Mappare gli eventi di Security posture su OCSF

L’Open Cybersecurity Schema Framework (OCSF) è uno schema aperto per gli eventi di sicurezza. Applica questa mappatura alle attività di Security posture nella tua pipeline, dopo averle lette e prima di archiviarle. Per importarle nel tuo sistema di “security information and event management” (gestione delle informazioni e degli eventi di sicurezza), o SIEM, inizia da Inviare gli eventi di Security posture al tuo SIEM.

Versione di OCSF

Questa mappatura usa OCSF 1.6.0. Se esegui la convalida rispetto a un’altra versione, verifica gli attributi di questa pagina rispetto a quella versione. Ad esempio, in OCSF 1.7.0, metadata.uid è l’identificatore dell’evento OCSF stesso, e metadata.original_event_uid contiene l’identificatore proveniente dalla sorgente. OCSF 1.9.0 depreca actor.app_name a favore di actor.application.

Attributi per ogni attività di Security posture

Mappa questi campi su ogni evento.

Inserisci ogni campo che non ha un attributo OCSF nell’oggetto unmapped con il suo nome dell’Activity Feed, inclusi i campi che il tuo handler non riconosce. Dove un campo è assente o null, ometti l’attributo OCSF.

Mappa l’oggetto actor:

Attività di attestazione: Entity Management

Mappa un’attività org_security_control_attestation_updated sulla classe OCSF Entity Management (3004). Gli eventi Entity Management riportano un’operazione su un’entità gestita, in questo caso l’attestazione dell’organizzazione per un controllo di sicurezza.

Non mappare status su status_id né su qualsiasi valore di superamento o di mancato superamento: un’attestazione è una dichiarazione di una persona su un controllo, non l’esito di una verifica.

Per 99 (Other), imposta activity_name sul valore di action.

Un’attività attested viene mappata su un evento come questo, con valori di esempio:

{
  "class_uid": 3004,
  "category_uid": 3,
  "activity_id": 1,
  "type_uid": 300401,
  "severity_id": 1,
  "time": 1794495872517,
  "metadata": {
    "version": "1.6.0",
    "profiles": ["host"],
    "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
    "event_code": "org_security_control_attestation_updated",
    "original_time": "2026-11-12T15:04:32.517208Z",
    "logged_time": 1794495910000,
    "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
    "product": { "vendor_name": "Anthropic", "name": "Compliance API" }
  },
  "actor": {
    "user": {
      "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
      "email_addr": "admin@example.com"
    }
  },
  "src_endpoint": { "ip": "192.0.2.34" },
  "http_request": { "user_agent": "ExampleBrowser/1.0" },
  "entity": {
    "type_id": 99,
    "type": "Security control attestation",
    "uid": "mdm_chat_required_organization",
    "data": { "status": "completed" }
  },
  "unmapped": {
    "action": "attested",
    "actor": { "type": "user_actor" },
    "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
  }
}