Riferimento per gli eventi di Security posture

L’Activity Feed registra le modifiche alle attestazioni nella pagina Security posture come le attività descritte in questa pagina. Per importarle in un sistema di “security information and event management” (gestione delle informazioni e degli eventi di sicurezza), o SIEM, inizia da Inviare gli eventi di Security posture al tuo SIEM. Inoltra invariato qualsiasi valore di control, action o di un altro campo che questa pagina non elenca, ignora i campi inattesi e tratta allo stesso modo una chiave mancante e un valore null. Comprendere l’oggetto Activity descrive i campi standard e i tipi sconosciuti.

Ti serve una Compliance Access Key che copra l’organizzazione, con lo scope read:compliance_activities o read:org_audit.

Attività di attestazione

Un’attività org_security_control_attestation_updated registra che qualcuno ha registrato, modificato, salvato di nuovo o cancellato l’attestazione dell’organizzazione per un controllo di sicurezza, oppure che l’attestazione è terminata automaticamente. Il suo created_at è l’ora di una modifica effettuata da una persona oppure, per una modifica automatica, l’ora in cui è stata registrata la modifica, che può essere successiva alla modifica stessa. Il suo actor è un user_actor per una modifica effettuata da una persona e un system_actor per una modifica automatica, come lapsed.

Campi

Questo tipo aggiunge i seguenti campi, dove status è il valore dell’attestazione e review_date è la sua data di fine.

Per un controllo solo informativo, il valore Esaminato viene registrato come completed.

Valori di action

Nelle attività renewed e lapsed, status è uguale a previous_status. Un salvataggio con lo stesso valore dopo un’attività lapsed viene registrato come renewed, non come attested.

Cosa significa un’attività lapsed

Un’attività lapsed significa che l’esito della verifica o il valore attuale del controllo differisce da quello rispetto al quale è stata salvata l’attestazione; il valore attuale può cambiare senza che sia stata modificata alcuna impostazione, ad esempio quando Anthropic lo riformula. status è il valore che è terminato: uno qualsiasi dei tre. Un’attestazione di un controllo manuale non riceve mai un’attività lapsed. L’attività può arrivare più tardi rispetto alla modifica che l’ha causata.

Esempio

{
  "id": "activity_01Hq7ZtYc4Vb2NmKx8RsPd3W",
  "type": "org_security_control_attestation_updated",
  "created_at": "2026-10-20T15:04:00.220114Z",
  "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2",
  "organization_uuid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "actor": {
    "type": "user_actor",
    "email_address": "jane.doe@example.com",
    "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu",
    "ip_address": "192.0.2.34",
    "user_agent": "Mozilla/5.0..."
  },
  "control": "directory_sync_enabled",
  "action": "attested",
  "status": "accepted_risk"
}

Ciò che il feed non registra

Non interpretare l’assenza di un’attività come segno che nulla sia cambiato. Per i risultati attuali, consulta Riferimento per i risultati di Security posture; il suo endpoint può omettere un controllo indicato da un’attività.

• Le modifiche avvenute prima che l’Activity Feed iniziasse a registrare queste attività per l’organizzazione, o mentre la Compliance API era disattivata: non vengono mai aggiunte in seguito.
• Raramente, una modifica di qualsiasi tipo.
• Ogni data di fine che viene raggiunta: non tutte ricevono un’attività, quindi non attenderne una.
• Ogni volta che la pagina Security posture viene disattivata o attivata: non affidarti a una regola di rilevamento per rilevarlo.
• I commenti salvati con un’attestazione, o qualsiasi segno che ne esista uno. Modificare un commento richiede un nuovo salvataggio, che il feed registra come qualsiasi altro salvataggio con lo stesso valore (consulta valori di action).
• Il tipo di controllo a cui si riferisce un’attestazione: automatico, manuale o solo informativo.
• Ogni modifica che potrebbe far terminare un’attestazione: non tutte ricevono un’attività lapsed.