Mencocokkan peristiwa Security posture yang tersimpan dengan hasil saat ini
Sekali sehari, bandingkan aktivitas atestasi yang disimpan SIEM Anda dengan hasil saat ini dari endpoint, lalu tentukan ketidakcocokan mana yang memerlukan perhatian seseorang.
Activity Feed dapat mengirimkan aktivitas secara terlambat, dan endpoint tidak menyimpan riwayat, sehingga masing-masing sumber dapat menampilkan perubahan yang tidak ditampilkan sumber lainnya. Perbandingan harian menemukan apa yang tidak dimiliki penyimpanan security information and event management (SIEM) Anda. Feed tidak mencatat semua perubahan, sehingga atestasi bisa lebih lama daripada aktivitas pertama feed untuk kontrol keamanannya, dan dalam kasus yang jarang terjadi, suatu perubahan sama sekali tidak memiliki aktivitas. Jika Anda hanya melaporkan hasil saat ini, Anda tidak memerlukan pemeriksaan ini.
Anda memerlukan Compliance Access Key yang mencakup organisasi tersebut, dengan read:compliance_org_data untuk endpoint dan read:compliance_activities untuk Activity Feed, atau read:org_audit untuk keduanya.
Jalankan pemeriksaan
Mulai setiap eksekusi setelah pembacaan ulang harian hari itu selesai, sehingga aktivitas yang terlambat sudah tersimpan.
- Buat daftar organisasi yang terhubung dengan Daftar organisasi. Anda mendapatkan
uuidmasing-masing. - Panggil endpoint sekali untuk setiap organisasi. Anda mendapatkan 200, atau 404 pada setiap eksekusi untuk organisasi yang tidak dilayani endpoint (lihat Ketersediaan Security posture). 404 berarti organisasi tersebut tidak dibaca pada eksekusi ini. Simpan daftar organisasi yang mengembalikan 200, masing-masing beserta
evaluated_atdari 200 pertamanya: eksekusi pertama Anda untuk organisasi tersebut. - Sisihkan apa yang tercantum dalam aturan penyisihan.
- Kelompokkan aktivitas atestasi tersimpan yang tersisa milik organisasi tersebut berdasarkan kontrol keamanan, lalu ambil yang terbaru berdasarkan
created_atuntuk masing-masing. Anda mendapatkan satu aktivitas untuk setiap kontrol, atau tidak ada. - Untuk setiap kontrol yang tersisa, temukan barisnya di tabel keputusan. Anda mendapatkan Cocok, Wajar, atau Perlu diperiksa.
- Tindak lanjuti hasil Perlu diperiksa hanya jika eksekusi berikutnya yang membaca organisasi tersebut menampilkannya lagi; tindak lanjuti baris 6 saat itu juga, dan untuk baris 10 serta 11 justru ikuti aturan catatan pengganti. Eksekusi yang tidak membaca organisasi tersebut tidak dihitung dan tidak memulai ulang masa tunggu.
Atur laju panggilan Anda dan tangani 429 seperti yang dijelaskan di 429 Too Many Requests; organisasi yang panggilannya tetap gagal setelah percobaan ulang Anda tidak dibaca pada eksekusi ini, dan panggilan yang gagal bukanlah perubahan.
Mencocokkan field
Cocokkan entri dalam respons dengan aktivitas tersimpan menggunakan field berikut.
| Di respons | Di aktivitas | Hubungannya |
|---|---|---|
organization_id | organization_uuid | Nilai yang sama; organization_id milik aktivitas itu sendiri memiliki prefiks org_. |
controls[].id | control | Pengidentifikasi yang sama, kecuali seperti pada aturan S2. |
attestation.attested_at | created_at dari aktivitas attested, changed, atau renewed terbaru | Waktu yang sama jika respons menampilkan atestasi; bandingkan sebagai waktu, bukan sebagai string. |
status | status | Selama atestasi berlaku, attested_completed berpasangan dengan completed, serta attested_accepted_risk dan failed_check_accepted_risk dengan accepted_risk; tidak ada yang berpasangan dengan control_failed. |
Menyisihkan apa yang tidak dapat dibandingkan
Sebelum membandingkan, sisihkan hal-hal berikut.
| # | Apa | Aturan |
|---|---|---|
| S1 | Aktivitas atestasi tersimpan yang action-nya bukan attested, changed, renewed, cleared, atau lapsed | Keluarkan dari seluruh pemeriksaan; tandai setiap nilai action baru untuk ditinjau satu kali. |
| S2 | Aktivitas atestasi tersimpan yang menyebut mdm_cowork_required_organization | Hitung sebagai aktivitas untuk mdm_chat_required_organization. |
| S3 | Aktivitas atestasi tersimpan yang kontrolnya tidak memiliki entri dalam respons | Tidak ada yang dibandingkan; laporkan kontrol tersebut sebagai tidak ada dalam respons, jangan pernah sebagai Lulus (passed). |
| S4 | Entri yang status-nya descriptive, not_applicable, atau not_evaluated | Lewati; eksekusi yang menampilkannya sebagai not_evaluated tidak dihitung untuk kontrol tersebut. |
Menentukan arti setiap ketidakcocokan
Setiap kontrol yang tersisa cocok dengan tepat satu baris.
