--- title: Ereignisse aus Security posture auf OCSF abbilden url: https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/ocsf-mapping description: Bilde jede Aktivität aus Security posture in der Compliance API auf ihre Klasse und ihre Attribute des Open Cybersecurity Schema Framework (OCSF) ab, bevor du sie speicherst. --- Wie du die Compliance API aktivierst, erfährst du unter [Compliance API einrichten](https://platform.claude.com/docs/de/manage-claude/compliance-api-access). Das [Open Cybersecurity Schema Framework](https://schema.ocsf.io/) (OCSF) ist ein offenes Schema für Sicherheitsereignisse. Wende diese Zuordnung in deiner eigenen Pipeline auf Aktivitäten aus [Security posture](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/overview) an, nachdem du sie gelesen hast und bevor du sie speicherst. Um sie in dein System für security information and event management (SIEM) aufzunehmen, beginne bei [Ereignisse aus Security posture an dein SIEM senden](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/send-events). ## OCSF-Version Diese Zuordnung verwendet OCSF 1.6.0. Wenn du gegen eine andere Version validierst, prüfe die Attribute auf dieser Seite anhand dieser Version. In OCSF 1.7.0 ist zum Beispiel `metadata.uid` die Kennung des OCSF-Ereignisses selbst, und `metadata.original_event_uid` enthält die Kennung aus der Quelle. In OCSF 1.9.0 ist `actor.app_name` zugunsten von `actor.application` abgekündigt. ## Attribute für jede Aktivität aus Security posture Bilde diese Felder bei jedem Ereignis ab. | Feld der Aktivität | OCSF-Attribut | Hinweis | | ------------------- | ------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | `metadata.uid` | Unverändert kopieren. | | `type` | `metadata.event_code` | Unverändert kopieren. | | `created_at` | `time` | Wandle den RFC-3339-String in Millisekunden seit der Unix-Epoche um und schneide auf eine ganze Zahl ab. | | `created_at` | `metadata.original_time` | Den String unverändert kopieren. | | Keins | `metadata.logged_time` | Der Zeitpunkt, zu dem du die Aktivität gespeichert hast (`stored_at` auf [Änderungen erkennen](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule)), in Millisekunden seit der Unix-Epoche. | | `organization_uuid` | `metadata.tenant_uid` | Unverändert kopieren. | | `organization_id` | `unmapped.organization_id` | Unverändert kopieren. | | Keins | `metadata.version` | Konstante: `1.6.0`. | | Keins | `metadata.product.vendor_name` | Konstante: `Anthropic`. | | Keins | `metadata.product.name` | Konstante: `Compliance API`. | | Keins | `type_uid` | `class_uid * 100 + activity_id`. | | Keins | `severity_id` | Setze den Wert bei jedem Ereignis auf `1` (Informational), und lege die Priorität eines Alarms in der [Erkennungsregel](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/detect-changes) fest, die ihn auslöst. | Lege jedes Feld ohne OCSF-Attribut unter seinem Namen aus dem Activity Feed im Objekt `unmapped` ab, einschließlich Feldern, die dein Handler nicht erkennt. Wenn ein Feld fehlt oder `null` ist, lass das OCSF-Attribut weg. Bilde das Objekt `actor` ab: | Feld der Aktivität | OCSF-Attribut | Hinweis | | --------------------- | ------------------------- | -------------------------------------------------------------------------------------- | | Keins | `metadata.profiles` | Füge `host` hinzu, das OCSF-Profil (ein optionaler Attributsatz), das `actor` enthält. | | `actor.type` | `unmapped.actor.type` | Unverändert kopieren. | | `actor.user_id` | `actor.user.uid` | Nur `user_actor`. | | `actor.email_address` | `actor.user.email_addr` | Nur `user_actor`. | | `actor.ip_address` | `src_endpoint.ip` | Nur `user_actor`. | | `actor.user_agent` | `http_request.user_agent` | Nur `user_actor`. | | `actor.service` | `actor.app_name` | Nur `system_actor`. | ## Aktivitäten zu Bestätigungen: Entity Management Bilde eine Aktivität [`org_security_control_attestation_updated`](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/events-reference#attestation-activity) auf die OCSF-Klasse Entity Management (3004) ab. Ereignisse der Klasse Entity Management melden eine Operation an einer verwalteten Entität, hier an der Bestätigung der Organisation für eine Sicherheitskontrolle. | Feld der Aktivität | OCSF-Attribut | Hinweis | | ------------------ | -------------------------- | ------------------------------------------------------------------------------ | | Keins | `class_uid` | Konstante: `3004` (Entity Management). | | Keins | `category_uid` | Konstante: `3` (Identity & Access Management). | | `action` | `activity_id` | Aus der folgenden Tabelle der `action`-Werte. | | `action` | `unmapped.action` | Unverändert kopieren, weil sich zwei `action`-Werte eine `activity_id` teilen. | | Keins | `entity.type_id` | Konstante: `99` (Other). | | Keins | `entity.type` | Konstante: `Security control attestation`. | | `control` | `entity.uid` | Unverändert kopieren. | | `status` | `entity.data.status` | Unverändert kopieren: der Wert der Bestätigung. | | `review_date` | `entity.data.review_date` | Unverändert kopieren: das Enddatum der Bestätigung. | | `previous_status` | `unmapped.previous_status` | Unverändert kopieren: der Wert der Bestätigung vor der Änderung. | Bilde `status` weder auf `status_id` noch auf irgendeinen Wert für bestanden oder nicht bestanden ab: Eine Bestätigung ist die Aussage einer Person über eine Kontrolle, nicht das Ergebnis einer Prüfung. | `action` | `activity_id` | `type_uid` | | --------------------------- | ----------------- | ---------- | | `attested` | `1` (Create) | `300401` | | `changed` | `3` (Update) | `300403` | | `renewed` | `3` (Update) | `300403` | | `cleared` | `4` (Delete) | `300404` | | `lapsed` | `11` (Deactivate) | `300411` | | Ein beliebiger anderer Wert | `99` (Other) | `300499` | Setze bei `99` (Other) `activity_name` auf den Wert von `action`. Eine Aktivität `attested` wird auf ein Ereignis wie dieses abgebildet, hier mit Beispielwerten: ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```