--- title: Mappare gli eventi di Security posture su OCSF url: https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/ocsf-mapping description: Mappa ogni attività di Security posture della Compliance API sulla relativa classe e sui relativi attributi dell'Open Cybersecurity Schema Framework (OCSF) prima di archiviarla. --- Per abilitare la Compliance API, consulta [Configura la Compliance API](https://platform.claude.com/docs/it/manage-claude/compliance-api-access). L’[Open Cybersecurity Schema Framework](https://schema.ocsf.io/) (OCSF) è uno schema aperto per gli eventi di sicurezza. Applica questa mappatura alle attività di [Security posture](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/overview) nella tua pipeline, dopo averle lette e prima di archiviarle. Per importarle nel tuo sistema di “security information and event management” (gestione delle informazioni e degli eventi di sicurezza), o SIEM, inizia da [Inviare gli eventi di Security posture al tuo SIEM](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/send-events). ## Versione di OCSF Questa mappatura usa OCSF 1.6.0. Se esegui la convalida rispetto a un’altra versione, verifica gli attributi di questa pagina rispetto a quella versione. Ad esempio, in OCSF 1.7.0, `metadata.uid` è l’identificatore dell’evento OCSF stesso, e `metadata.original_event_uid` contiene l’identificatore proveniente dalla sorgente. OCSF 1.9.0 depreca `actor.app_name` a favore di `actor.application`. ## Attributi per ogni attività di Security posture Mappa questi campi su ogni evento. | Campo dell’attività | Attributo OCSF | Nota | | ------------------- | ------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | `metadata.uid` | Copia senza modifiche. | | `type` | `metadata.event_code` | Copia senza modifiche. | | `created_at` | `time` | Converti la stringa RFC 3339 in millisecondi dall’epoca Unix e tronca a un numero intero. | | `created_at` | `metadata.original_time` | Copia la stringa senza modifiche. | | Nessuno | `metadata.logged_time` | L’ora in cui hai archiviato l’attività (`stored_at` in [Rilevare le modifiche](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule)), in millisecondi dall’epoca Unix. | | `organization_uuid` | `metadata.tenant_uid` | Copia senza modifiche. | | `organization_id` | `unmapped.organization_id` | Copia senza modifiche. | | Nessuno | `metadata.version` | Costante: `1.6.0`. | | Nessuno | `metadata.product.vendor_name` | Costante: `Anthropic`. | | Nessuno | `metadata.product.name` | Costante: `Compliance API`. | | Nessuno | `type_uid` | `class_uid * 100 + activity_id`. | | Nessuno | `severity_id` | Imposta su `1` (Informational) in ogni evento e imposta la priorità di un alert nella [regola di rilevamento](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/detect-changes) che lo genera. | Inserisci ogni campo che non ha un attributo OCSF nell’oggetto `unmapped` con il suo nome dell’Activity Feed, inclusi i campi che il tuo handler non riconosce. Dove un campo è assente o `null`, ometti l’attributo OCSF. Mappa l’oggetto `actor`: | Campo dell’attività | Attributo OCSF | Nota | | --------------------- | ------------------------- | ------------------------------------------------------------------------------------------ | | Nessuno | `metadata.profiles` | Aggiungi `host`, il profilo OCSF (un insieme di attributi opzionale) che contiene `actor`. | | `actor.type` | `unmapped.actor.type` | Copia senza modifiche. | | `actor.user_id` | `actor.user.uid` | Solo `user_actor`. | | `actor.email_address` | `actor.user.email_addr` | Solo `user_actor`. | | `actor.ip_address` | `src_endpoint.ip` | Solo `user_actor`. | | `actor.user_agent` | `http_request.user_agent` | Solo `user_actor`. | | `actor.service` | `actor.app_name` | Solo `system_actor`. | ## Attività di attestazione: Entity Management Mappa un’attività [`org_security_control_attestation_updated`](https://platform.claude.com/docs/it/manage-claude/compliance-security-posture/events-reference#attestation-activity) sulla classe OCSF Entity Management (3004). Gli eventi Entity Management riportano un’operazione su un’entità gestita, in questo caso l’attestazione dell’organizzazione per un controllo di sicurezza. | Campo dell’attività | Attributo OCSF | Nota | | ------------------- | -------------------------- | ----------------------------------------------------------------------------------------- | | Nessuno | `class_uid` | Costante: `3004` (Entity Management). | | Nessuno | `category_uid` | Costante: `3` (Identity & Access Management). | | `action` | `activity_id` | Dalla tabella dei valori di `action` che segue. | | `action` | `unmapped.action` | Copia senza modifiche, perché due valori di `action` condividono lo stesso `activity_id`. | | Nessuno | `entity.type_id` | Costante: `99` (Other). | | Nessuno | `entity.type` | Costante: `Security control attestation`. | | `control` | `entity.uid` | Copia senza modifiche. | | `status` | `entity.data.status` | Copia senza modifiche: il valore dell’attestazione. | | `review_date` | `entity.data.review_date` | Copia senza modifiche: la data di fine dell’attestazione. | | `previous_status` | `unmapped.previous_status` | Copia senza modifiche: il valore dell’attestazione prima della modifica. | Non mappare `status` su `status_id` né su qualsiasi valore di superamento o di mancato superamento: un’attestazione è una dichiarazione di una persona su un controllo, non l’esito di una verifica. | `action` | `activity_id` | `type_uid` | | ---------------------- | ----------------- | ---------- | | `attested` | `1` (Create) | `300401` | | `changed` | `3` (Update) | `300403` | | `renewed` | `3` (Update) | `300403` | | `cleared` | `4` (Delete) | `300404` | | `lapsed` | `11` (Deactivate) | `300411` | | Qualsiasi altro valore | `99` (Other) | `300499` | Per `99` (Other), imposta `activity_name` sul valore di `action`. Un’attività `attested` viene mappata su un evento come questo, con valori di esempio: ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```