---
title: Rilevare le modifiche in Security posture
url: https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/detect-changes
description: "Parti da regole di rilevamento di esempio per le attività di Security posture nel tuo SIEM: rischi accettati, controlli attestati come Non superato, autori di modifiche inattesi, picchi di modifiche e attestazioni che terminano automaticamente."
---

<Note>
  Per abilitare la Compliance API, consulta [Configura la Compliance API](https://platform.claude.com/docs/it/manage-claude/compliance-api-access).
</Note>

Queste regole di esempio generano un alert sulle modifiche in [Security posture](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/overview) della tua organizzazione, usando le attività che l’Activity Feed della Compliance API registra. Presuppongono che il tuo sistema di “security information and event management” (gestione delle informazioni e degli eventi di sicurezza), o SIEM, archivi queste attività, come descritto in [Inviare gli eventi al tuo SIEM](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/send-events).

## Prima di scrivere una regola

Ogni regola è una semplice descrizione e una query non legata a un linguaggio di query specifico.

* Le query usano i nomi dei campi dell’Activity Feed, più `stored_at`, il nome che questa pagina usa per il momento in cui hai archiviato un’attività. Qualsiasi altro nome è un tuo elenco o alias.
* Prima che una regola conti le attività, deduplicale in base a `id`.
* Salvo che una regola non indichi diversamente, eseguila sull’intervallo di tempo trascorso dalla sua ultima esecuzione completata, in base a `stored_at`, non a `created_at`, perché un’attività può arrivare in ritardo; le query omettono tale intervallo.
* Scrivi regole che si attivano su un’attività che hai archiviato, mai su una che non hai archiviato: potrebbe essere in ritardo, o essere una modifica [che il feed non registra](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record). Per confrontare le attività archiviate con i risultati attuali, consulta [Verificare gli eventi rispetto ai risultati](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/check-events-against-results).

## Regole sulle attestazioni

Queste cinque regole leggono le attività [`org_security_control_attestation_updated`](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/events-reference#attestation-activity).

### È stato accettato un rischio

Genera un alert quando qualcuno accetta il rischio (`accepted_risk`) di non soddisfare un controllo di sicurezza, in modo che una seconda persona possa esaminare la decisione.

```sql
type == "org_security_control_attestation_updated"
AND status == "accepted_risk"
AND actor.type != "system_actor"
```

La regola esclude un `system_actor`, perché una modifica automatica, come un’attestazione terminata (`lapsed`), mantiene lo `status` ma non è un’accettazione.

### Un controllo è stato attestato come Non superato

Genera un alert quando qualcuno attesta un controllo come Non superato (`control_failed`), in modo che qualcuno dia seguito al controllo.

```sql
type == "org_security_control_attestation_updated"
AND status == "control_failed"
AND actor.type != "system_actor"
```

La regola esclude un `system_actor` per lo stesso motivo di [È stato accettato un rischio](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/detect-changes#a-risk-was-accepted).

### Qualcuno al di fuori di una allowlist ha modificato un’attestazione

Genera un alert quando un’attestazione viene registrata, modificata, salvata di nuovo o cancellata da qualcuno che non è nel tuo elenco delle persone che gestiscono le attestazioni. Conserva i loro valori `user_id` (`allowed_user_ids`) nel tuo SIEM.

```sql
type == "org_security_control_attestation_updated"
AND actor.type != "system_actor"
AND NOT (actor.type == "user_actor" AND actor.user_id IN allowed_user_ids)
```

* Qualsiasi attore diverso da un `user_actor` presente nell’elenco o da un `system_actor` attiva la regola.
* Fai in modo che l’elenco sia identificato da `actor.user_id`: `actor.email_address` è l’indirizzo che la persona aveva quando l’attività è stata registrata ([Correla con il tuo SIEM](https://platform.claude.com/docs/it/manage-claude/compliance-integration-patterns#correlate-with-your-siem)).

### Una persona ha apportato molte modifiche alle attestazioni

Genera un alert quando una persona apporta più modifiche alle attestazioni in un breve periodo di quanto sia consueto per la tua organizzazione. La soglia di 10 e la finestra di 1 ora sono esempi; scegli entrambe in base alla tua attività.

```sql
type == "org_security_control_attestation_updated"
AND actor.type == "user_actor"
| group by organization_uuid, actor.user_id over a sliding 1 hour of created_at
| where count(distinct id) >= 10
```

* Genera un alert solo per un gruppo che contiene un’attività archiviata dall’ultima esecuzione della regola, e conta su tutte le attività che hai archiviato, in modo che un’attività in ritardo si unisca a un picco le cui altre attività hai archiviato in precedenza.
* Contare in base a `created_at` misura il ritmo della persona, non quello della tua acquisizione.

### Un’attestazione è terminata automaticamente

Considera un’attività `lapsed` come un invito a esaminare il controllo che indica.

```sql
type == "org_security_control_attestation_updated"
AND action == "lapsed"
```

Un’[attività `lapsed`](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/events-reference#what-a-lapsed-activity-means) significa che l’esito della verifica del controllo oppure il suo valore attuale differisce da quello su cui l’attestazione è stata salvata, non che sia trascorsa una data di fine (`review_date`). Può arrivare in ritardo.

## Mantenere le regole funzionanti al variare dei valori

Nuovi valori possono comparire in uno qualsiasi di questi campi.

* Identifica le modifiche automatiche in base a `actor.type`, non in base al valore di `actor.service`.
* Non scartare le attività il cui valore `control`, `action` o `status` non è elencato in una regola; un nuovo valore `action` può registrare un’accettazione. Consulta il [riferimento per gli eventi](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/events-reference).

## Testare una regola

Per vedere attivarsi [la regola sulla allowlist](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/detect-changes#someone-outside-an-allowlist-changed-an-attestation), scegli qualcuno che può attestare e che non è nel tuo elenco. Fai in modo che questa persona attesti un controllo che non ha alcuna attestazione e sul cui risultato nessuno fa affidamento, quindi cancelli l’attestazione. Finché non viene cancellata, l’attestazione può cambiare il risultato di quel controllo. Entrambe le attività possono impiegare un po’ di tempo per raggiungere l’Activity Feed.

Se archivi queste attività come eventi Open Cybersecurity Schema Framework (OCSF), la pagina [Mappare gli eventi di Security posture su OCSF](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/ocsf-mapping) descrive la mappatura dei loro campi.