Claude Platform Docs
管理Security posture

Security postureのイベントをOCSFにマッピングする

Compliance APIのSecurity postureの各アクティビティを、保存する前に、そのアクティビティに対応するOpen Cybersecurity Schema Framework（OCSF）のクラスと属性にマッピングします。

Open Cybersecurity Schema Framework（OCSF）は、セキュリティイベント向けのオープンなスキーマです。このマッピングは、Security postureのアクティビティを読み取った後、保存する前に、独自のパイプライン内で適用します。アクティビティをセキュリティ情報イベント管理（SIEM）システムに取り込むには、Security postureのイベントをSIEMに送信するから始めてください。

OCSFのバージョン

このマッピングはOCSF 1.6.0を使用します。別のバージョンに対して検証する場合は、このページの属性をそのバージョンと照らし合わせて確認してください。たとえば、OCSF 1.7.0では、metadata.uidはOCSFイベント自体の識別子であり、metadata.original_event_uidがソースからの識別子を保持します。OCSF 1.9.0では、actor.app_nameが非推奨となり、代わりにactor.applicationが使用されます。

すべてのSecurity postureのアクティビティに共通する属性

すべてのイベントで、これらのフィールドをマッピングします。

アクティビティのフィールドOCSF属性注記
idmetadata.uidそのままコピーします。
typemetadata.event_codeそのままコピーします。
created_attimeRFC 3339の文字列をUnixエポックからのミリ秒に変換し、整数に切り捨てます。
created_atmetadata.original_time文字列をそのままコピーします。
なしmetadata.logged_timeアクティビティを保存した時刻（変更を検出するのstored_at）（Unixエポックからのミリ秒）。
organization_uuidmetadata.tenant_uidそのままコピーします。
organization_idunmapped.organization_idそのままコピーします。
なしmetadata.version定数：1.6.0。
なしmetadata.product.vendor_name定数：Anthropic。
なしmetadata.product.name定数：Compliance API。
なしtype_uidclass_uid * 100 + activity_id。
なしseverity_idすべてのイベントで1（Informational）に設定し、アラートの優先度は、そのアラートを発生させる検出ルールで設定します。

OCSF属性がないフィールドは、ハンドラーが認識しないフィールドも含め、すべてアクティビティフィードでの名前のままunmappedオブジェクトに入れます。フィールドが存在しないかnullの場合は、OCSF属性を省略します。

actorオブジェクトを次のようにマッピングします。

アクティビティのフィールドOCSF属性注記
なしmetadata.profileshostを追加します。これはactorを含むOCSFプロファイル（オプションの属性セット）です。
actor.typeunmapped.actor.typeそのままコピーします。
actor.user_idactor.user.uiduser_actorのみ。
actor.email_addressactor.user.email_addruser_actorのみ。
actor.ip_addresssrc_endpoint.ipuser_actorのみ。
actor.user_agenthttp_request.user_agentuser_actorのみ。
actor.serviceactor.app_namesystem_actorのみ。

表明のアクティビティ：Entity Management

org_security_control_attestation_updatedアクティビティを、OCSFのEntity Managementクラス（3004）にマッピングします。Entity Managementのイベントは管理対象エンティティに対する操作を報告します。ここでのエンティティは、セキュリティコントロールに対する組織の表明です。

アクティビティのフィールドOCSF属性注記
なしclass_uid定数：3004（Entity Management）。
なしcategory_uid定数：3（Identity & Access Management）。
actionactivity_id後述のactionの値の表に従います。
actionunmapped.action2つのactionの値が1つのactivity_idを共有するため、そのままコピーします。
なしentity.type_id定数：99（Other）。
なしentity.type定数：Security control attestation。
controlentity.uidそのままコピーします。
statusentity.data.statusそのままコピーします。表明の値です。
review_dateentity.data.review_dateそのままコピーします。表明の終了日です。
previous_statusunmapped.previous_statusそのままコピーします。変更前の表明の値です。

statusをstatus_idや、成功または失敗を表すいずれの値にもマッピングしないでください。表明はコントロールについての人による記述であり、チェックの結果ではありません。

actionactivity_idtype_uid
attested1（Create）300401
changed3（Update）300403
renewed3（Update）300403
cleared4（Delete）300404
lapsed11（Deactivate）300411
その他の値99（Other）300499

99（Other）の場合は、activity_nameにactionの値を設定します。

attestedアクティビティは、次のようなイベントにマッピングされます（値はサンプルです）。

{
  "class_uid": 3004,
  "category_uid": 3,
  "activity_id": 1,
  "type_uid": 300401,
  "severity_id": 1,
  "time": 1794495872517,
  "metadata": {
    "version": "1.6.0",
    "profiles": ["host"],
    "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
    "event_code": "org_security_control_attestation_updated",
    "original_time": "2026-11-12T15:04:32.517208Z",
    "logged_time": 1794495910000,
    "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
    "product": { "vendor_name": "Anthropic", "name": "Compliance API" }
  },
  "actor": {
    "user": {
      "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
      "email_addr": "admin@example.com"
    }
  },
  "src_endpoint": { "ip": "192.0.2.34" },
  "http_request": { "user_agent": "ExampleBrowser/1.0" },
  "entity": {
    "type_id": 99,
    "type": "Security control attestation",
    "uid": "mdm_chat_required_organization",
    "data": { "status": "completed" }
  },
  "unmapped": {
    "action": "attested",
    "actor": { "type": "user_actor" },
    "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
  }
}

このページは役に立ちましたか？