Security posture in der Compliance API
Erfahre, was die Compliance API über die Seite Security posture (Security Center) in claude.ai bereitstellt und wo du am besten anfängst.
Die Seite Security posture in den Organisationseinstellungen von claude.ai vergleicht die Claude-Einstellungen deiner Organisation mit den von Anthropic empfohlenen Sicherheitskontrollen. Über die Compliance API können deine Sicherheitstools die Änderungen lesen, die die Seite festhält. Sie können auch aktuelle Ergebnisse lesen. Security posture berichtet über deine Einstellungen und ändert sie nicht. Der Eintrag in der Seitenleiste heißt Security posture, und die Seite, die er öffnet, hat die Überschrift Security Center.
Wähle deinen Weg
Um Änderungen auf der Seite in dein System für Security Information and Event Management (SIEM) zu bringen, beginne mit Ereignisse aus Security posture an dein SIEM senden. Wenn du bereits den gesamten Activity Feed einliest, hast du sie schon; prüfe zwei Dinge.
- Um Alarme bei riskanten Änderungen auszulösen, siehe Änderungen in Security posture erkennen.
- Um auf das Open Cybersecurity Schema Framework (OCSF) zu normalisieren, siehe Ereignisse aus Security posture auf OCSF abbilden.
- Um herauszufinden, wer welches Risiko wann und bis wann akzeptiert hat, siehe Referenz zu Ereignissen aus Security posture; für Risiken, die in Kraft sind, siehe Aktuelle Ergebnisse.
Um mit aktuellen Ergebnissen vom Endpunkt zu arbeiten, verwende diese Seiten:
- Für Dashboards siehe Referenz zu Ergebnissen aus Security posture.
- Um gespeicherte Ereignisse zu überprüfen, siehe Gespeicherte Ereignisse aus Security posture mit aktuellen Ergebnissen abgleichen.
- Wenn Endpunkt und Seite nicht übereinstimmen, siehe Wie eine Bestätigung in der Antwort erscheint.
Um die Daten zu verstehen, lies weiter.
Was Security posture auswertet
Security posture wertet eine Liste von Kontrollen aus und gibt jeder davon ein Ergebnis.
Kontrollen
Eine Kontrolle ist eine empfohlene Einstellung oder Praxis, etwa Single Sign-on. Jede Kontrolle hat einen Anzeigenamen und einen Bezeichner. Der Bezeichner ist für jede Organisation gleich. Eine Kontrolle kann außerdem einen aktuellen Wert (current_value) und einen empfohlenen Wert (desired_state) haben. Es gibt drei Arten von Kontrollen:
| Art | Was ihr Ergebnis bestimmt | Beispiel |
|---|---|---|
| Automatische Kontrolle | Eine automatische Prüfung des aktuellen Werts gegen den empfohlenen Wert, sofern keine Bestätigung in Kraft ist. | sso_enabled |
| Manuelle Kontrolle | Eine Person, weil Anthropic die Einstellung nicht lesen kann, zum Beispiel wenn sie in der Konsole eines anderen Anbieters liegt. | oauth_conditional_access |
| Rein informative Kontrolle | Nichts: Es gibt keinen empfohlenen Wert, daher wird die Kontrolle gemeldet und nicht eingestuft. | allowed_invite_domains |
Bestätigungen
Eine Bestätigung ist die festgehaltene Aussage einer Person dazu, wie die Organisation bei einer Kontrolle dasteht; sie ist nicht das Ergebnis einer Prüfung. Die meisten Kontrollen können eine Bestätigung tragen, auch automatische, unabhängig vom Ergebnis ihrer Prüfung. Eine Bestätigung hat einen von drei Werten:
- Umgesetzt (
completed): Die Kontrolle ist eingerichtet. - Akzeptiertes Risiko (
accepted_risk): Die Kontrolle ist nicht eingerichtet, und die Organisation akzeptiert das Risiko. - Nicht bestanden (
control_failed): Die Kontrolle ist nicht eingerichtet.
Wer bestätigen darf, tut dies auf der Seite. Die API liest Bestätigungen und kann keine erstellen. Die Seite kann eine Frage stellen, wenn jemand bestätigt, manchmal mit verpflichtender Antwort, und speichert die Antwort zusammen mit der Bestätigung als deren Kommentar mit bis zu 2.000 Zeichen. Eine Aktivität im Activity Feed enthält den Kommentar nie und zeigt auch nie, dass es einen gibt. Auch der Endpunkt gibt keine Kommentare zurück.
