관리Security posture

저장된 Security posture 이벤트를 현재 결과와 대조하기

Copy page



하루에 한 번, SIEM에 저장된 진술 활동을 엔드포인트의 현재 결과와 비교하고, 어떤 불일치에 사람의 확인이 필요한지 판단합니다.

Activity Feed는 활동을 늦게 전달할 수 있고 엔드포인트는 기록을 보관하지 않으므로, 각 소스에 다른 쪽에는 나타나지 않는 변경 사항이 나타날 수 있습니다. 일일 비교를 통해 “security information and event management”(보안 정보 및 이벤트 관리), 즉 SIEM 저장소에 누락된 항목을 찾을 수 있습니다. 피드가 모든 변경 사항을 기록하는 것은 아니므로, 진술(attestation)이 해당 보안 통제에 대한 피드의 첫 활동보다 더 이전일 수 있으며, 드물게는 변경 사항에 활동이 전혀 없을 수도 있습니다. 현재 결과만 보고하는 경우에는 이 대조가 필요하지 않습니다.

엔드포인트용 read:compliance_org_data와 Activity Feed용 read:compliance_activities, 또는 둘 다를 위한 read:org_audit가 포함된, 해당 조직을 포괄하는 Compliance Access Key가 필요합니다.

대조 실행하기

늦게 조회 가능해진 활동이 저장되도록 각 실행을 그날의 일일 재조회가 완료된 후에 시작합니다.

1. 조직 나열로 연결된 조직을 나열합니다. 각 조직의 uuid를 얻습니다.
2. 각 조직에 대해 엔드포인트를 한 번 호출합니다. 200을 받거나, 엔드포인트가 지원하지 않는 조직(Security posture 사용 가능 여부 참조)의 경우 매 실행마다 404를 받습니다. 404는 이번 실행에서 해당 조직을 읽지 않았다는 의미입니다. 200을 반환하는 조직의 목록을 각 조직의 첫 번째 200의 evaluated_at, 즉 해당 조직에 대한 첫 실행과 함께 보관합니다.
3. 분리 규칙에 나열된 항목을 분리합니다.
4. 조직의 나머지 저장된 진술 활동을 보안 통제별로 그룹화하고, 각 통제에서 created_at 기준으로 가장 나중의 활동을 선택합니다. 통제마다 활동이 하나 있거나 없습니다.
5. 남은 각 통제에 대해 판정 표에서 해당 행을 찾습니다. 일치, 예상된 차이 또는 조사 필요 중 하나를 얻습니다.
6. 조직을 읽는 다음 실행에서 조사 필요 항목이 다시 나타날 때만 조치합니다. 6행은 즉시 조치하고, 10행과 11행에 대해서는 대신 자리 표시 레코드 규칙을 따릅니다. 조직을 읽지 않은 실행은 횟수에 포함되지 않으며 대기를 다시 시작하지도 않습니다.

호출 속도를 조절하고 429는 429 Too Many Requests에 설명된 대로 처리하세요. 재시도 후에도 호출이 성공하지 못한 조직은 이번 실행에서 읽지 않은 것이며, 성공하지 못한 호출은 변경 사항이 아닙니다.

필드 매칭하기

다음 필드를 사용해 응답의 항목을 저장된 활동과 매칭합니다.

비교할 수 없는 항목 분리하기

비교하기 전에 다음 항목을 분리합니다.

각 불일치의 의미 판단하기

남은 각 통제는 정확히 하나의 행에 해당합니다.

두 소스를 매칭할 수 없는 경우 자리 표시 레코드 유지하기

자리 표시 레코드는 두 소스 중 한쪽에 없는 것을 대신하며, 저장된 활동과는 별도로 보관합니다. 10행과 11행의 경우 피드를 다시 읽고, 일일 재조회가 미치는 범위인 15일 이내에 아무것도 도착하지 않는 경우에만 자리 표시 레코드를 저장하고 검토 대상으로 표시합니다. 첫 실행에서는 검토 없이 즉시 저장합니다.

