Comparer les événements stockés de Security posture aux résultats actuels
Une fois par jour, comparez les activités d’attestation que votre SIEM a stockées avec les résultats actuels du point de terminaison, et déterminez quelles non-concordances nécessitent l’intervention d’une personne.
Le flux d’activité peut livrer une activité en retard, et le point de terminaison ne conserve aucun historique ; chaque source peut donc présenter un changement que l’autre ne présente pas. Une comparaison quotidienne trouve ce qui manque à votre stockage de « security information and event management » (gestion des informations et des événements de sécurité), ou SIEM. Le flux n’enregistre pas chaque changement ; une attestation peut donc être plus ancienne que la première activité du flux pour son contrôle de sécurité, et, dans de rares cas, un changement n’a aucune activité. Si vous indiquez uniquement les résultats actuels, vous n’avez pas besoin de cette vérification.
Vous avez besoin d’une Compliance Access Key qui couvre l’organisation, avec read:compliance_org_data pour le point de terminaison et read:compliance_activities pour le flux d’activité, ou read:org_audit pour les deux.
Effectuer la vérification
Lancez chaque exécution une fois la relecture quotidienne du jour terminée, afin que les activités arrivées en retard soient stockées.
- Listez les organisations liées avec Lister les organisations. Vous obtenez le
uuidde chacune. - Appelez le point de terminaison une fois pour chaque organisation. Vous obtenez un 200, ou un 404 à chaque exécution pour une organisation que le point de terminaison ne dessert pas (voir Disponibilité de Security posture). Un 404 signifie que l’organisation n’est pas lue lors de cette exécution. Conservez une liste des organisations qui renvoient un 200, chacune avec le
evaluated_atde son premier 200 : votre première exécution pour l’organisation. - Mettez de côté ce que listent les règles de mise à l’écart.
- Regroupez les activités d’attestation stockées restantes de l’organisation par contrôle de sécurité, et prenez la plus récente selon
created_atpour chacun. Vous obtenez une activité pour chaque contrôle, ou aucune. - Pour chaque contrôle restant, trouvez sa ligne dans la table de décision. Vous obtenez Concordant, Attendu ou À examiner.
- N’agissez sur un « À examiner » que lorsque l’exécution suivante qui lit l’organisation le présente de nouveau ; agissez immédiatement sur la ligne 6, et pour les lignes 10 et 11, suivez plutôt les règles relatives aux enregistrements de substitution. Une exécution qui n’a pas lu l’organisation ne compte pas et ne relance pas non plus l’attente.
Espacez vos appels et gérez un 429 comme le décrit 429 Too Many Requests ; une organisation dont les appels échouent après vos nouvelles tentatives n’est pas lue lors de cette exécution, et un appel en échec n’est pas un changement.
Faire correspondre les champs
Faites correspondre une entrée de la réponse à une activité stockée à l’aide de ces champs.
| Dans la réponse | Dans l’activité | Relation |
|---|---|---|
organization_id | organization_uuid | La même valeur ; le organization_id propre à l’activité porte le préfixe org_. |
controls[].id | control | Le même identifiant, sauf dans le cas de la règle S2. |
attestation.attested_at | created_at de l’activité attested, changed ou renewed la plus récente | Le même moment lorsque la réponse présente l’attestation ; comparez-les en tant qu’horodatages, pas en tant que chaînes. |
status | status | Tant que l’attestation est en vigueur, attested_completed correspond à completed, et attested_accepted_risk et failed_check_accepted_risk correspondent à accepted_risk ; rien ne correspond à control_failed. |
Mettre de côté ce qui ne peut pas être comparé
Avant de comparer, mettez de côté les éléments suivants.
| # | Quoi | Règle |
|---|---|---|
| S1 | Une activité d’attestation stockée dont l’action n’est pas attested, changed, renewed, cleared ou lapsed | Excluez-la de l’ensemble de la vérification ; signalez pour examen chaque nouvelle valeur d’action une seule fois. |
| S2 | Une activité d’attestation stockée qui nomme mdm_cowork_required_organization | Comptez-la comme une activité pour mdm_chat_required_organization. |
| S3 | Une activité d’attestation stockée dont le contrôle n’a aucune entrée dans la réponse | Rien à comparer ; indiquez le contrôle comme absent de la réponse, jamais comme Réussi (passed). |
| S4 | Une entrée dont le status est descriptive, not_applicable ou not_evaluated | Ignorez-la ; une exécution lors de laquelle elle est not_evaluated ne compte pas pour ce contrôle. |
Déterminer la signification de chaque non-concordance
Chaque contrôle restant correspond à exactement une ligne.
