Referência de eventos de Security posture

O Activity Feed registra alterações em atestações na página Security posture como as atividades que esta página descreve. Para ingeri-las em um sistema de gerenciamento de informações e eventos de segurança (SIEM), comece em Enviar eventos de Security posture para o seu SIEM. Repasse qualquer valor de control, action ou de outro campo que esta página não lista, ignore campos inesperados e trate uma chave ausente e um valor null da mesma forma. Entender o objeto Activity aborda os campos padrão e os tipos desconhecidos.

Você precisa de uma Compliance Access Key que abranja a organização, com o escopo read:compliance_activities ou read:org_audit.

Atividade de atestação

Uma atividade org_security_control_attestation_updated registra que alguém registrou, alterou, salvou novamente ou removeu a atestação da organização para um controle de segurança, ou que a atestação deixou de estar em vigor automaticamente. Seu created_at é o momento da alteração feita por uma pessoa ou, para uma alteração automática, o momento em que a alteração foi registrada, o qual pode ser posterior à alteração. Seu actor é um user_actor para a alteração feita por uma pessoa e um system_actor para uma alteração automática, como lapsed.

Campos

Este tipo adiciona os campos a seguir, em que status é o valor da atestação e review_date é sua data de término.

Em um controle apenas informativo, o valor Revisado é registrado como completed.

Valores de action

Em atividades renewed e lapsed, status é igual a previous_status. Um salvamento com o mesmo valor após uma atividade lapsed é registrado como renewed, não como attested.

O que uma atividade lapsed significa

Uma atividade lapsed significa que o resultado da verificação ou o valor atual do controle difere daquele em relação ao qual a atestação foi salva; o valor atual pode mudar sem que nenhuma configuração seja alterada, por exemplo quando a Anthropic o reformula. status é o valor que deixou de estar em vigor: qualquer um dos três. Uma atestação de um controle manual nunca recebe uma atividade lapsed. A atividade pode chegar depois da alteração que a causou.

Exemplo

{
  "id": "activity_01Hq7ZtYc4Vb2NmKx8RsPd3W",
  "type": "org_security_control_attestation_updated",
  "created_at": "2026-10-20T15:04:00.220114Z",
  "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2",
  "organization_uuid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "actor": {
    "type": "user_actor",
    "email_address": "jane.doe@example.com",
    "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu",
    "ip_address": "192.0.2.34",
    "user_agent": "Mozilla/5.0..."
  },
  "control": "directory_sync_enabled",
  "action": "attested",
  "status": "accepted_risk"
}

O que o feed não registra

Não interprete a ausência de uma atividade como sinal de que nada mudou. Para resultados atuais, consulte Referência de resultados de Security posture; seu endpoint pode omitir um controle que uma atividade menciona.

• Alterações anteriores ao momento em que o Activity Feed começou a registrar essas atividades para a organização, ou feitas enquanto a Compliance API estava desativada; elas nunca são adicionadas depois.
• Raramente, uma alteração de qualquer tipo.
• Toda data de término que chega: nem todas recebem uma atividade, então não espere por uma.
• Cada vez que a página Security posture é desativada ou ativada: não dependa de uma regra de detecção para detectar isso.
• Comentários salvos com uma atestação, ou qualquer indicação de que exista um. Alterar um comentário exige salvar novamente, e o feed registra esse salvamento como qualquer outro com o mesmo valor (consulte valores de action).
• A que tipo de controle uma atestação se refere: automático, manual ou apenas informativo.
• Toda alteração que poderia fazer uma atestação deixar de estar em vigor: nem todas recebem uma atividade lapsed.