통제와 attested_at을 고유 식별 기준으로 사용하는 10행 자리 표시 레코드:

1. 해당 통제에 대해 저장된 가장 나중의 활동부터, 또는 저장된 활동이 없으면 attested_at부터(해당 시각 포함) 다시 읽습니다. 15일은 attested_at부터 계산합니다. 항목으로 자리 표시 레코드를 만들고 활동이 없다는 점을 기록해 둡니다. 판정 표에서는 이를 해당 attested_at 시각의, 값이 status(있는 경우)와 짝을 이루는 attested 활동으로 간주합니다.
2. 진술이 나타나는 각 실행에서 status와 state를 업데이트합니다.
3. created_at이 그 attested_at과 같은 활동이 도착하면 자리 표시 레코드를 그 활동으로 대체합니다.
4. 두 번 연속된 실행에서 진술이 나타나지 않으면 자리 표시 레코드를 해결합니다. 해당 통제에 대한 더 나중의 저장된 활동이나 해결되지 않은 10행 불일치로 설명되는 경우, 또는 두 실행 모두 descriptive가 나타나는 경우가 아니라면 이를 검토 대상으로 표시합니다.
5. 조직을 읽지 않았거나 not_evaluated가 나타나는 실행은 이 두 번의 실행에 포함되지 않으며, 이를 다시 시작하지도 않습니다.
6. 진술이 다시 나타나면 같은 자리 표시 레코드를 다시 엽니다.

통제만을 고유 식별 기준으로 사용하는 9행, 11행, 15행 자리 표시 레코드:

7. 11행의 경우 15일은 해당 status가 처음 나타난 실행부터 계산합니다. 자리 표시 레코드가 해결되지 않은 동안에는 해당 통제에 대해 더 이상 검토 대상으로 표시하지 않습니다. 더 나중의 활동이 도착하거나, 진술이 나타나거나, 두 번 연속된 실행이 다른 행에 해당하면 자리 표시 레코드를 해결합니다.
8. 진술이 failed_check_accepted_risk로 나타나서 9행 자리 표시 레코드가 해결되면, 한 번 검토 대상으로 표시합니다: 위험이 유효한 상태입니다.

예제

다음 두 실행은 결과 참조의 응답 샘플에 있는 조직을 읽으며, 실행 1이 첫 실행입니다.

• 실행 1, directory_sync_enabled. 저장됨: 2026-10-20T15:04:00.220114Z에 생성된 attested, accepted_risk. 응답: failed_check_accepted_risk, in_force, 같은 attested_at. 1행: 일치.
• 실행 1, allowed_invite_domains. 저장됨: 없음. 응답: descriptive, attestation null. 규칙 S4: 분리.
• 실행 1, oauth_conditional_access. 저장됨: 없음. 응답: state가 review_due인 attestation. 10행: 조사 필요. 첫 실행에서는 검토 없이 즉시 자리 표시 레코드를 저장합니다.
• 실행 2, oauth_conditional_access. 자리 표시 레코드: 실행 1의 것. 응답: 동일. 5행: 예상된 차이. review_due에 대해 한 번 조치합니다.

대조로 찾을 수 없는 항목

일일 대조로는 자동 통제에서 응답이 누락하는 진술에 대한 활동 누락을 찾을 수 없습니다. 응답은 그러한 진술에 대한 어떤 신호도 주지 않거나, 자동 검사가 부여하는 상태처럼 보이는 status failed만 제공합니다.

조직이 응답하지 않게 된 경우

200을 반환한 적이 있다가 여러 번 연속된 실행에서 404를 반환하는 조직은 한 번 사람의 확인이 필요합니다. Security posture 페이지에 액세스할 수 있는 사람에게 해당 조직에 대해 Security posture 페이지가 꺼짐으로 설정되었는지 문의하세요(Security posture 사용 가능 여부 참조). 해당 조직에 대해 Security posture 페이지가 꺼짐으로 설정되지 않았다면 Anthropic 담당자에게 문의하세요. 조직이 삭제되었거나, 해당 조직에 대한 액세스, Security posture 또는 엔드포인트가 종료되었을 수 있습니다. 원인과 관계없이 검토 없이 해당 조직의 자리 표시 레코드와 해결되지 않은 불일치를 해결하고, 계속 호출하며, 다시 200을 반환하면 이를 다시 엽니다.