AdminSecurity posture

Gespeicherte Ereignisse aus Security posture mit aktuellen Ergebnissen abgleichen

Copy page



Vergleiche einmal täglich die Aktivitäten zu Bestätigungen, die dein SIEM gespeichert hat, mit den aktuellen Ergebnissen des Endpunkts, und entscheide, welche Abweichungen eine Person brauchen.

Der Activity Feed kann eine Aktivität verspätet liefern, und der Endpunkt speichert keinen Verlauf, daher kann jede Quelle eine Änderung zeigen, die die andere nicht zeigt. Ein täglicher Abgleich findet, was deinem Speicher für Security Information and Event Management (SIEM) fehlt. Der Feed zeichnet nicht jede Änderung auf, daher kann eine Bestätigung älter sein als die erste Aktivität des Feeds für ihre Sicherheitskontrolle, und in seltenen Fällen hat eine Änderung überhaupt keine Aktivität. Wenn du nur aktuelle Ergebnisse meldest, brauchst du den Abgleich nicht.

Du brauchst einen Compliance Access Key, der die Organisation abdeckt, mit read:compliance_org_data für den Endpunkt und read:compliance_activities für den Activity Feed oder read:org_audit für beides.

Den Abgleich ausführen

Starte jeden Durchlauf erst, nachdem das tägliche erneute Einlesen des Tages abgeschlossen ist, damit verspätete Aktivitäten gespeichert sind.

1. Liste die verknüpften Organisationen mit Organisationen auflisten auf. Du erhältst die uuid jeder Organisation.
2. Rufe den Endpunkt für jede Organisation einmal auf. Du erhältst eine 200 oder bei jedem Durchlauf eine 404 für eine Organisation, die der Endpunkt nicht bedient (siehe Verfügbarkeit von Security posture). Eine 404 bedeutet, dass die Organisation in diesem Durchlauf nicht gelesen wird. Führe eine Liste der Organisationen, die eine 200 zurückgeben, jeweils mit dem evaluated_at ihrer ersten 200: deinem ersten Durchlauf für die Organisation.
3. Lege beiseite, was die Regeln zum Beiseitelegen aufführen.
4. Gruppiere die verbleibenden gespeicherten Aktivitäten zu Bestätigungen der Organisation nach Sicherheitskontrolle und nimm jeweils die neueste nach created_at. Du erhältst eine Aktivität für jede Kontrolle oder keine.
5. Suche für jede verbleibende Kontrolle ihre Zeile in der Entscheidungstabelle. Du erhältst Übereinstimmend, Erwartet oder Prüfbedürftig.
6. Handle bei einem Ergebnis „Prüfbedürftig“ erst, wenn der nächste Durchlauf, der die Organisation liest, es erneut zeigt; bei Zeile 6 handle sofort, und für die Zeilen 10 und 11 befolge stattdessen die Platzhalter-Regeln. Ein Durchlauf, der die Organisation nicht gelesen hat, zählt weder, noch startet er die Wartezeit neu.

Verteile deine Aufrufe zeitlich und behandle eine 429 so, wie 429 Too Many Requests es beschreibt; eine Organisation, deren Aufrufe nach deinen Wiederholungen fehlschlagen, wird in diesem Durchlauf nicht gelesen, und ein fehlgeschlagener Aufruf ist keine Änderung.

Die Felder zuordnen

Ordne einen Eintrag in der Antwort mit diesen Feldern einer gespeicherten Aktivität zu.

Beiseitelegen, was sich nicht vergleichen lässt

Lege vor dem Vergleich Folgendes beiseite.

Entscheiden, was jede Abweichung bedeutet

Jede verbleibende Kontrolle passt auf genau eine Zeile.

Einen Platzhalter führen, wo sich die beiden Quellen nicht zuordnen lassen

Ein Platzhalter steht für das, was einer der beiden Quellen fehlt, und du hältst ihn von deinen gespeicherten Aktivitäten getrennt. Lies für die Zeilen 10 und 11 den Feed erneut, und speichere und markiere den Platzhalter nur, wenn innerhalb von 15 Tagen, der Reichweite des täglichen erneuten Einlesens, nichts eintrifft. Speichere ihn bei deinem ersten Durchlauf sofort, ohne Überprüfung.

