणीकरण संदर्भ बनाए रखते हैं:

• Headers: सामान्य संग्रह के लिए उपयोग किए जाने वाले GitHub ऐप इंस्टॉलेशन टोकन हेडर
• JwtHeaders: उपयोगकर्ता एप्लिकेशन-स्तरीय एंडपॉइंट के लिए उपयोग किए जाने वाले GitHub ऐप JWT हेडर जैसे इंस्टॉलेशन गणना
• PatHeaders: उन संग्रह पथों के लिए वैकल्पिक व्यक्तिगत पहुँच टोकन हेडर जिनमें उपयोगकर्ता-टोकन प्रमाणीकरण की आवश्यकता होती है

प्रमाणित GitHub ऐप से संबंधित इंस्टॉलेशनों की गणना करने के लिए:

Get-GitHubAppInstallation -Session $session |
  Select-Object TargetType, InstallationId, Login, Name, SuspendedAt

वर्कफ़्लो विश्लेषण

वर्कफ़्लो पार्सिंग अब Invoke-GitHound में बनाया गया है जब आप -CollectAll का उपयोग करते हैं। कलेक्टर करेगा:

• कच्चे GH_Workflow नोड और वर्कफ़्लो सामग्री एकत्र करेगा
• उन वर्कफ़्लो का GH_WorkflowJob और GH_WorkflowStep में विश्लेषण करेगा
• GH_CanPwnRequest और GH_CanDispatchTo की गणना करेगा
• परिणामों को सामान्य समेकित githound_<orgId>.json आउटपुट में मर्ज करेगा

रिज्यूम/डिबगिंग उद्देश्यों के लिए, मध्यवर्ती वर्कफ़्लो-विश्लेषण चेकपॉइंट को githound_WorkflowAnalysis_<orgId>.json के रूप में लिखा जाता है।

एंटरप्राइज़ संग्रह नींव

GitHound में अब Git-HoundEnterprise के माध्यम से एक न्यूनतम एंटरप्राइज़ संग्रह नींव शामिल है। वह कलेक्टर वर्तमान में बनाता है:

• GH_Enterprise
• सदस्य संगठनों के लिए हल्के GH_Organization स्टब नोड
• एंटरप्राइज़ से उसके संगठनों तक GH_Contains किनारे

Git-HoundEnterpriseUser के माध्यम से एंटरप्राइज़ उपयोगकर्ता संग्रह जोड़ता है:

• GH_User
• एंटरप्राइज़ से उन उपयोगकर्ताओं तक GH_HasMember किनारे

Git-HoundEnterpriseSamlProvider के माध्यम से एंटरप्राइज़ SAML संग्रह जोड़ता है:

• GH_SamlIdentityProvider
• GH_ExternalIdentity
• एंटरप्राइज़ से प्रदाता तक GH_HasSamlIdentityProvider
• वही पहचान-सहसंबंध किनारे जो संगठन SAML कलेक्टर द्वारा उपयोग किए जाते हैं

इस पथ के लिए PAT-समर्थित सत्र की आवश्यकता होती है क्योंकि GitHub एंटरप्राइज़ SAML को enterprise.ownerInfo के माध्यम से उजागर करता है।

Git-HoundEnterpriseTeam के माध्यम से एंटरप्राइज़ टीम संग्रह जोड़ता है:

• GH_EnterpriseTeam
• एंटरप्राइज़ टीमों से असाइन किए गए संगठनों तक GH_AssignedTo किनारे
• एंटरप्राइज़ टीमों से org-दृश्यमान ent: GH_Team नोड्स तक GH_MemberOf किनारे (प्रॉपर्टी मैचिंग का उपयोग करके)
• एंटरप्राइज़-टीम members भूमिकाएँ और उपयोगकर्ताओं से उन भूमिकाओं तक GH_HasRole किनारे

Git-HoundEnterpriseRole के माध्यम से एंटरप्राइज़ भूमिका संग्रह जोड़ता है:

• GH_EnterpriseRole
• एंटरप्राइज़ से उन भूमिकाओं तक GH_Contains किनारे
• सीधे असाइन किए गए उपयोगकर्ताओं और एंटरप्राइज़ टीमों से GH_HasRole किनारे
• एंटरप्राइज़.ownerInfo.admins से भरा एक डिफ़ॉल्ट owners रोल, जब PAT-समर्थित एंटरप्राइज़ एडमिन डेटा उपलब्ध हो

