# Inventário de credenciais no GitHub: o CSV precisa virar grafo de exposição

https://thiago.limaesilvatecnologia.com.br/artigos/identidade/github-enterprise-credential-inventory/

Publicado em: 2026-09-28

O inventário corporativo reúne tokens, chaves e autorizações; o valor de segurança aparece quando esses metadados são normalizados, correlacionados com auditoria e ligados a uma revogação testada.

Conteúdo produzido com assistência de IA para o site de Thiago Silva. Análise editorial independente; não representa clientes ou empregadores.

Em 21/09/2026, o GitHub anunciou exportação de inventário de credenciais para Enterprise Cloud. Segundo o fornecedor, proprietários da empresa ou funções com a permissão View enterprise credentials podem consultar metadados de chaves SSH, tokens de acesso pessoal, OAuth e GitHub Apps por CSV ou API. A função é de leitura; as recomendações seguintes são análise editorial.

## Inventário é evidência, não remediação

A nova visão reduz uma lacuna comum em incidentes: descobrir quais credenciais existem, quem as controla e a quais organizações ou repositórios elas chegam. A documentação lista proprietário, estado, criação, último uso, expiração, escopos, permissões e seleção de repositórios. Ela também esclarece que valores secretos não são expostos. Isso torna o inventário útil para investigação sem transformá-lo em um cofre de tokens reutilizáveis.

Ainda assim, uma linha no arquivo não prova abuso, e a ausência de uso recente não prova segurança. O inventário é somente leitura, enquanto suspensão de acesso, revogação ou retirada de autorização dependem do tipo de credencial. Um procedimento de resposta precisa separar descoberta, validação do contexto e ação. Revogar tudo que parece antigo pode interromper pessoas e automações legítimas; não agir porque o arquivo não contém o segredo pode deixar uma exposição ativa.

## Modele relações, não apenas linhas

O CSV pode repetir a mesma credencial para cada organização que a autorizou. Além disso, alguns identificadores só são únicos quando combinados com o tipo, e o identificador opaco do inventário pode mudar. Portanto, contar linhas como se fossem credenciais distintas distorce a exposição. Normalize primeiro tipo, identificador estável disponível, proprietário e estado; depois represente as relações entre identidade, credencial, aplicação, organização e repositório alcançável.

O resultado mais útil é um grafo de autorização com proveniência: quem emitiu ou controla a credencial, quais permissões ela carrega, onde pode atuar e quando foi observada. Em um cenário hipotético, um token com poucos escopos, mas autorizado em muitas organizações, pode merecer prioridade maior que outro mais amplo e isolado em um laboratório. A prioridade deve considerar alcance, sensibilidade do destino, expiração, último uso e controles de identidade, sem converter uma heurística em veredito automático.

## Correlacione com auditoria antes de concluir

A documentação orienta a correlação de hashes ou IDs de tokens e impressões digitais SSH com eventos de auditoria. Esse vínculo transforma a pergunta de “o que existe?” em “onde e quando foi usado?”. Preserve o identificador usado na consulta, a janela temporal, os filtros e o resultado. Se um evento não puder ser ligado a uma identidade humana ou workload autorizado, registre a lacuna em vez de preencher a atribuição por suposição.

Defina uma sequência de triagem: validar proprietário, confirmar finalidade, examinar autorizações, procurar eventos compatíveis e só então decidir contenção. Um indicador como “nunca expira” aumenta o risco potencial, mas não demonstra comprometimento. Da mesma forma, ausência de eventos pode refletir retenção insuficiente ou integração incompleta. A evidência precisa distinguir fato observado, alegação do fornecedor e inferência do analista para que liderança e resposta a incidentes entendam a confiança de cada conclusão.

## Proteja a exportação como dado de segurança

O arquivo não contém os segredos, mas reúne uma cartografia valiosa de proprietários, permissões e alvos. Restrinja a exportação à função mínima, registre quem a solicitou, aplique retenção curta e armazene-a em local cifrado com acesso monitorado. A API exige privilégios de leitura corporativa; a exportação assíncrona produz um endereço temporário. Nenhum desses mecanismos elimina a necessidade de controlar cópias locais, anexos ou artefatos de pipeline.

Para automação recorrente, prefira ingestão incremental com cursor tratado como opaco e um marcador de coleta próprio. A API não fornece contagem total, e limites de exportação impedem assumir disponibilidade ilimitada. Teste paginação, falha parcial e repetição antes de usar o dado em um dashboard. Métricas devem informar cobertura e idade da coleta, não apenas um número de credenciais que pode estar incompleto ou duplicado.

## Revogação precisa de ensaio e responsável

Monte um exercício com credenciais sintéticas ou de teste: descubra o item, correlacione um evento, identifique dependências, revogue pelo fluxo correto e confirme que o acesso cessou. Inclua um caminho de reemissão e restauração para automações essenciais. A documentação alerta que revogar pode interromper usuários e sistemas; por isso a decisão deve ter responsável, critério de emergência, comunicação e evidência de conclusão.

O pacote de arquitetura para produção deve conter modelo de dados, matriz de permissão, proteção da exportação, correlação de auditoria, regras de prioridade e runbook de contenção. Para o negócio, o ganho não é possuir outro CSV, mas reduzir o tempo entre identificar uma credencial e tomar uma decisão justificável sem ampliar desnecessariamente a interrupção. Esta análise não relata uma implantação de Thiago Silva nem revisão humana de um ambiente; propõe controles verificáveis para uma avaliação real.

## Fontes

- [GitHub — GitHub Enterprise adds credential inventory exports](https://github.blog/changelog/2026-09-21-github-enterprise-adds-credential-inventory-exports/). Consultado em: 2026-09-28.

- [GitHub Docs — Reviewing credentials in your enterprise](https://docs.github.com/en/enterprise-cloud@latest/admin/managing-iam/respond-to-incidents/reviewing-credentials-in-your-enterprise). Consultado em: 2026-09-28.

- [GitHub Docs — REST API endpoints for enterprise credential inventory](https://docs.github.com/en/enterprise-cloud@latest/rest/enterprise-admin/token-inventory?apiVersion=2026-03-10). Consultado em: 2026-09-28.

[Perfil: Thiago Silva | Cyber Architect](https://thiago.limaesilvatecnologia.com.br/perfil/)