Referenz zu Ereignissen aus Security posture

Der Activity Feed zeichnet Änderungen an Bestätigungen auf der Seite Security posture als die Aktivitäten auf, die diese Seite beschreibt. Um sie in ein System für „security information and event management“ (SIEM) zu übernehmen, beginne bei Ereignisse aus Security posture an dein SIEM senden. Gib einen beliebigen Wert von control, action oder einem anderen Feld, das diese Seite nicht auflistet, unverändert weiter, ignoriere unerwartete Felder und behandle einen fehlenden Schlüssel und einen null-Wert gleich. Das Activity-Objekt verstehen behandelt die Standardfelder und unbekannte Typen.

Du benötigst einen Compliance Access Key, der die Organisation abdeckt, mit dem Scope read:compliance_activities oder read:org_audit.

Bestätigungsaktivität

Eine Aktivität vom Typ org_security_control_attestation_updated hält fest, dass jemand die Bestätigung der Organisation für eine Sicherheitskontrolle erfasst, geändert, erneut gespeichert oder entfernt hat oder dass die Bestätigung automatisch endete. Ihr created_at ist der Zeitpunkt der Änderung durch eine Person oder, bei einer automatischen Änderung, der Zeitpunkt, zu dem die Änderung erfasst wurde, der später liegen kann als die Änderung. Ihr actor ist ein user_actor bei der Änderung durch eine Person und ein system_actor bei einer automatischen Änderung, etwa lapsed.

Felder

Dieser Typ fügt die folgenden Felder hinzu, wobei status der Wert der Bestätigung und review_date ihr Enddatum ist.

Bei einer rein informativen Kontrolle wird der Wert Geprüft als completed erfasst.

action-Werte

Bei Aktivitäten vom Typ renewed und lapsed ist status gleich previous_status. Ein Speichern mit demselben Wert nach einer lapsed-Aktivität wird als renewed erfasst, nicht als attested.

Was eine lapsed-Aktivität bedeutet

Eine lapsed-Aktivität bedeutet, dass das Prüfergebnis oder der aktuelle Wert der Kontrolle von dem abweicht, mit dem die Bestätigung gespeichert wurde; der aktuelle Wert kann sich ändern, ohne dass eine Einstellung geändert wurde, zum Beispiel wenn Anthropic ihn umformuliert. status ist der Wert, der endete: einer der drei. Eine Bestätigung einer manuellen Kontrolle erhält nie eine lapsed-Aktivität. Die Aktivität kann später eintreffen als die Änderung, die sie verursacht hat.

Beispiel

{
  "id": "activity_01Hq7ZtYc4Vb2NmKx8RsPd3W",
  "type": "org_security_control_attestation_updated",
  "created_at": "2026-10-20T15:04:00.220114Z",
  "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2",
  "organization_uuid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "actor": {
    "type": "user_actor",
    "email_address": "jane.doe@example.com",
    "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu",
    "ip_address": "192.0.2.34",
    "user_agent": "Mozilla/5.0..."
  },
  "control": "directory_sync_enabled",
  "action": "attested",
  "status": "accepted_risk"
}

Was der Feed nicht aufzeichnet

Werte das Fehlen einer Aktivität nicht als Zeichen dafür, dass sich nichts geändert hat. Aktuelle Ergebnisse findest du unter Referenz zu Ergebnissen aus Security posture; dessen Endpunkt kann eine Kontrolle auslassen, die eine Aktivität nennt.

• Änderungen, bevor der Activity Feed begann, diese Aktivitäten für die Organisation aufzuzeichnen, oder solange die Compliance API ausgeschaltet war; sie werden nie nachträglich hinzugefügt.
• Selten eine Änderung beliebiger Art.
• Jedes Enddatum, das erreicht wird: nicht jedes erhält eine Aktivität, warte also nicht auf eine.
• Jedes Aus- oder Einschalten der Seite Security posture: Verlasse dich nicht auf eine Erkennungsregel, um es zu erkennen.
• Kommentare, die mit einer Bestätigung gespeichert wurden, oder jeglicher Hinweis darauf, dass es einen Kommentar gibt. Um einen Kommentar zu ändern, ist ein erneutes Speichern nötig, das der Feed wie jedes andere Speichern mit demselben Wert aufzeichnet (siehe action-Werte).
• Für welche Art von Kontrolle eine Bestätigung gilt: automatisch, manuell oder rein informativ.
• Jede Änderung, die eine Bestätigung beenden könnte: nicht jede erhält eine lapsed-Aktivität.