फिलहाल, कच्ची एंटरप्राइज़ अनुमति स्ट्रिंग्स को GH_EnterpriseRole नोड पर उसके permissions प्रॉपर्टी में समर्पित अनुमति किनारों में विस्तारित करने के बजाय संरक्षित किया जाता है।

एंटरप्राइज़ SCIM संग्रह वर्तमान में जोड़ता है:

• SCIM_User
• SCIM_Group
• SCIM_User से GH_ExternalIdentity तक SCIM_Provisioned
• SCIM_Group से GH_EnterpriseTeam तक SCIM_Provisioned जब GitHub एंटरप्राइज़ टीम group_id उजागर करता है
• SCIM_User से SCIM_Group तक SCIM_MemberOf

यह GitHound को साझा SCIM स्कीमा से GitHub के मूल एंटरप्राइज़ पहचान और टीम मॉडल में प्रदाता-अज्ञेय पुल देता है।

जब एकत्रित GH_SamlIdentityProvider ऊपरी IdP की पहचान करता है, तो GitHound SCIM साइडकार आउटपुट के अंदर प्रदाता-जागरूक SCIM सहसंबंध किनारे भी जोड़ सकता है:

• Okta_User -> SCIM_User
  • Okta_User.id = SCIM_User.externalId द्वारा मिलान
• Okta_Group -> SCIM_Group
  • Okta_Group.name = SCIM_Group.externalId द्वारा मिलान
  • और Okta_Group.oktaDomain = GH_SamlIdentityProvider.foreign_environmentid

GitHound SCIM परत को अपने स्वयं के साइडकार आउटपुट में रखता है ताकि ये मैपिंग दिखाई देती रहें बिना SCIM-मूल नोड्स को मुख्य GitHub-मूल एंटरप्राइज़ ग्राफ में मिलाए:

• githound_<entId>.json में एंटरप्राइज़ GitHub-मूल डेटा होता है
• githound_scim_<entId>.json में SCIM-मूल नोड और SCIM ब्रिज किनारे होते हैं
• githound_saml_<entId>.json में SAML और बाहरी पहचान डेटा होता है
• githound_hybrid_<entId>.json में क्रॉस-मॉडल किनारे जैसे SAML_Implements, SAML_HasAccount, और GH_SyncedTo होते हैं
• githound_saml_<entId>.json में GitHub सेवा प्रदाता के लिए सामान्यीकृत SAML टोपोलॉजी भी शामिल है, जिसमें SAML_TrustsIssuer और SAML_HasAssertionConsumerService शामिल हैं

मूल GitHub पहचान-प्रदाता मॉडल GitHub/SAML-मूल आउटपुट में अक्षुण्ण रहता है:

• GH_ExternalIdentity
• GH_HasExternalIdentity
• GH_MapsToUser

githound_hybrid_<entId>.json में सामान्यीकृत SAML परत अब SAML_HasAccount को सीधे GH_User पर रखती है, जबकि लिंक किए गए GH_ExternalIdentity SAML-मुख गुणों जैसे saml_identity_name_id और saml_identity_username से match_values प्राप्त करती है।

एंटरप्राइज़ संग्रह द्वारा उत्सर्जित GH_Organization स्टब्स को जानबूझकर collected = false के रूप में चिह्नित किया गया है। वे एंटरप्राइज़ संदर्भ से संरचनात्मक खोज का प्रतिनिधित्व करते हैं और बाद में सामान्य संगठन संग्रह द्वारा समृद्ध किए जाने के लिए हैं।

एंटरप्राइज़-प्रथम ऑर्केस्ट्रेशन के लिए, Invoke-GitHoundEnterprise समर्थित एंटरप्राइज़-स्कोप डेटा एकत्र करेगा, संबंधित संगठन इंस्टॉलेशनों की गणना करेगा, और फिर चुने गए चेकपॉइंट पथ के तहत प्रत्येक संगठन के लिए अपनी उपनिर्देशिका में मौजूदा Invoke-GitHound वर्कफ़्लो चलाएगा।

उदाहरण: