--- title: Mapper les événements de Security posture vers OCSF url: https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/ocsf-mapping description: Mappez chaque activité de Security posture dans la Compliance API vers sa classe et ses attributs de l'« Open Cybersecurity Schema Framework », ou OCSF, avant de la stocker. --- Pour activer la « Compliance API » (API de conformité), consultez [Configurer la Compliance API](https://platform.claude.com/docs/fr/manage-claude/compliance-api-access). L’[Open Cybersecurity Schema Framework](https://schema.ocsf.io/) (OCSF) est un schéma ouvert pour les événements de sécurité. Appliquez ce mappage aux activités de [Security posture](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/overview) dans votre propre pipeline, après les avoir lues et avant de les stocker. Pour les ingérer dans votre système « security information and event management » (gestion des informations et des événements de sécurité), ou SIEM, commencez par [Envoyer les événements de Security posture vers votre SIEM](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/send-events). ## Version d’OCSF Ce mappage utilise OCSF 1.6.0. Si vous effectuez la validation avec une autre version, vérifiez les attributs de cette page par rapport à cette version. Par exemple, dans OCSF 1.7.0, `metadata.uid` est l’identifiant de l’événement OCSF lui-même, et `metadata.original_event_uid` contient l’identifiant provenant de la source. OCSF 1.9.0 déprécie `actor.app_name` au profit de `actor.application`. ## Attributs pour chaque activité de Security posture Mappez ces champs sur chaque événement. | Champ de l’activité | Attribut OCSF | Remarque | | ------------------- | ------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | `metadata.uid` | Copier tel quel. | | `type` | `metadata.event_code` | Copier tel quel. | | `created_at` | `time` | Convertir la chaîne RFC 3339 en millisecondes depuis l’époque Unix, puis tronquer à un nombre entier. | | `created_at` | `metadata.original_time` | Copier la chaîne telle quelle. | | Aucun | `metadata.logged_time` | L’heure à laquelle vous avez stocké l’activité (`stored_at` sur [Détecter les changements](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule)), en millisecondes depuis l’époque Unix. | | `organization_uuid` | `metadata.tenant_uid` | Copier tel quel. | | `organization_id` | `unmapped.organization_id` | Copier tel quel. | | Aucun | `metadata.version` | Constante : `1.6.0`. | | Aucun | `metadata.product.vendor_name` | Constante : `Anthropic`. | | Aucun | `metadata.product.name` | Constante : `Compliance API`. | | Aucun | `type_uid` | `class_uid * 100 + activity_id`. | | Aucun | `severity_id` | Définir sur `1` (Informational) pour chaque événement, et définir la priorité d’une alerte dans la [règle de détection](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/detect-changes) qui la déclenche. | Placez chaque champ qui n’a pas d’attribut OCSF dans l’objet `unmapped` sous son nom dans le flux d’activité, y compris les champs que votre gestionnaire ne reconnaît pas. Lorsqu’un champ est absent ou vaut `null`, omettez l’attribut OCSF. Mappez l’objet `actor` : | Champ de l’activité | Attribut OCSF | Remarque | | --------------------- | ------------------------- | -------------------------------------------------------------------------------------- | | Aucun | `metadata.profiles` | Ajouter `host`, le profil OCSF (un ensemble d’attributs facultatif) qui porte `actor`. | | `actor.type` | `unmapped.actor.type` | Copier tel quel. | | `actor.user_id` | `actor.user.uid` | `user_actor` uniquement. | | `actor.email_address` | `actor.user.email_addr` | `user_actor` uniquement. | | `actor.ip_address` | `src_endpoint.ip` | `user_actor` uniquement. | | `actor.user_agent` | `http_request.user_agent` | `user_actor` uniquement. | | `actor.service` | `actor.app_name` | `system_actor` uniquement. | ## Activités d’attestation : Entity Management Mappez une activité [`org_security_control_attestation_updated`](https://platform.claude.com/docs/fr/manage-claude/compliance-security-posture/events-reference#attestation-activity) vers la classe OCSF Entity Management (3004). Les événements Entity Management rendent compte d’une opération sur une entité gérée, ici l’attestation de l’organisation pour un contrôle de sécurité. | Champ de l’activité | Attribut OCSF | Remarque | | ------------------- | -------------------------- | ------------------------------------------------------------------------------ | | Aucun | `class_uid` | Constante : `3004` (Entity Management). | | Aucun | `category_uid` | Constante : `3` (Identity & Access Management). | | `action` | `activity_id` | D’après le tableau des valeurs de `action` qui suit. | | `action` | `unmapped.action` | Copier tel quel, car deux valeurs de `action` partagent un même `activity_id`. | | Aucun | `entity.type_id` | Constante : `99` (Other). | | Aucun | `entity.type` | Constante : `Security control attestation`. | | `control` | `entity.uid` | Copier tel quel. | | `status` | `entity.data.status` | Copier tel quel : la valeur de l’attestation. | | `review_date` | `entity.data.review_date` | Copier tel quel : la date de fin de l’attestation. | | `previous_status` | `unmapped.previous_status` | Copier tel quel : la valeur de l’attestation avant la modification. | Ne mappez pas `status` vers `status_id` ni vers une valeur de réussite ou d’échec quelconque : une attestation est la déclaration d’une personne au sujet d’un contrôle, et non le résultat d’une vérification. | `action` | `activity_id` | `type_uid` | | ----------------------------- | ----------------- | ---------- | | `attested` | `1` (Create) | `300401` | | `changed` | `3` (Update) | `300403` | | `renewed` | `3` (Update) | `300403` | | `cleared` | `4` (Delete) | `300404` | | `lapsed` | `11` (Deactivate) | `300411` | | N’importe quelle autre valeur | `99` (Other) | `300499` | Pour `99` (Other), définissez `activity_name` sur la valeur de `action`. Une activité `attested` est mappée vers un événement comme celui-ci, avec des valeurs d’exemple : ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```