---
title: Security postureの変更を検出する
url: https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/detect-changes
description: SIEMでSecurity postureのアクティビティを対象とするサンプル検出ルールから始めましょう。対象は、リスク受容、不合格として表明されたコントロール、想定外の編集者、短時間に集中した変更、自動的に終了する表明です。
---

<Note>
  Compliance APIを有効にするには、[Compliance APIのセットアップ](https://platform.claude.com/docs/ja/manage-claude/compliance-api-access)を参照してください。
</Note>

これらのサンプルルールは、Compliance APIのアクティビティフィードが記録するアクティビティを使用して、組織の[Security posture](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview)の変更についてアラートを出します。これらのルールは、[イベントをSIEMに送信する](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/send-events)で説明しているとおり、セキュリティ情報イベント管理（SIEM）システムがこれらのアクティビティを保存していることを前提としています。

## ルールを作成する前に

各ルールは、平易な説明と、特定のクエリ言語に依存しないクエリで構成されています。

* クエリでは、アクティビティフィードのフィールド名に加えて、`stored_at`を使用します。`stored_at`は、アクティビティを保存した日時を表す、このページ独自の名前です。それ以外の名前は、独自のリストまたはエイリアスです。
* ルールでアクティビティを数える前に、`id`でそれらを重複排除してください。
* アクティビティは遅れて届く可能性があるため、ルールに別途指定がない限り、各ルールは`created_at`ではなく`stored_at`を基準として、前回完了した実行以降の期間に対して実行してください。クエリではその期間を省略しています。
* ルールは、保存したアクティビティに対して発火するように作成し、保存していないアクティビティに対して発火するようには決して作成しないでください。保存していないアクティビティは、遅れているか、[フィードが記録しない](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record)変更である可能性があります。保存したアクティビティを現在の結果と比較するには、[イベントを結果と照合する](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results)を参照してください。

## 表明のルール

これら5つのルールは、[`org_security_control_attestation_updated`](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/events-reference#attestation-activity)アクティビティを読み取ります。

### リスクが受容された

誰かがセキュリティコントロールを満たさないリスクを受容した（`accepted_risk`）ときにアラートを出し、別の人がその判断を確認できるようにします。

```sql
type == "org_security_control_attestation_updated"
AND status == "accepted_risk"
AND actor.type != "system_actor"
```

このルールは`system_actor`を除外します。終了した表明（`lapsed`）などの自動的な変更は、`status`を保持しますが、受容ではないためです。

### コントロールが不合格として表明された

誰かがコントロールを不合格として表明した（`control_failed`）ときにアラートを出し、誰かがそのコントロールに対応できるようにします。

```sql
type == "org_security_control_attestation_updated"
AND status == "control_failed"
AND actor.type != "system_actor"
```

このルールは、[リスクが受容された](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/detect-changes#a-risk-was-accepted)と同じ理由で`system_actor`を除外します。

### 許可リスト外の人が表明を変更した

表明を管理する担当者のリストに含まれていない人が、表明を記録、変更、再保存、または取り消したときにアラートを出します。担当者の`user_id`の値（`allowed_user_ids`）はSIEMに保持してください。

```sql
type == "org_security_control_attestation_updated"
AND actor.type != "system_actor"
AND NOT (actor.type == "user_actor" AND actor.user_id IN allowed_user_ids)
```

* リストに含まれる`user_actor`または`system_actor`以外のアクターであれば、いずれもルールを発火させます。
* リストは`actor.user_id`の値で作成し、その値で照合してください。`actor.email_address`は、アクティビティが記録された時点でその人が使用していたアドレスです（[SIEMと相関させる](https://platform.claude.com/docs/ja/manage-claude/compliance-integration-patterns#correlate-with-your-siem)）。

### 1人が多数の表明の変更を行った

1人が短時間に、組織で通常見られるよりも多くの表明の変更を行ったときにアラートを出します。しきい値の10と1時間の時間枠は例です。どちらも自組織のアクティビティに基づいて選んでください。

```sql
type == "org_security_control_attestation_updated"
AND actor.type == "user_actor"
| group by organization_uuid, actor.user_id over a sliding 1 hour of created_at
| where count(distinct id) >= 10
```

* ルールの前回の実行以降に保存したアクティビティを含むグループについてのみアラートを出し、保存したすべてのアクティビティを対象に数えてください。そうすることで、遅れて届いたアクティビティが、他のアクティビティを先に保存していた一連の集中した変更に加わります。
* `created_at`で数えると、取り込みのペースではなく、その人のペースを測定できます。

### 表明が自動的に終了した

`lapsed`アクティビティは、そこで示されているコントロールを確認するきっかけとして扱ってください。

```sql
type == "org_security_control_attestation_updated"
AND action == "lapsed"
```

[`lapsed`アクティビティ](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/events-reference#what-a-lapsed-activity-means)は、コントロールのチェック結果または現在の値が、表明が保存された時点のものと異なることを意味し、終了日（`review_date`）が過ぎたことを意味するものではありません。このアクティビティは遅れて届く可能性があります。

## 値が変わってもルールが機能し続けるようにする

これらのフィールドのいずれにも、新しい値が現れる可能性があります。

* 自動的な変更は、`actor.service`の値ではなく`actor.type`で識別してください。
* ルールに記載されていない`control`、`action`、または`status`の値を持つアクティビティを除外しないでください。新しい`action`の値が受容を記録する可能性があります。[イベントリファレンス](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/events-reference)を参照してください。

## ルールをテストする

[許可リストのルール](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/detect-changes#someone-outside-an-allowlist-changed-an-attestation)が発火することを確認するには、表明を行う権限があり、リストに含まれていない人を選びます。その人に、表明がなく、その結果に誰も依存していないコントロールに対して表明してもらい、その後その表明を取り消してもらいます。取り消されるまでの間、その表明によってそのコントロールの結果が変わる可能性があります。どちらのアクティビティも、アクティビティフィードに届くまでに時間がかかる場合があります。

これらのアクティビティをOpen Cybersecurity Schema Framework（OCSF）のイベントとして保存する場合は、[Security postureのイベントをOCSFにマッピングする](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/ocsf-mapping)でそれらのフィールドのマッピングを説明しています。