Mapper les événements de Security posture vers OCSF

L’Open Cybersecurity Schema Framework (OCSF) est un schéma ouvert pour les événements de sécurité. Appliquez ce mappage aux activités de Security posture dans votre propre pipeline, après les avoir lues et avant de les stocker. Pour les ingérer dans votre système « security information and event management » (gestion des informations et des événements de sécurité), ou SIEM, commencez par Envoyer les événements de Security posture vers votre SIEM.

Version d’OCSF

Ce mappage utilise OCSF 1.6.0. Si vous effectuez la validation avec une autre version, vérifiez les attributs de cette page par rapport à cette version. Par exemple, dans OCSF 1.7.0, metadata.uid est l’identifiant de l’événement OCSF lui-même, et metadata.original_event_uid contient l’identifiant provenant de la source. OCSF 1.9.0 déprécie actor.app_name au profit de actor.application.

Attributs pour chaque activité de Security posture

Mappez ces champs sur chaque événement.

Placez chaque champ qui n’a pas d’attribut OCSF dans l’objet unmapped sous son nom dans le flux d’activité, y compris les champs que votre gestionnaire ne reconnaît pas. Lorsqu’un champ est absent ou vaut null, omettez l’attribut OCSF.

Mappez l’objet actor :

Activités d’attestation : Entity Management

Mappez une activité org_security_control_attestation_updated vers la classe OCSF Entity Management (3004). Les événements Entity Management rendent compte d’une opération sur une entité gérée, ici l’attestation de l’organisation pour un contrôle de sécurité.

Ne mappez pas status vers status_id ni vers une valeur de réussite ou d’échec quelconque : une attestation est la déclaration d’une personne au sujet d’un contrôle, et non le résultat d’une vérification.

Pour 99 (Other), définissez activity_name sur la valeur de action.

Une activité attested est mappée vers un événement comme celui-ci, avec des valeurs d’exemple :

{
  "class_uid": 3004,
  "category_uid": 3,
  "activity_id": 1,
  "type_uid": 300401,
  "severity_id": 1,
  "time": 1794495872517,
  "metadata": {
    "version": "1.6.0",
    "profiles": ["host"],
    "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
    "event_code": "org_security_control_attestation_updated",
    "original_time": "2026-11-12T15:04:32.517208Z",
    "logged_time": 1794495910000,
    "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
    "product": { "vendor_name": "Anthropic", "name": "Compliance API" }
  },
  "actor": {
    "user": {
      "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
      "email_addr": "admin@example.com"
    }
  },
  "src_endpoint": { "ip": "192.0.2.34" },
  "http_request": { "user_agent": "ExampleBrowser/1.0" },
  "entity": {
    "type_id": 99,
    "type": "Security control attestation",
    "uid": "mdm_chat_required_organization",
    "data": { "status": "completed" }
  },
  "unmapped": {
    "action": "attested",
    "actor": { "type": "user_actor" },
    "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
  }
}