Ergebnisse
Jede Kontrolle hat eines von vier Ergebnissen.
| Ergebnis | Bedeutung |
|---|---|
Bestanden (passed) | Erfüllt den empfohlenen Wert, oder eine Bestätigung als Umgesetzt oder Akzeptiertes Risiko ist in Kraft. |
Nicht bestanden (failed) | Erfüllt den empfohlenen Wert nicht oder ist als Nicht bestanden (control_failed) bestätigt. |
Nicht bestätigt (not_attested) | Eine manuelle Kontrolle, für die keine Bestätigung in Kraft ist. |
Informativ (descriptive) | Nicht eingestuft, auch wenn bestätigt; umfasst rein informative Kontrollen sowie Kontrollen, die nicht zutreffen oder nicht gelesen werden konnten. |
Ein akzeptiertes Risiko, das in Kraft ist, zählt bei einer automatischen oder manuellen Kontrolle als Bestanden, obwohl die Kontrolle nicht eingerichtet ist. In der Antwort ist eine automatische Kontrolle, die als Umgesetzt bestätigt ist, während ihre Prüfung fehlschlägt, failed.
Was eine Bestätigung beendet
Eine Bestätigung bleibt in Kraft, bis eines von drei Dingen eintritt:
- Jemand entfernt oder ändert sie.
- Ihr Enddatum (
review_date) ist erreicht. Die bestätigende Person wählt 90 Tage oder kein Enddatum. - Bei einer automatischen oder rein informativen Kontrolle ändert sich der aktuelle Wert, oder, bei einem akzeptierten Risiko für einige automatische Kontrollen, ist die automatische Prüfung erfolgreich.
Solange keine Bestätigung in Kraft ist, folgt das Ergebnis einer automatischen Kontrolle ihrer Prüfung, und eine manuelle Kontrolle ist Nicht bestätigt.
Änderungen im Zeitverlauf: der Activity Feed
Der Activity Feed beantwortet, was sich wann geändert hat und wer es geändert hat. Er zeichnet eine Aktivität auf, wenn jemand eine Kontrolle bestätigt, eine Bestätigung ändert oder eine entfernt, und manchmal, wenn eine Bestätigung automatisch endet.
In den Titeln dieser Seiten heißen die Aktivitäten Ereignisse. Zum Lesen brauchst du den Scope read:compliance_activities oder read:org_audit. Referenz zu Ereignissen aus Security posture listet ihre Felder auf. Um sie zu sammeln, siehe Ereignisse aus Security posture an dein SIEM senden.
Aktuelle Ergebnisse: der Endpunkt
Der Endpunkt beantwortet, welches Ergebnis eine Kontrolle zum Zeitpunkt der Anfrage hat. Verwende ihn für Berichte über die Organisationen unter deiner übergeordneten Organisation. Jeder Aufruf liest eine Organisation und gibt keinen Verlauf zurück. Für jede Kontrolle, die sie auflistet, gibt die Antwort deren id, display_name und Ergebnis in rating an und verwendet dabei die Bezeichner aus der Ergebnistabelle.
Für den Aufruf brauchst du den Scope read:compliance_org_data oder read:org_audit.
Seite, Endpunkt und Feed zeigen nicht immer dasselbe, weil die Antwort einige Kontrollen und einige Bestätigungen auslässt. Siehe Wie eine Bestätigung in der Antwort erscheint und Gespeicherte Ereignisse aus Security posture mit aktuellen Ergebnissen abgleichen.
Verfügbarkeit
Security posture befindet sich in der Beta.
Wenn deine Organisation Claude Enterprise nutzt, Security posture für sie verfügbar ist und ihre übergeordnete Organisation die Compliance API aktiviert hat, zeichnet der Activity Feed Aktivitäten zu Bestätigungen für sie auf, und der Endpunkt gibt die Ergebnisse deiner Organisation zurück.
Du brauchst außerdem einen Compliance Access Key mit dem passenden Scope. Diese Seiten setzen voraus, dass du Die Compliance API einrichten und Den Activity Feed abfragen gelesen hast.
