Référence des événements de Security posture

Le flux d’activité consigne les changements apportés aux attestations sur la page Security posture sous la forme des activités que décrit cette page. Pour les ingérer dans un système SIEM (security information and event management), commencez par Envoyer les événements de Security posture vers votre SIEM. Transmettez telle quelle n’importe quelle valeur de control, de action ou d’un autre champ que cette page ne liste pas, ignorez les champs inattendus, et traitez de la même manière une clé manquante et une valeur null. Comprendre l’objet Activity présente les champs standard et les types inconnus.

Vous avez besoin d’une Compliance Access Key qui couvre l’organisation, avec la portée read:compliance_activities ou read:org_audit.

Activité d’attestation

Une activité org_security_control_attestation_updated consigne qu’une personne a enregistré, modifié, enregistré à nouveau ou retiré l’attestation de l’organisation pour un contrôle de sécurité, ou que l’attestation a pris fin automatiquement. Son created_at correspond à l’heure d’un changement effectué par une personne ou, pour un changement automatique, à l’heure à laquelle le changement a été consigné, qui peut être postérieure au changement. Son actor est un user_actor pour un changement effectué par une personne et un system_actor pour un changement automatique, comme lapsed.

Champs

Ce type ajoute les champs suivants, où status est la valeur de l’attestation et review_date sa date de fin.

Sur un contrôle informatif, la valeur Examiné est consignée comme completed.

Valeurs de action

Sur les activités renewed et lapsed, status est égal à previous_status. Un enregistrement avec la même valeur après une activité lapsed est consigné comme renewed, et non comme attested.

Ce que signifie une activité lapsed

Une activité lapsed signifie que le résultat de la vérification ou la valeur actuelle du contrôle diffère de celui avec lequel l’attestation a été enregistrée ; la valeur actuelle peut changer sans qu’aucun paramètre ne soit modifié, par exemple lorsque Anthropic la reformule. status est la valeur qui a pris fin : n’importe laquelle des trois. Une attestation d’un contrôle manuel ne reçoit jamais d’activité lapsed. L’activité peut arriver plus tard que le changement qui l’a causée.

Exemple

{
  "id": "activity_01Hq7ZtYc4Vb2NmKx8RsPd3W",
  "type": "org_security_control_attestation_updated",
  "created_at": "2026-10-20T15:04:00.220114Z",
  "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2",
  "organization_uuid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "actor": {
    "type": "user_actor",
    "email_address": "jane.doe@example.com",
    "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu",
    "ip_address": "192.0.2.34",
    "user_agent": "Mozilla/5.0..."
  },
  "control": "directory_sync_enabled",
  "action": "attested",
  "status": "accepted_risk"
}

Ce que le flux ne consigne pas

N’interprétez pas l’absence d’activité comme le signe que rien n’a changé. Pour les résultats actuels, consultez Référence des résultats de Security posture ; son point de terminaison peut omettre un contrôle que nomme une activité.

• Les changements antérieurs au moment où le flux d’activité a commencé à consigner ces activités pour l’organisation, ou survenus tant que la Compliance API était désactivée, qui ne sont jamais ajoutés ultérieurement.
• Rarement, un changement de n’importe quel type.
• Chaque date de fin qui arrive : elles ne reçoivent pas toutes une activité, alors n’attendez pas d’activité.
• Chaque fois que la page Security posture est désactivée ou activée : ne comptez pas sur une règle de détection pour le détecter.
• Les commentaires enregistrés avec une attestation, ou toute indication qu’un commentaire existe. Modifier un commentaire nécessite un nouvel enregistrement, que le flux consigne comme tout autre enregistrement avec la même valeur (consultez les valeurs de action).
• Le type de contrôle auquel s’applique une attestation : automatique, manuel ou informatif.
• Chaque changement susceptible de mettre fin à une attestation : ils ne reçoivent pas tous une activité lapsed.