--- title: Verificar eventos armazenados de Security posture em relação aos resultados atuais url: https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results description: Uma vez por dia, compare as atividades de atestação que seu SIEM armazenou com os resultados atuais do endpoint e decida quais divergências precisam da atenção de uma pessoa. --- Para habilitar a Compliance API, consulte [Configurar a Compliance API](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api-access). O Activity Feed pode entregar uma atividade com atraso, e o endpoint não mantém histórico, então cada fonte pode mostrar uma alteração que a outra não mostra. Uma comparação diária encontra o que falta no armazenamento do seu sistema de gerenciamento de informações e eventos de segurança (SIEM). O feed não registra [todas as alterações](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record), então uma atestação pode ser mais antiga que a primeira atividade do feed para o seu controle de segurança e, em casos raros, uma alteração não tem nenhuma atividade. Se você relata apenas os resultados atuais, não precisa da verificação. Você precisa de uma Compliance Access Key que abranja a organização, com `read:compliance_org_data` para o endpoint e `read:compliance_activities` para o Activity Feed, ou `read:org_audit` para ambos. ## Executar a verificação Inicie cada execução depois que a [releitura diária](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day) do dia for concluída, para que as atividades atrasadas estejam armazenadas. 1. Liste as organizações vinculadas com [Listar organizações](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-org-data#list-organizations). Você obtém o `uuid` de cada uma. 2. [Chame o endpoint](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/results-reference#request) uma vez para cada organização. Você recebe um 200, ou um 404 em toda execução para uma organização que o endpoint não atende (veja [Disponibilidade do Security posture](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview#availability)). Um 404 significa que a organização não é lida nesta execução. Mantenha uma lista das organizações que retornam um 200, cada uma com o `evaluated_at` do seu primeiro 200: sua primeira execução para a organização. 3. Separe o que as [regras de separação](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared) listam. 4. Agrupe as atividades de atestação armazenadas restantes da organização por controle de segurança e pegue a mais recente por `created_at` de cada um. Você obtém uma atividade para cada controle, ou nenhuma. 5. Para cada controle que resta, encontre sua linha na [tabela de decisão](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results#decide-what-each-mismatch-means). Você obtém Igual, Esperado ou A investigar. 6. Aja sobre uma linha A investigar somente quando a próxima execução que lê a organização a mostrar novamente; aja sobre a linha 6 imediatamente e, para as linhas 10 e 11, siga em vez disso as [regras do registro substituto](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched). Uma execução que não leu a organização não conta nem reinicia a espera. Espace suas chamadas e trate um 429 conforme descrito em [429 Too Many Requests](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-errors#429-too-many-requests); uma organização cujas chamadas falham após suas novas tentativas não é lida nesta execução, e uma chamada com falha não é uma alteração. ## Corresponder os campos Faça corresponder uma entrada da resposta a uma atividade armazenada com estes campos. | Na resposta | Na atividade | Como se relacionam | | ------------------------- | ------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `organization_id` | `organization_uuid` | O mesmo valor; o próprio `organization_id` da atividade tem o prefixo `org_`. | | `controls[].id` | `control` | O mesmo identificador, exceto conforme a [regra S2](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared). | | `attestation.attested_at` | `created_at` da atividade `attested`, `changed` ou `renewed` mais recente | O mesmo horário onde a resposta exibe a atestação; compare como horários, não como strings. | | `status` | `status` | Enquanto a atestação estiver em vigor, `attested_completed` corresponde a `completed`, e `attested_accepted_risk` e `failed_check_accepted_risk` a `accepted_risk`; nada corresponde a `control_failed`. | ## Separar o que não pode ser comparado Antes de comparar, separe estes itens. | # | O quê | Regra | | -- | ----------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------- | | S1 | Uma atividade de atestação armazenada cuja `action` não é `attested`, `changed`, `renewed`, `cleared` ou `lapsed` | Deixe-a fora de toda a verificação; sinalize cada novo valor de `action` para revisão uma vez. | | S2 | Uma atividade de atestação armazenada que nomeia `mdm_cowork_required_organization` | Conte-a como uma para `mdm_chat_required_organization`. | | S3 | Uma atividade de atestação armazenada cujo controle não tem nenhuma entrada na resposta | Nada a comparar; relate o controle como ausente da resposta, nunca como Aprovado (`passed`). | | S4 | Uma entrada cujo `status` é `descriptive`, `not_applicable` ou `not_evaluated` | Ignore-a; uma execução em que ela é `not_evaluated` não conta para esse controle. | ## Decidir o que cada divergência significa Cada controle que resta se encaixa em exatamente uma linha. | # | Atividade armazenada mais recente | Entrada na resposta | Veredito | O que fazer | | -- | --------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 1 | `attested`, `changed` ou `renewed` | `attested_at` é igual ao seu `created_at`; `state` é `in_force`; `status` corresponde ao seu valor. | Igual | Nada. | | 2 | `cleared` | `attestation` é `null`, exceto conforme a linha 11. | Igual | Nada. | | 3 | `lapsed`, com Risco aceito (`accepted_risk`) | `attestation` é `null`, ou tem o horário da atividade anterior com `state` `check_passing` ou `setting_changed`. | Igual | Nada. | | 4 | `lapsed`, com `completed` ou `control_failed` | `attestation` é `null`. | Igual | Nada. | | 5 | `attested`, `changed` ou `renewed` | `attested_at` é igual ao seu `created_at`; `state` é `review_due`, `check_passing` ou `setting_changed`. | Esperado | Não está em vigor: aja uma vez sobre cada novo estado, sem esperar por uma atividade; um retorno a `in_force` redefine isso. | | 6 | `attested`, `changed` ou `renewed`, com Concluído (`completed`), e um `created_at` posterior à sua primeira execução | Na primeira execução que compara a atividade, `attestation` é `null` e `status` é `failed` com um `current_value`. | A investigar | A página Security posture pode mostrar uma verificação com falha como Aprovado: sinalize para revisão, sem espera. | | 7 | `attested`, `changed` ou `renewed`, com `completed` | `attestation` é `null`; `status` não é nem `not_attested` nem `failed` com um `current_value` `null`; a linha 6 não se encaixa. | Esperado | Nada a comparar; a resposta nunca a exibe. | | 8 | `attested`, `changed` ou `renewed`, como Reprovado (`control_failed`) | `attestation` é `null`; `status` é um de três: `failed`; qualquer status que a verificação automática atribua; ou, a partir da data de término (`review_date`, em UTC), `not_attested`. | Esperado | Nada a comparar; aja uma vez quando `status` deixar `failed` a partir da data de término. | | 9 | `attested`, `changed` ou `renewed`, com `accepted_risk` | `attestation` é `null`, e `status` é `passed`, `matches_profile` ou `exceeds_baseline`. | Esperado | Armazene um registro substituto ([regra 7 do registro substituto](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)). | | 10 | Nenhuma, ou toda atividade armazenada é mais antiga que `attested_at` | `attestation` está presente. | A investigar | Siga as regras do registro substituto. | | 11 | Nenhuma, ou uma cujo valor não é `control_failed` | `current_value` é `null`, e `status` é `failed`. | A investigar | Falta no seu armazenamento uma atestação como Reprovado (`control_failed`): siga as regras do registro substituto e aja uma vez quando `status` deixar `failed`. | | 12 | `attested`, `changed`, `renewed` ou `cleared`, mais recente que `attested_at`, com outra atividade de quase o mesmo horário | `attestation` está presente. | Esperado | Alterações feitas quase ao mesmo tempo podem ser armazenadas em qualquer ordem. | | 13 | A mesma, sem essa segunda atividade | `attestation` está presente. | A investigar | Entre em contato com o suporte da Anthropic, uma única vez. | | 14 | `attested`, `changed` ou `renewed` | `attested_at` é igual ao seu `created_at`; `state` é `in_force`; `status` não corresponde ao seu valor. | A investigar | Entre em contato com o suporte da Anthropic, uma única vez. | | 15 | `attested`, `changed` ou `renewed`; nenhuma linha anterior se encaixa | `attestation` é `null`. | A investigar | Provavelmente removida: armazene um registro substituto ([regra 7 do registro substituto](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)) e sinalize para revisão uma única