| # | Aktivitas tersimpan terbaru | Entri dalam respons | Putusan | Yang harus dilakukan |
|---|---|---|---|---|
| 1 | attested, changed, atau renewed | attested_at sama dengan created_at-nya; state adalah in_force; status berpasangan dengan nilainya. | Cocok | Tidak ada. |
| 2 | cleared | attestation bernilai null, kecuali seperti pada baris 11. | Cocok | Tidak ada. |
| 3 | lapsed, dengan Risiko diterima (accepted_risk) | attestation bernilai null, atau memiliki waktu aktivitas sebelumnya dengan state check_passing atau setting_changed. | Cocok | Tidak ada. |
| 4 | lapsed, dengan completed atau control_failed | attestation bernilai null. | Cocok | Tidak ada. |
| 5 | attested, changed, atau renewed | attested_at sama dengan created_at-nya; state adalah review_due, check_passing, atau setting_changed. | Wajar | Atestasi tidak berlaku: tindak lanjuti satu kali pada setiap keadaan baru, tanpa menunggu aktivitas; kembalinya ke in_force mengatur ulang hal ini. |
| 6 | attested, changed, atau renewed, dengan Selesai (completed), dan created_at yang lebih lambat daripada eksekusi pertama Anda | Pada eksekusi pertama yang membandingkan aktivitas tersebut, attestation bernilai null dan status adalah failed dengan current_value. | Perlu diperiksa | Halaman Security posture mungkin menampilkan pemeriksaan yang tidak berhasil sebagai Lulus: tandai untuk ditinjau, tanpa menunggu. |
| 7 | attested, changed, atau renewed, dengan completed | attestation bernilai null; status bukan not_attested, dan bukan pula failed dengan current_value null; baris 6 tidak cocok. | Wajar | Tidak ada yang dibandingkan; respons tidak pernah menampilkannya. |
| 8 | attested, changed, atau renewed, sebagai Gagal (control_failed) | attestation bernilai null; status adalah salah satu dari tiga: failed; status apa pun yang diberikan pemeriksaan otomatis; atau, sejak tanggal berakhir (review_date, dalam UTC), not_attested. | Wajar | Tidak ada yang dibandingkan; tindak lanjuti satu kali ketika status meninggalkan failed sejak tanggal berakhir. |
| 9 | attested, changed, atau renewed, dengan accepted_risk | attestation bernilai null, dan status adalah passed, matches_profile, atau exceeds_baseline. | Wajar | Simpan catatan pengganti (aturan catatan pengganti 7). |
| 10 | Tidak ada, atau semua aktivitas tersimpan lebih lama daripada attested_at | attestation ada. | Perlu diperiksa | Ikuti aturan catatan pengganti. |
| 11 | Tidak ada, atau aktivitas yang nilainya bukan control_failed | current_value bernilai null, dan status adalah failed. | Perlu diperiksa | Penyimpanan Anda tidak memiliki atestasi sebagai Gagal (control_failed): ikuti aturan catatan pengganti, dan tindak lanjuti satu kali ketika status meninggalkan failed. |
| 12 | attested, changed, renewed, atau cleared, lebih baru daripada attested_at, dengan aktivitas lain dari waktu yang hampir sama | attestation ada. | Wajar | Perubahan yang dibuat pada waktu yang hampir sama dapat tersimpan dalam urutan mana pun. |
| 13 | Sama, tanpa aktivitas kedua seperti itu | attestation ada. | Perlu diperiksa | Hubungi dukungan Anthropic, sekali saja. |
| 14 | attested, changed, atau renewed | attested_at sama dengan created_at-nya; state adalah in_force; status tidak berpasangan dengan nilainya. | Perlu diperiksa | Hubungi dukungan Anthropic, satu kali. |
| 15 | attested, changed, atau renewed; tidak ada baris sebelumnya yang cocok | attestation bernilai null. | Perlu diperiksa | Kemungkinan besar dicabut: simpan catatan pengganti (aturan catatan pengganti 7) dan tandai untuk ditinjau satu kali. |
| 16 | Tidak ada | attestation bernilai null, dan baris 11 tidak cocok. | Cocok | Tidak ada. |
| 17 | Lainnya | Lainnya. | Perlu diperiksa | Tandai untuk ditinjau satu kali. |
Menyimpan catatan pengganti jika kedua sumber tidak dapat dicocokkan
Catatan pengganti menggantikan apa yang tidak dimiliki salah satu dari kedua sumber, dan Anda menyimpannya terpisah dari aktivitas tersimpan Anda. Untuk baris 10 dan 11, baca feed lagi, lalu simpan dan tandai catatan pengganti hanya jika tidak ada yang tiba dalam 15 hari, jangkauan pembacaan ulang harian. Pada eksekusi pertama Anda, simpan segera, tanpa peninjauan.
