--- title: Mapear eventos de Security posture a OCSF url: https://platform.claude.com/docs/es/manage-claude/compliance-security-posture/ocsf-mapping description: Mapea cada actividad de Security posture de la Compliance API a su clase y sus atributos de Open Cybersecurity Schema Framework (OCSF) antes de almacenarla. --- Para habilitar la Compliance API, consulta [Configurar la Compliance API](https://platform.claude.com/docs/es/manage-claude/compliance-api-access). [Open Cybersecurity Schema Framework](https://schema.ocsf.io/) (OCSF) es un esquema abierto para eventos de seguridad. Aplica este mapeo a las actividades de [Security posture](https://platform.claude.com/docs/es/manage-claude/compliance-security-posture/overview) en tu propio pipeline, después de leerlas y antes de almacenarlas. Para ingerirlas en tu sistema de “security information and event management” (gestión de información y eventos de seguridad), o SIEM, comienza en [Enviar eventos de Security posture a tu SIEM](https://platform.claude.com/docs/es/manage-claude/compliance-security-posture/send-events). ## Versión de OCSF Este mapeo usa OCSF 1.6.0. Si validas contra otra versión, comprueba los atributos de esta página con esa versión. Por ejemplo, en OCSF 1.7.0, `metadata.uid` es el identificador del propio evento de OCSF, y `metadata.original_event_uid` contiene el identificador de la fuente. OCSF 1.9.0 declara obsoleto `actor.app_name` en favor de `actor.application`. ## Atributos para cada actividad de Security posture Mapea estos campos en cada evento. | Campo de la actividad | Atributo de OCSF | Nota | | --------------------- | ------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `id` | `metadata.uid` | Copia sin cambios. | | `type` | `metadata.event_code` | Copia sin cambios. | | `created_at` | `time` | Convierte la cadena RFC 3339 a milisegundos desde la época Unix y trúncala a un número entero. | | `created_at` | `metadata.original_time` | Copia la cadena sin cambios. | | Ninguno | `metadata.logged_time` | El momento en que almacenaste la actividad (`stored_at` en [Detectar cambios](https://platform.claude.com/docs/es/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule)), en milisegundos desde la época Unix. | | `organization_uuid` | `metadata.tenant_uid` | Copia sin cambios. | | `organization_id` | `unmapped.organization_id` | Copia sin cambios. | | Ninguno | `metadata.version` | Constante: `1.6.0`. | | Ninguno | `metadata.product.vendor_name` | Constante: `Anthropic`. | | Ninguno | `metadata.product.name` | Constante: `Compliance API`. | | Ninguno | `type_uid` | `class_uid * 100 + activity_id`. | | Ninguno | `severity_id` | Establécelo en `1` (Informational) en cada evento, y establece la prioridad de una alerta en la [regla de detección](https://platform.claude.com/docs/es/manage-claude/compliance-security-posture/detect-changes) que la genera. | Coloca cada campo que no tenga un atributo de OCSF en el objeto `unmapped` con su nombre en el Activity Feed, incluidos los campos que tu controlador no reconozca. Cuando un campo esté ausente o sea `null`, omite el atributo de OCSF. Mapea el objeto `actor`: | Campo de la actividad | Atributo de OCSF | Nota | | --------------------- | ------------------------- | ------------------------------------------------------------------------------------------ | | Ninguno | `metadata.profiles` | Agrega `host`, el perfil de OCSF (un conjunto opcional de atributos) que contiene `actor`. | | `actor.type` | `unmapped.actor.type` | Copia sin cambios. | | `actor.user_id` | `actor.user.uid` | Solo `user_actor`. | | `actor.email_address` | `actor.user.email_addr` | Solo `user_actor`. | | `actor.ip_address` | `src_endpoint.ip` | Solo `user_actor`. | | `actor.user_agent` | `http_request.user_agent` | Solo `user_actor`. | | `actor.service` | `actor.app_name` | Solo `system_actor`. | ## Actividades de atestación: Entity Management Mapea una actividad [`org_security_control_attestation_updated`](https://platform.claude.com/docs/es/manage-claude/compliance-security-posture/events-reference#attestation-activity) a la clase Entity Management de OCSF (3004). Los eventos de Entity Management informan de una operación sobre una entidad gestionada, en este caso la atestación de la organización para un control de seguridad. | Campo de la actividad | Atributo de OCSF | Nota | | --------------------- | -------------------------- | ----------------------------------------------------------------------------------- | | Ninguno | `class_uid` | Constante: `3004` (Entity Management). | | Ninguno | `category_uid` | Constante: `3` (Identity & Access Management). | | `action` | `activity_id` | Según la tabla de valores de `action` que sigue. | | `action` | `unmapped.action` | Copia sin cambios, porque dos valores de `action` comparten un mismo `activity_id`. | | Ninguno | `entity.type_id` | Constante: `99` (Other). | | Ninguno | `entity.type` | Constante: `Security control attestation`. | | `control` | `entity.uid` | Copia sin cambios. | | `status` | `entity.data.status` | Copia sin cambios: el valor de la atestación. | | `review_date` | `entity.data.review_date` | Copia sin cambios: la fecha de finalización de la atestación. | | `previous_status` | `unmapped.previous_status` | Copia sin cambios: el valor de la atestación antes del cambio. | No mapees `status` a `status_id` ni a ningún valor de aprobado o fallo: una atestación es la declaración de una persona sobre un control, no el resultado de una verificación. | `action` | `activity_id` | `type_uid` | | -------------------- | ----------------- | ---------- | | `attested` | `1` (Create) | `300401` | | `changed` | `3` (Update) | `300403` | | `renewed` | `3` (Update) | `300403` | | `cleared` | `4` (Delete) | `300404` | | `lapsed` | `11` (Deactivate) | `300411` | | Cualquier otro valor | `99` (Other) | `300499` | Para `99` (Other), establece `activity_name` en el valor de `action`. Una actividad `attested` se mapea a un evento como este, con valores de ejemplo: ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```