--- title: Mapear eventos de Security posture para OCSF url: https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/ocsf-mapping description: Mapeie cada atividade de Security posture na Compliance API para a sua classe e os seus atributos do Open Cybersecurity Schema Framework (OCSF) antes de armazená-la. --- Para habilitar a Compliance API, consulte [Configurar a Compliance API](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api-access). O [Open Cybersecurity Schema Framework](https://schema.ocsf.io/) (OCSF) é um schema aberto para eventos de segurança. Aplique este mapeamento às atividades de [Security posture](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/overview) no seu próprio pipeline, depois de lê-las e antes de armazená-las. Para ingeri-las no seu sistema de gerenciamento de informações e eventos de segurança (SIEM), comece em [Enviar eventos de Security posture para o seu SIEM](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/send-events). ## Versão do OCSF Este mapeamento usa o OCSF 1.6.0. Se você validar em relação a outra versão, confira os atributos desta página em relação a essa versão. Por exemplo, no OCSF 1.7.0, `metadata.uid` é o identificador do próprio evento OCSF, e `metadata.original_event_uid` contém o identificador da origem. O OCSF 1.9.0 descontinua `actor.app_name` em favor de `actor.application`. ## Atributos para toda atividade de Security posture Mapeie estes campos em todo evento. | Campo da atividade | Atributo OCSF | Observação | | ------------------- | ------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | `metadata.uid` | Copiar sem alterações. | | `type` | `metadata.event_code` | Copiar sem alterações. | | `created_at` | `time` | Converta a string RFC 3339 para milissegundos desde a época Unix e trunque para um número inteiro. | | `created_at` | `metadata.original_time` | Copie a string sem alterações. | | Nenhum | `metadata.logged_time` | O momento em que você armazenou a atividade (`stored_at` em [Detectar alterações](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule)), em milissegundos desde a época Unix. | | `organization_uuid` | `metadata.tenant_uid` | Copiar sem alterações. | | `organization_id` | `unmapped.organization_id` | Copiar sem alterações. | | Nenhum | `metadata.version` | Constante: `1.6.0`. | | Nenhum | `metadata.product.vendor_name` | Constante: `Anthropic`. | | Nenhum | `metadata.product.name` | Constante: `Compliance API`. | | Nenhum | `type_uid` | `class_uid * 100 + activity_id`. | | Nenhum | `severity_id` | Defina como `1` (Informational) em todo evento e defina a prioridade de um alerta na [regra de detecção](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/detect-changes) que o gera. | Coloque todo campo que não tem atributo OCSF no objeto `unmapped` sob o nome que ele tem no Activity Feed, incluindo campos que o seu handler não reconhece. Quando um campo estiver ausente ou for `null`, omita o atributo OCSF. Mapeie o objeto `actor`: | Campo da atividade | Atributo OCSF | Observação | | --------------------- | ------------------------- | -------------------------------------------------------------------------------------- | | Nenhum | `metadata.profiles` | Adicione `host`, o perfil OCSF (um conjunto opcional de atributos) que contém `actor`. | | `actor.type` | `unmapped.actor.type` | Copiar sem alterações. | | `actor.user_id` | `actor.user.uid` | Somente `user_actor`. | | `actor.email_address` | `actor.user.email_addr` | Somente `user_actor`. | | `actor.ip_address` | `src_endpoint.ip` | Somente `user_actor`. | | `actor.user_agent` | `http_request.user_agent` | Somente `user_actor`. | | `actor.service` | `actor.app_name` | Somente `system_actor`. | ## Atividades de atestação: Entity Management Mapeie uma atividade [`org_security_control_attestation_updated`](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-security-posture/events-reference#attestation-activity) para a classe Entity Management (3004) do OCSF. Eventos de Entity Management relatam uma operação sobre uma entidade gerenciada, aqui a atestação da organização para um controle de segurança. | Campo da atividade | Atributo OCSF | Observação | | ------------------ | -------------------------- | ------------------------------------------------------------------------------------------- | | Nenhum | `class_uid` | Constante: `3004` (Entity Management). | | Nenhum | `category_uid` | Constante: `3` (Identity & Access Management). | | `action` | `activity_id` | Da tabela de valores de `action` a seguir. | | `action` | `unmapped.action` | Copiar sem alterações, porque dois valores de `action` compartilham um mesmo `activity_id`. | | Nenhum | `entity.type_id` | Constante: `99` (Other). | | Nenhum | `entity.type` | Constante: `Security control attestation`. | | `control` | `entity.uid` | Copiar sem alterações. | | `status` | `entity.data.status` | Copiar sem alterações: o valor da atestação. | | `review_date` | `entity.data.review_date` | Copiar sem alterações: a data de término da atestação. | | `previous_status` | `unmapped.previous_status` | Copiar sem alterações: o valor da atestação antes da alteração. | Não mapeie `status` para `status_id` nem para qualquer valor de sucesso ou falha: uma atestação é uma declaração de uma pessoa sobre um controle, não o resultado de uma verificação. | `action` | `activity_id` | `type_uid` | | -------------------- | ----------------- | ---------- | | `attested` | `1` (Create) | `300401` | | `changed` | `3` (Update) | `300403` | | `renewed` | `3` (Update) | `300403` | | `cleared` | `4` (Delete) | `300404` | | `lapsed` | `11` (Deactivate) | `300411` | | Qualquer outro valor | `99` (Other) | `300499` | Para `99` (Other), defina `activity_name` como o valor de `action`. Uma atividade `attested` é mapeada para um evento como este, com valores de exemplo: ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```