Catatan pengganti baris 10, diidentifikasi berdasarkan kontrol dan attested_at:
- Baca lagi dari aktivitas tersimpan terbaru Anda untuk kontrol tersebut, atau dari
attested_at(inklusif) jika Anda belum menyimpan satu pun; 15 hari tersebut dihitung dariattested_at. Buat catatan pengganti dari entri tersebut, ditandai sebagai tidak memiliki aktivitas; dalam tabel keputusan, anggap sebagai aktivitasattestedpadaattested_attersebut yang nilainya berpasangan denganstatus-nya, jika ada. - Pada setiap eksekusi yang menampilkan atestasi, perbarui
statusdanstate-nya. - Ketika aktivitas yang
created_at-nya sama denganattested_attersebut tiba, ganti catatan pengganti dengan aktivitas itu. - Ketika dua eksekusi berturut-turut tidak menampilkan atestasi, selesaikan catatan pengganti; tandai hal itu untuk ditinjau kecuali aktivitas tersimpan yang lebih baru atau ketidakcocokan baris 10 yang belum terselesaikan untuk kontrol tersebut menjelaskannya, atau kedua eksekusi menampilkan
descriptive. - Eksekusi yang tidak membaca organisasi tersebut, atau menampilkan
not_evaluated, tidak dihitung dalam dua eksekusi tersebut dan tidak memulainya ulang. - Jika atestasi muncul lagi, buka kembali catatan pengganti yang sama.
Catatan pengganti baris 9, 11, dan 15, diidentifikasi berdasarkan kontrol saja:
- Untuk baris 11, 15 hari dihitung dari eksekusi pertama yang menampilkan
statustersebut. Selama catatan pengganti belum terselesaikan, jangan tandai apa pun lagi untuk kontrol tersebut; selesaikan catatan pengganti ketika aktivitas yang lebih baru tiba, atestasi muncul, atau dua eksekusi berturut-turut cocok dengan baris lain. - Ketika catatan pengganti baris 9 terselesaikan karena atestasi muncul sebagai
failed_check_accepted_risk, tandai untuk ditinjau satu kali: risiko tersebut berlaku.
Contoh kasus
Dua eksekusi berikut membaca organisasi dalam contoh respons di Referensi hasil; eksekusi 1 adalah eksekusi pertama Anda.
- Eksekusi 1,
directory_sync_enabled. Tersimpan:attested,accepted_risk, dibuat pada2026-10-20T15:04:00.220114Z. Respons:failed_check_accepted_risk,in_force,attested_atyang sama. Baris 1: Cocok. - Eksekusi 1,
allowed_invite_domains. Tersimpan: tidak ada. Respons:descriptive,attestationnull. Aturan S4: disisihkan. - Eksekusi 1,
oauth_conditional_access. Tersimpan: tidak ada. Respons:attestationdenganstatereview_due. Baris 10: Perlu diperiksa. Pada eksekusi pertama Anda, simpan catatan pengganti segera, tanpa peninjauan. - Eksekusi 2,
oauth_conditional_access. Catatan pengganti: yang dari eksekusi 1. Respons: sama. Baris 5: Wajar. Tindak lanjuti satu kali padareview_due.
Apa yang tidak dapat ditemukan pemeriksaan
Pemeriksaan harian tidak dapat menemukan aktivitas yang hilang untuk atestasi yang tidak disertakan respons pada kontrol otomatis. Respons tidak memberikan tanda apa pun tentang atestasi seperti itu, atau hanya memberikan status failed, yang tampak seperti status yang diberikan pemeriksaan otomatis.
Ketika organisasi berhenti merespons
Organisasi yang pernah mengembalikan 200 lalu mengembalikan 404 pada beberapa eksekusi berturut-turut memerlukan perhatian seseorang, satu kali. Tanyakan kepada seseorang yang memiliki akses ke halaman Security posture apakah halaman tersebut telah dinonaktifkan untuk organisasi tersebut (lihat Ketersediaan Security posture). Jika halaman tersebut tidak dinonaktifkan, hubungi perwakilan Anthropic Anda. Organisasi tersebut mungkin telah dihapus, atau akses Anda, Security posture, atau endpoint mungkin telah berhenti berlaku untuk organisasi tersebut. Apa pun penyebabnya, selesaikan catatan pengganti dan ketidakcocokan yang belum terselesaikan untuk organisasi tersebut tanpa peninjauan, tetap panggil organisasi tersebut, dan buka kembali semuanya jika organisasi itu mengembalikan 200.
Apakah halaman ini membantu?