Ereignisse aus Security posture auf OCSF abbilden

Das Open Cybersecurity Schema Framework (OCSF) ist ein offenes Schema für Sicherheitsereignisse. Wende diese Zuordnung in deiner eigenen Pipeline auf Aktivitäten aus Security posture an, nachdem du sie gelesen hast und bevor du sie speicherst. Um sie in dein System für security information and event management (SIEM) aufzunehmen, beginne bei Ereignisse aus Security posture an dein SIEM senden.

OCSF-Version

Diese Zuordnung verwendet OCSF 1.6.0. Wenn du gegen eine andere Version validierst, prüfe die Attribute auf dieser Seite anhand dieser Version. In OCSF 1.7.0 ist zum Beispiel metadata.uid die Kennung des OCSF-Ereignisses selbst, und metadata.original_event_uid enthält die Kennung aus der Quelle. In OCSF 1.9.0 ist actor.app_name zugunsten von actor.application abgekündigt.

Attribute für jede Aktivität aus Security posture

Bilde diese Felder bei jedem Ereignis ab.

Lege jedes Feld ohne OCSF-Attribut unter seinem Namen aus dem Activity Feed im Objekt unmapped ab, einschließlich Feldern, die dein Handler nicht erkennt. Wenn ein Feld fehlt oder null ist, lass das OCSF-Attribut weg.

Bilde das Objekt actor ab:

Aktivitäten zu Bestätigungen: Entity Management

Bilde eine Aktivität org_security_control_attestation_updated auf die OCSF-Klasse Entity Management (3004) ab. Ereignisse der Klasse Entity Management melden eine Operation an einer verwalteten Entität, hier an der Bestätigung der Organisation für eine Sicherheitskontrolle.

Bilde status weder auf status_id noch auf irgendeinen Wert für bestanden oder nicht bestanden ab: Eine Bestätigung ist die Aussage einer Person über eine Kontrolle, nicht das Ergebnis einer Prüfung.

Setze bei 99 (Other) activity_name auf den Wert von action.

Eine Aktivität attested wird auf ein Ereignis wie dieses abgebildet, hier mit Beispielwerten:

{
  "class_uid": 3004,
  "category_uid": 3,
  "activity_id": 1,
  "type_uid": 300401,
  "severity_id": 1,
  "time": 1794495872517,
  "metadata": {
    "version": "1.6.0",
    "profiles": ["host"],
    "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
    "event_code": "org_security_control_attestation_updated",
    "original_time": "2026-11-12T15:04:32.517208Z",
    "logged_time": 1794495910000,
    "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
    "product": { "vendor_name": "Anthropic", "name": "Compliance API" }
  },
  "actor": {
    "user": {
      "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
      "email_addr": "admin@example.com"
    }
  },
  "src_endpoint": { "ip": "192.0.2.34" },
  "http_request": { "user_agent": "ExampleBrowser/1.0" },
  "entity": {
    "type_id": 99,
    "type": "Security control attestation",
    "uid": "mdm_chat_required_organization",
    "data": { "status": "completed" }
  },
  "unmapped": {
    "action": "attested",
    "actor": { "type": "user_actor" },
    "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
  }
}