| # | Activité stockée la plus récente | Entrée dans la réponse | Verdict | Action |
|---|---|---|---|---|
| 1 | attested, changed ou renewed | attested_at est égal à son created_at ; state est in_force ; status correspond à sa valeur. | Concordant | Rien. |
| 2 | cleared | attestation est null, sauf dans le cas de la ligne 11. | Concordant | Rien. |
| 3 | lapsed, avec Risque accepté (accepted_risk) | attestation est null, ou porte l’horodatage de l’activité précédente avec un state check_passing ou setting_changed. | Concordant | Rien. |
| 4 | lapsed, avec completed ou control_failed | attestation est null. | Concordant | Rien. |
| 5 | attested, changed ou renewed | attested_at est égal à son created_at ; state est review_due, check_passing ou setting_changed. | Attendu | Pas en vigueur : agissez une fois sur chaque nouvel état, sans attendre d’activité ; un retour à in_force réinitialise cela. |
| 6 | attested, changed ou renewed, avec Effectué (completed), et un created_at postérieur à votre première exécution | Lors de la première exécution qui compare l’activité, attestation est null et status est failed avec un current_value. | À examiner | La page Security posture peut présenter comme Réussi un contrôle dont la vérification automatique n’est pas satisfaite : signalez pour examen, sans attente. |
| 7 | attested, changed ou renewed, avec completed | attestation est null ; status n’est ni not_attested ni failed avec un current_value null ; la ligne 6 ne s’applique pas. | Attendu | Rien à comparer ; la réponse ne la présente jamais. |
| 8 | attested, changed ou renewed, en tant qu’Échoué (control_failed) | attestation est null ; status prend l’une de trois valeurs : failed ; tout statut que donne la vérification automatique ; ou, à partir de la date de fin (review_date, en UTC), not_attested. | Attendu | Rien à comparer ; agissez une fois lorsque status quitte failed à partir de la date de fin. |
| 9 | attested, changed ou renewed, avec accepted_risk | attestation est null, et status est passed, matches_profile ou exceeds_baseline. | Attendu | Stockez un enregistrement de substitution (règle 7 relative aux enregistrements de substitution). |
| 10 | Aucune, ou toutes les activités stockées sont plus anciennes que attested_at | attestation est présente. | À examiner | Suivez les règles relatives aux enregistrements de substitution. |
| 11 | Aucune, ou une activité dont la valeur n’est pas control_failed | current_value est null, et status est failed. | À examiner | Il manque à votre stockage une attestation en tant qu’Échoué (control_failed) : suivez les règles relatives aux enregistrements de substitution, et agissez une fois lorsque status quitte failed. |
| 12 | attested, changed, renewed ou cleared, plus récente que attested_at, avec une autre activité de presque le même moment | attestation est présente. | Attendu | Des changements effectués presque au même moment peuvent être stockés dans n’importe quel ordre. |
| 13 | La même, sans une telle seconde activité | attestation est présente. | À examiner | Contactez le support Anthropic, une seule fois. |
| 14 | attested, changed ou renewed | attested_at est égal à son created_at ; state est in_force ; status ne correspond pas à sa valeur. | À examiner | Contactez le support Anthropic, une seule fois. |
| 15 | attested, changed ou renewed ; aucune ligne précédente ne s’applique | attestation est null. | À examiner | Très probablement effacée : stockez un enregistrement de substitution (règle 7 relative aux enregistrements de substitution) et signalez pour examen une seule fois. |
| 16 | Aucune | attestation est null, et la ligne 11 ne s’applique pas. | Concordant | Rien. |
| 17 | N’importe quelle autre | N’importe quelle autre. | À examiner | Signalez pour examen une seule fois. |
Conserver un enregistrement de substitution lorsque les deux sources ne peuvent pas être mises en correspondance
Un enregistrement de substitution remplace ce qui manque à l’une des deux sources, et vous le conservez à part de vos activités stockées. Pour les lignes 10 et 11, relisez le flux, et ne stockez et ne signalez l’enregistrement de substitution que si rien n’arrive dans un délai de 15 jours, soit la portée de la relecture quotidienne. Lors de votre première exécution, stockez-le immédiatement, sans examen.