Wenn deine Organisation einen anderen Plan nutzt oder eine Organisation in der Claude Console ist, zeichnet der Activity Feed keine Aktivitäten aus Security posture für sie auf, und der Endpunkt gibt 404 zurück.
Wenn die Seite Security posture für deine Organisation ausgeschaltet wurde, gibt der Endpunkt für deine Organisation 404 zurück, bis die Seite eingeschaltet wird. Selbst ein Key für die übergeordnete Organisation erhält diese 404-Antwort.
Für einige Organisationen gibt der Endpunkt 404 zurück, selbst wenn alle drei Bedingungen erfüllt sind und die Seite nicht ausgeschaltet wurde.
Wer sehen kann, wer bestätigt hat
Jede Aktivität zu einer Bestätigung, die eine Person ausgelöst hat, speichert ihre Benutzer-ID, ihre damalige E-Mail-Adresse sowie die IP-Adresse und den User-Agent der Anfrage. Ein beliebiger Key, der die Organisation abdeckt und read:compliance_activities oder read:org_audit besitzt, kann diese Angaben lesen, auch nachdem die Person die Organisation verlassen hat oder ihr Konto gelöscht wurde. Das Löschen der Organisation entfernt diese Aktivitäten nicht aus dem Activity Feed, der Aktivitäten 6 Jahre lang aufbewahrt. Die eigenen Keys der Organisation funktionieren nicht mehr, wenn sie gelöscht wird.
Ein beliebiger Key mit sowohl read:compliance_org_data als auch read:compliance_user_data oder mit read:org_audit kann die Benutzer-ID der Person, die bestätigt hat, in attested_by des Endpunkts lesen, sofern der Endpunkt dies zurückgibt, auch bei Bestätigungen, die abgegeben wurden, bevor du Zugriff hattest.
Diese Werte sind personenbezogene Daten; deine Kopien bestehen über die Mitgliedschaft der Person hinaus. Bevor du diese Daten sammelst, informiere die bestätigenden Personen.
Was Anthropic speichert, wenn jemand bestätigt
Anthropic speichert eine Bestätigung pro Kontrolle, unter anderem mit dem Wert, dem Zeitpunkt, zu dem sie abgegeben wurde, einem etwaigen Enddatum und dem Konto der bestätigenden Person. Erneutes Bestätigen ersetzt diese Bestätigung.
Anthropic speichert eine Bestätigung weiter, nachdem ihr Enddatum erreicht ist oder sie automatisch endet, bis jemand sie entfernt oder Anthropic die Organisation und damit auch sie löscht. Wenn das Konto der bestätigenden Person gelöscht wird, speichert Anthropic die Bestätigung weiterhin; sie gibt dann nicht mehr an, wer bestätigt hat. Etwaige Aktivitäten im Activity Feed, die diese Person ausgelöst hat, nennen diese Person weiterhin. Das Entfernen oder Ersetzen einer Bestätigung entfernt nichts aus dem Activity Feed (siehe Wer sehen kann, wer bestätigt hat).
Kundenverwaltete Verschlüsselungsschlüssel (CMEK), Zero Data Retention (ZDR) für Claude Code und ein HIPAA-bereiter Enterprise-Plan ändern nicht, was Anthropic zur Kontrolle, zum Wert, zu den Datumsangaben und zum Konto einer Bestätigung speichert. Keines der drei verkürzt, wie lange Anthropic diese Angaben speichert. CMEK verschlüsselt diese Angaben nicht.
Anthropic speichert den Kommentar einer Bestätigung, bis jemand die Bestätigung entfernt oder bis Anthropic die Organisation und damit auch den Kommentar löscht. Erneutes Bestätigen kann den Kommentar ersetzen oder entfernen. Solange Security posture für eine Organisation nicht verfügbar ist, speichert Anthropic ihre Bestätigungen und Kommentare weiter, und niemand kann sie auf der Seite Security posture sehen oder entfernen. Ein benutzerdefinierter Aufbewahrungszeitraum für Unterhaltungen verkürzt nicht, wie lange Anthropic die Bestätigung oder den Kommentar speichert. Aktivitäten im Activity Feed enthalten den Kommentar nie (siehe Was der Feed nicht aufzeichnet).
War diese Seite hilfreich?