Mapear eventos de Security posture para OCSF
Mapeie cada atividade de Security posture na Compliance API para a sua classe e os seus atributos do Open Cybersecurity Schema Framework (OCSF) antes de armazená-la.
O Open Cybersecurity Schema Framework (OCSF) é um schema aberto para eventos de segurança. Aplique este mapeamento às atividades de Security posture no seu próprio pipeline, depois de lê-las e antes de armazená-las. Para ingeri-las no seu sistema de gerenciamento de informações e eventos de segurança (SIEM), comece em Enviar eventos de Security posture para o seu SIEM.
Versão do OCSF
Este mapeamento usa o OCSF 1.6.0. Se você validar em relação a outra versão, confira os atributos desta página em relação a essa versão. Por exemplo, no OCSF 1.7.0, metadata.uid é o identificador do próprio evento OCSF, e metadata.original_event_uid contém o identificador da origem. O OCSF 1.9.0 descontinua actor.app_name em favor de actor.application.
Atributos para toda atividade de Security posture
Mapeie estes campos em todo evento.
| Campo da atividade | Atributo OCSF | Observação |
|---|---|---|
id | metadata.uid | Copiar sem alterações. |
type | metadata.event_code | Copiar sem alterações. |
created_at | time | Converta a string RFC 3339 para milissegundos desde a época Unix e trunque para um número inteiro. |
created_at | metadata.original_time | Copie a string sem alterações. |
| Nenhum | metadata.logged_time | O momento em que você armazenou a atividade (stored_at em Detectar alterações), em milissegundos desde a época Unix. |
organization_uuid | metadata.tenant_uid | Copiar sem alterações. |
organization_id | unmapped.organization_id | Copiar sem alterações. |
| Nenhum | metadata.version | Constante: 1.6.0. |
| Nenhum | metadata.product.vendor_name | Constante: Anthropic. |
| Nenhum | metadata.product.name | Constante: Compliance API. |
| Nenhum | type_uid | class_uid * 100 + activity_id. |
| Nenhum | severity_id | Defina como 1 (Informational) em todo evento e defina a prioridade de um alerta na regra de detecção que o gera. |
Coloque todo campo que não tem atributo OCSF no objeto unmapped sob o nome que ele tem no Activity Feed, incluindo campos que o seu handler não reconhece. Quando um campo estiver ausente ou for null, omita o atributo OCSF.
Mapeie o objeto actor:
| Campo da atividade | Atributo OCSF | Observação |
|---|---|---|
| Nenhum | metadata.profiles | Adicione host, o perfil OCSF (um conjunto opcional de atributos) que contém actor. |
actor.type | unmapped.actor.type | Copiar sem alterações. |
actor.user_id | actor.user.uid | Somente user_actor. |
actor.email_address | actor.user.email_addr | Somente user_actor. |
actor.ip_address | src_endpoint.ip | Somente user_actor. |
actor.user_agent | http_request.user_agent | Somente user_actor. |
actor.service | actor.app_name | Somente system_actor. |
Atividades de atestação: Entity Management
Mapeie uma atividade org_security_control_attestation_updated para a classe Entity Management (3004) do OCSF. Eventos de Entity Management relatam uma operação sobre uma entidade gerenciada, aqui a atestação da organização para um controle de segurança.
| Campo da atividade | Atributo OCSF | Observação |
|---|---|---|
| Nenhum | class_uid | Constante: 3004 (Entity Management). |
| Nenhum | category_uid | Constante: 3 (Identity & Access Management). |
action | activity_id | Da tabela de valores de action a seguir. |
action | unmapped.action | Copiar sem alterações, porque dois valores de action compartilham um mesmo activity_id. |
| Nenhum | entity.type_id | Constante: 99 (Other). |
| Nenhum | entity.type | Constante: Security control attestation. |
control | entity.uid | Copiar sem alterações. |
status | entity.data.status | Copiar sem alterações: o valor da atestação. |
review_date | entity.data.review_date | Copiar sem alterações: a data de término da atestação. |
previous_status | unmapped.previous_status | Copiar sem alterações: o valor da atestação antes da alteração. |
Não mapeie status para status_id nem para qualquer valor de sucesso ou falha: uma atestação é uma declaração de uma pessoa sobre um controle, não o resultado de uma verificação.
action | activity_id | type_uid |
|---|---|---|
attested | 1 (Create) | 300401 |
changed | 3 (Update) | 300403 |
renewed | 3 (Update) | 300403 |
cleared | 4 (Delete) | 300404 |
lapsed | 11 (Deactivate) | 300411 |
| Qualquer outro valor | 99 (Other) | 300499 |
Para 99 (Other), defina activity_name como o valor de action.
Uma atividade attested é mapeada para um evento como este, com valores de exemplo:
{
"class_uid": 3004,
"category_uid": 3,
"activity_id": 1,
"type_uid": 300401,
"severity_id": 1,
"time": 1794495872517,
"metadata": {
"version": "1.6.0",
"profiles": ["host"],
"uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
"event_code": "org_security_control_attestation_updated",
"original_time": "2026-11-12T15:04:32.517208Z",
"logged_time": 1794495910000,
"tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
"product": { "vendor_name": "Anthropic", "name": "Compliance API" }
},
"actor": {
"user": {
"uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
"email_addr": "admin@example.com"
}
},
"src_endpoint": { "ip": "192.0.2.34" },
"http_request": { "user_agent": "ExampleBrowser/1.0" },
"entity": {
"type_id": 99,
"type": "Security control attestation",
"uid": "mdm_chat_required_organization",
"data": { "status": "completed" }
},
"unmapped": {
"action": "attested",
"actor": { "type": "user_actor" },
"organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
}
}Esta página foi útil?