Enregistrements de substitution de la ligne 10, identifiés par le contrôle et attested_at :
- Relisez à partir de votre activité stockée la plus récente pour le contrôle, ou à partir de
attested_atinclus si vous n’en avez stocké aucune ; les 15 jours se comptent à partir deattested_at. Construisez l’enregistrement de substitution à partir de l’entrée, marqué comme n’ayant aucune activité ; dans la table de décision, lisez-le comme une activitéattestedà cetattested_atdont la valeur correspond à sonstatus, le cas échéant. - À chaque exécution qui présente l’attestation, mettez à jour son
statuset sonstate. - Lorsqu’une activité arrive dont le
created_atest égal à cetattested_at, remplacez l’enregistrement de substitution par celle-ci. - Lorsque deux exécutions consécutives ne présentent pas l’attestation, résolvez l’enregistrement de substitution ; signalez cela pour examen, sauf si une activité stockée plus récente ou une non-concordance non résolue de la ligne 10 pour le contrôle l’explique, ou si les deux exécutions présentent
descriptive. - Une exécution qui n’a pas lu l’organisation, ou qui présente
not_evaluated, ne compte pas dans ces deux exécutions et ne les relance pas non plus. - Si l’attestation apparaît de nouveau, rouvrez le même enregistrement de substitution.
Enregistrements de substitution des lignes 9, 11 et 15, identifiés par le contrôle seul :
- Pour la ligne 11, les 15 jours se comptent à partir de la première exécution qui présente le
status. Tant que l’enregistrement de substitution n’est pas résolu, ne signalez plus rien pour ce contrôle ; résolvez-le lorsqu’une activité plus récente arrive, lorsque l’attestation apparaît, ou lorsque deux exécutions consécutives correspondent à une autre ligne. - Lorsqu’un enregistrement de substitution de la ligne 9 est résolu parce que l’attestation apparaît comme
failed_check_accepted_risk, signalez-le pour examen une seule fois : le risque est en vigueur.
Exemple détaillé
Ces deux exécutions lisent l’organisation de l’exemple de réponse de la page Référence des résultats ; l’exécution 1 est votre première exécution.
- Exécution 1,
directory_sync_enabled. Stocké :attested,accepted_risk, créé à2026-10-20T15:04:00.220114Z. Réponse :failed_check_accepted_risk,in_force, le mêmeattested_at. Ligne 1 : Concordant. - Exécution 1,
allowed_invite_domains. Stocké : rien. Réponse :descriptive,attestationnull. Règle S4 : mis de côté. - Exécution 1,
oauth_conditional_access. Stocké : rien. Réponse : uneattestationavec unstatereview_due. Ligne 10 : À examiner. Lors de votre première exécution, stockez immédiatement un enregistrement de substitution, sans examen. - Exécution 2,
oauth_conditional_access. Enregistrement de substitution : celui de l’exécution 1. Réponse : la même. Ligne 5 : Attendu. Agissez une fois surreview_due.
Ce que la vérification ne peut pas trouver
La vérification quotidienne ne peut pas trouver une activité manquante pour une attestation que la réponse omet sur un contrôle automatique. La réponse ne donne aucun signe d’une telle attestation, ou seulement le status failed, qui ressemble au statut que donne la vérification automatique.
Lorsqu’une organisation cesse de répondre
Une organisation qui a renvoyé un 200 puis renvoie un 404 lors de plusieurs exécutions consécutives nécessite l’intervention d’une personne, une seule fois. Demandez à une personne ayant accès à la page Security posture si la page a été désactivée pour l’organisation (voir Disponibilité de Security posture). Si la page n’a pas été désactivée, contactez votre représentant Anthropic. L’organisation a peut-être été supprimée, ou votre accès, Security posture ou le point de terminaison a peut-être pris fin pour l’organisation. Quelle que soit la cause, résolvez les enregistrements de substitution et les non-concordances non résolues de l’organisation sans examen, continuez à appeler l’organisation, et rouvrez-les si l’organisation renvoie un 200.
Cette page vous a-t-elle été utile ?