Platzhalter für Zeile 10, mit der Kontrolle und attested_at als Schlüssel:

1. Lies erneut ab deiner neuesten gespeicherten Aktivität für die Kontrolle oder ab attested_at einschließlich, wenn du keine gespeichert hast; die 15 Tage zählen ab attested_at. Erstelle den Platzhalter aus dem Eintrag, gekennzeichnet als ohne Aktivität; lies ihn in der Entscheidungstabelle als Aktivität attested zu diesem attested_at, deren Wert zu ihrem status gehört, sofern einer vorhanden ist.
2. Aktualisiere bei jedem Durchlauf, der die Bestätigung enthält, ihren status und state.
3. Wenn eine Aktivität eintrifft, deren created_at diesem attested_at entspricht, ersetze den Platzhalter durch sie.
4. Wenn zwei Durchläufe hintereinander die Bestätigung nicht enthalten, löse den Platzhalter auf; markiere das zur Überprüfung, es sei denn, eine jüngere gespeicherte Aktivität oder eine ungelöste Abweichung aus Zeile 10 für die Kontrolle erklärt es, oder beide Durchläufe zeigen descriptive.
5. Ein Durchlauf, der die Organisation nicht gelesen hat oder not_evaluated zeigt, zählt weder für diese zwei Durchläufe, noch startet er sie neu.
6. Wenn die Bestätigung wieder erscheint, öffne denselben Platzhalter erneut.

Platzhalter für die Zeilen 9, 11 und 15, nur mit der Kontrolle als Schlüssel:

7. Für Zeile 11 zählen die 15 Tage ab dem ersten Durchlauf, der den status zeigt. Solange der Platzhalter ungelöst ist, markiere nichts weiter für diese Kontrolle; löse ihn auf, wenn eine jüngere Aktivität eintrifft, die Bestätigung erscheint oder zwei Durchläufe hintereinander auf eine andere Zeile passen.
8. Wenn sich ein Platzhalter für Zeile 9 auflöst, weil die Bestätigung als failed_check_accepted_risk erscheint, markiere ihn einmal zur Überprüfung: Das Risiko ist in Kraft.

Durchgerechnetes Beispiel

Diese beiden Durchläufe lesen die Organisation im Antwortbeispiel in der Referenz zu Ergebnissen; Durchlauf 1 ist dein erster Durchlauf.

• Durchlauf 1, directory_sync_enabled. Gespeichert: attested, accepted_risk, erstellt am 2026-10-20T15:04:00.220114Z. Antwort: failed_check_accepted_risk, in_force, dasselbe attested_at. Zeile 1: Übereinstimmend.
• Durchlauf 1, allowed_invite_domains. Gespeichert: nichts. Antwort: descriptive, attestation null. Regel S4: beiseitegelegt.
• Durchlauf 1, oauth_conditional_access. Gespeichert: nichts. Antwort: eine attestation mit state review_due. Zeile 10: Prüfbedürftig. Speichere bei deinem ersten Durchlauf sofort einen Platzhalter, ohne Überprüfung.
• Durchlauf 2, oauth_conditional_access. Platzhalter: der aus Durchlauf 1. Antwort: dieselbe. Zeile 5: Erwartet. Handle einmal bei review_due.

Was der Abgleich nicht finden kann

Der tägliche Abgleich kann keine fehlende Aktivität für eine Bestätigung finden, die die Antwort bei einer automatischen Kontrolle auslässt. Die Antwort gibt keinen Hinweis auf eine solche Bestätigung oder nur den status failed, der wie der Status aussieht, den die automatische Prüfung liefert.

Wenn eine Organisation nicht mehr antwortet

Eine Organisation, die eine 200 zurückgegeben hat und dann in mehreren Durchläufen hintereinander eine 404 zurückgibt, braucht einmal eine Person. Frag jemanden mit Zugriff auf die Seite Security posture, ob die Seite für die Organisation ausgeschaltet wurde (siehe Verfügbarkeit von Security posture). Wenn die Seite nicht ausgeschaltet wurde, wende dich an deinen Anthropic-Ansprechpartner. Die Organisation wurde möglicherweise gelöscht, oder dein Zugriff, Security posture oder der Endpunkt endete möglicherweise für die Organisation. Löse unabhängig von der Ursache die Platzhalter und ungelösten Abweichungen der Organisation ohne Überprüfung auf, rufe die Organisation weiterhin auf und öffne die Platzhalter und Abweichungen erneut, wenn die Organisation eine 200 zurückgibt.