vez. | | 16 | Nenhuma | `attestation` é `null`, e a linha 11 não se encaixa. | Igual | Nada. | | 17 | Qualquer outra | Qualquer outra. | A investigar | Sinalize para revisão uma vez. | ## Manter um registro substituto onde as duas fontes não podem ser correspondidas Um registro substituto representa o que falta em uma das duas fontes, e você o mantém separado das suas atividades armazenadas. Para as linhas 10 e 11, leia o feed novamente e armazene e sinalize o registro substituto somente se nada chegar dentro de 15 dias, o alcance da [releitura diária](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day). Na sua primeira execução, armazene-o imediatamente, sem revisão. Registros substitutos da linha 10, identificados pelo controle e por `attested_at`: 1. Leia novamente a partir da sua atividade armazenada mais recente para o controle, ou a partir de `attested_at`, inclusive, se você não armazenou nenhuma; os 15 dias contam a partir de `attested_at`. Construa o registro substituto a partir da entrada, marcado como sem atividade; na tabela de decisão, leia-o como uma atividade `attested` naquele `attested_at` cujo valor corresponde ao seu `status`, se houver. 2. Em cada execução que exibe a atestação, atualize seu `status` e `state`. 3. Quando chegar uma atividade cujo `created_at` seja igual àquele `attested_at`, substitua o registro substituto por ela. 4. Quando duas execuções seguidas não exibirem a atestação, resolva o registro substituto; sinalize isso para revisão, a menos que uma atividade armazenada mais recente ou uma divergência não resolvida da linha 10 para o controle explique isso, ou que ambas as execuções mostrem `descriptive`. 5. Uma execução que não leu a organização, ou que mostra `not_evaluated`, não conta para essas duas execuções nem as reinicia. 6. Se a atestação aparecer novamente, reabra o mesmo registro substituto. Registros substitutos das linhas 9, 11 e 15, identificados apenas pelo controle: 7. Para a linha 11, os 15 dias contam a partir da primeira execução que exibe o `status`. Enquanto o registro substituto não estiver resolvido, não sinalize mais nada para esse controle; resolva-o quando chegar uma atividade mais recente, quando a atestação aparecer ou quando duas execuções seguidas se encaixarem em outra linha. 8. Quando um registro substituto da linha 9 for resolvido porque a atestação aparece como `failed_check_accepted_risk`, sinalize-o para revisão uma vez: o risco está em vigor. ## Exemplo prático Estas duas execuções leem a organização do [exemplo de resposta](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/results-reference#response) na Referência de resultados; a execução 1 é a sua primeira execução. * Execução 1, `directory_sync_enabled`. Armazenada: `attested`, `accepted_risk`, criada em `2026-10-20T15:04:00.220114Z`. Resposta: `failed_check_accepted_risk`, `in_force`, o mesmo `attested_at`. Linha 1: Igual. * Execução 1, `allowed_invite_domains`. Armazenada: nada. Resposta: `descriptive`, `attestation` `null`. Regra S4: separada. * Execução 1, `oauth_conditional_access`. Armazenada: nada. Resposta: uma `attestation` com `state` `review_due`. Linha 10: A investigar. Na sua primeira execução, armazene um registro substituto imediatamente, sem revisão. * Execução 2, `oauth_conditional_access`. Registro substituto: o da execução 1. Resposta: a mesma. Linha 5: Esperado. Aja uma vez sobre `review_due`. ## O que a verificação não consegue encontrar A verificação diária não consegue encontrar uma atividade ausente para uma atestação que a resposta omite em um controle automático. A resposta não dá nenhum sinal de tal atestação, ou apenas o `status` `failed`, que parece o status que a verificação automática atribui. ## Quando uma organização para de responder Uma organização que retornou um 200 e depois retorna um 404 em várias execuções seguidas precisa da atenção de uma pessoa, uma vez. Pergunte a alguém com acesso à página Security posture se a página foi desativada para a organização (consulte [Disponibilidade do Security posture](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview#availability)). Se a página não foi desativada, entre em contato com seu representante da Anthropic. A organização pode ter sido excluída, ou seu acesso, o Security posture ou o endpoint pode ter deixado de existir para a organização. Qualquer que seja a causa, resolva os registros substitutos e divergências não resolvidas da organização sem revisão, continue chamando a organização e reabra-os se a organização retornar um 200.