GitHub Secret Scanning đổi audit log: rà automation trước ngày 12/11

Bài viết này do AI tạo ra dựa trên GitHub Changelog ngày 20/10/2026. Tên field và thời điểm rollout cần được kiểm tra lại trong môi trường doanh nghiệp trước khi sửa automation.

Tóm tắt nhanh

GitHub sẽ đổi giá trị field business trong một số audit-log event của Secret Scanning từ enterprise display name sang enterprise slug vào ngày 12/11/2026.
Event bị ảnh hưởng gồm secret_scanning_alert.* và secret_scanning_push_protection.bypass.
Tên event và business_id dạng số không đổi.
Workflow SIEM, SOAR, ETL hoặc alert rule đang lọc theo display name có nguy cơ bỏ sót hoặc tách sai dữ liệu sau rollout.

Thay đổi nào sắp xảy ra?

GitHub cho biết từ 12/11/2026, field business của các audit-log event Secret Scanning bị ảnh hưởng sẽ không còn trả về tên hiển thị enterprise. Thay vào đó, nó chứa enterprise slug. Đây là thay đổi nhỏ ở bề mặt schema nhưng có thể tác động trực tiếp tới parser, dashboard và quy tắc correlation nếu hệ thống đang coi display name là định danh ổn định.

Kiểu dữ liệu vẫn là string. GitHub không đổi event name hoặc giá trị số của business_id, vì vậy đội vận hành có đường chuyển an toàn hơn: ưu tiên định danh số khi thiết kế integration.

Những pipeline nào cần rà?

Rule SIEM lọc business theo đúng tên enterprise.
Webhook consumer lưu field này thành khóa join với CMDB hoặc bảng tenant.
Dashboard phân nhóm theo display name.
SOAR playbook quyết định route ticket theo tên doanh nghiệp.
Test fixture và parser schema viết cứng giá trị cũ.

Cập nhật mới trong Secret Scanning

Cùng đợt này, GitHub nêu một số cải tiến và sửa lỗi. Custom pattern alert còn khớp sau khi pattern được chỉnh sửa sẽ giữ trạng thái mở thay vì đóng rồi mở lại. Với repository private và internal trên github.com đã bật Secret Scanning, luồng revoke preview đã hỗ trợ tự giải mã các GitHub token bị Base64-encode, gồm PAT classic, fine-grained PAT, OAuth token và GitHub App user token.

Webhook cho dismissal request có thêm exemption_request.number; khi correlation, GitHub khuyến nghị ghép số này với repository. API custom pattern cũng đổi lỗi invalid argument từ HTTP 500 sang HTTP 422, giúp integration phân biệt input lỗi với sự cố máy chủ.

Kế hoạch chuyển đổi trước 12/11

Liệt kê truy vấn, webhook consumer, parser và alert có dùng business.
Sửa rule để chấp nhận cả display name lẫn slug trong giai đoạn chuyển tiếp, hoặc chuyển hẳn sang business_id.
Chạy replay audit log mẫu trong staging; kiểm tra dashboard, ticket routing và deduplication.
Đặt cảnh báo tạm thời cho giá trị business chưa map được sau ngày rollout.
Cập nhật runbook để SOC và platform team biết đây là thay đổi schema, không phải mất event.

Phân tích

Audit log thường là dữ liệu nền cho phát hiện lộ secret, kiểm tra bypass push protection và điều tra sự cố. Dùng display name làm khóa máy có vẻ tiện nhưng dễ vỡ vì tên có thể đổi, khác biệt chữ hoa/thường hoặc không đồng nhất giữa hệ thống. business_id là khóa tốt hơn cho lưu trữ và join; slug phù hợp cho hiển thị, URL và thao tác của con người. Đây cũng là dịp để đội DevSecOps kiểm tra các automation phụ thuộc schema ngoài hợp đồng API chặt chẽ.