Mapear eventos de Security posture a OCSF

Open Cybersecurity Schema Framework (OCSF) es un esquema abierto para eventos de seguridad. Aplica este mapeo a las actividades de Security posture en tu propio pipeline, después de leerlas y antes de almacenarlas. Para ingerirlas en tu sistema de “security information and event management” (gestión de información y eventos de seguridad), o SIEM, comienza en Enviar eventos de Security posture a tu SIEM.

Versión de OCSF

Este mapeo usa OCSF 1.6.0. Si validas contra otra versión, comprueba los atributos de esta página con esa versión. Por ejemplo, en OCSF 1.7.0, metadata.uid es el identificador del propio evento de OCSF, y metadata.original_event_uid contiene el identificador de la fuente. OCSF 1.9.0 declara obsoleto actor.app_name en favor de actor.application.

Atributos para cada actividad de Security posture

Mapea estos campos en cada evento.

Coloca cada campo que no tenga un atributo de OCSF en el objeto unmapped con su nombre en el Activity Feed, incluidos los campos que tu controlador no reconozca. Cuando un campo esté ausente o sea null, omite el atributo de OCSF.

Mapea el objeto actor:

Actividades de atestación: Entity Management

Mapea una actividad org_security_control_attestation_updated a la clase Entity Management de OCSF (3004). Los eventos de Entity Management informan de una operación sobre una entidad gestionada, en este caso la atestación de la organización para un control de seguridad.

No mapees status a status_id ni a ningún valor de aprobado o fallo: una atestación es la declaración de una persona sobre un control, no el resultado de una verificación.

Para 99 (Other), establece activity_name en el valor de action.

Una actividad attested se mapea a un evento como este, con valores de ejemplo:

{
  "class_uid": 3004,
  "category_uid": 3,
  "activity_id": 1,
  "type_uid": 300401,
  "severity_id": 1,
  "time": 1794495872517,
  "metadata": {
    "version": "1.6.0",
    "profiles": ["host"],
    "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
    "event_code": "org_security_control_attestation_updated",
    "original_time": "2026-11-12T15:04:32.517208Z",
    "logged_time": 1794495910000,
    "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
    "product": { "vendor_name": "Anthropic", "name": "Compliance API" }
  },
  "actor": {
    "user": {
      "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
      "email_addr": "admin@example.com"
    }
  },
  "src_endpoint": { "ip": "192.0.2.34" },
  "http_request": { "user_agent": "ExampleBrowser/1.0" },
  "entity": {
    "type_id": 99,
    "type": "Security control attestation",
    "uid": "mdm_chat_required_organization",
    "data": { "status": "completed" }
  },
  "unmapped": {
    "action": "attested",
    "actor": { "type": "user_actor" },
    "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
  }
}