АдминистрированиеSecurity posture

Справочник по событиям Security posture

Справочник по активностям ленты активности, которые записывают изменения на странице Security posture: их поля и значения, пример для каждой из них, а также то, чего лента не записывает.

Лента активности записывает изменения подтверждений на странице Security posture как активности, которые описывает эта страница. Чтобы загружать их в систему «security information and event management» (система управления информацией и событиями безопасности), или SIEM, начните с раздела Отправка событий Security posture в вашу SIEM. Передавайте дальше без изменений любое значение control, action или другого поля, которое не указано на этой странице, игнорируйте неожиданные поля и обрабатывайте отсутствующий ключ и значение null одинаково. Стандартные поля и неизвестные типы описаны в разделе Структура объекта Activity.

Вам нужен ключ Compliance Access Key, охватывающий организацию, с областью действия read:compliance_activities или read:org_audit.

Активность подтверждения

Активность org_security_control_attestation_updated фиксирует, что кто-то зафиксировал, изменил, повторно сохранил или снял подтверждение организации для меры безопасности, либо что подтверждение перестало действовать автоматически. Её created_at — время изменения, внесённого человеком, или, для автоматического изменения, время его записи, которое может быть позже самого изменения. Её actor — это user_actor для изменения, внесённого человеком, и system_actor для автоматического изменения, такого как lapsed.

Поля

Этот тип добавляет следующие поля, где status — значение подтверждения, а review_date — его дата окончания.

Поле	Тип	Описание
`control`	string	Идентификатор меры безопасности, к которой относится подтверждение, например `oauth_conditional_access`; обрабатывайте его как непрозрачную строку.
`action`	string	Что изменилось: одно из значений, перечисленных в разделе Значения `action`.
`status`	string	Значение подтверждения: «Выполнено» (`completed`), «Принятый риск» (`accepted_risk`) или подтверждено как «Не пройдено» (`control_failed`); отсутствует, если подтверждение было снято.
`previous_status`	string	Значение подтверждения до этого изменения, одно из тех же трёх; отсутствует, если `action` равно `attested`.
`review_date`	string	День по UTC (дата в формате ISO 8601), в который подтверждение должно перестать действовать; отсутствует, если оно было сохранено без даты окончания или было снято.

Для справочной меры значение «Рассмотрено» записывается как completed.

Значения `action`

`action`	Значение
`attested`	Подтверждение было зафиксировано для меры, у которой его не было.
`changed`	Подтверждение было повторно сохранено с другим значением или, когда `status` равно `previous_status`, с тем же значением, как в случае `renewed`.
`renewed`	Подтверждение было повторно сохранено с тем же значением.
`cleared`	Человек снял подтверждение.
`lapsed`	Подтверждение перестало действовать автоматически, а не по действию человека.

В активностях renewed и lapsed значение status равно previous_status. Сохранение с тем же значением после активности lapsed записывается как renewed, а не attested.

Что означает активность `lapsed`

Активность lapsed означает, что результат проверки или текущее значение меры отличается от того, с которым было сохранено подтверждение; текущее значение может измениться без изменения каких-либо настроек, например когда Anthropic меняет его формулировку. status — значение, которое перестало действовать: любое из трёх. Подтверждение вручную подтверждаемой меры никогда не получает активность lapsed. Активность может появиться позже, чем изменение, которое её вызвало.

Пример

{
  "id": "activity_01Hq7ZtYc4Vb2NmKx8RsPd3W",
  "type": "org_security_control_attestation_updated",
  "created_at": "2026-10-20T15:04:00.220114Z",
  "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2",
  "organization_uuid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "actor": {
    "type": "user_actor",
    "email_address": "jane.doe@example.com",
    "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu",
    "ip_address": "192.0.2.34",
    "user_agent": "Mozilla/5.0..."
  },
  "control": "directory_sync_enabled",
  "action": "attested",
  "status": "accepted_risk"
}

Что не записывает лента

Не считайте отсутствие активности признаком того, что ничего не изменилось. Текущие результаты см. в разделе Справочник по результатам Security posture; его конечная точка может не возвращать меру, указанную в активности.

Изменения, произошедшие до того, как Лента активности начала записывать эти активности для организации, или в то время, когда Compliance API был отключён; позже они не добавляются.
Изредка — изменение любого рода.
Каждая дата окончания, которая наступает: не все они получают активность, поэтому не ждите активности.
Каждое отключение или включение страницы Security posture: не полагайтесь на правило обнаружения для его обнаружения.
Комментарии, сохранённые вместе с подтверждением, или какие-либо признаки того, что комментарий существует. Чтобы изменить комментарий, требуется новое сохранение, которое лента фиксирует так же, как любое другое сохранение с тем же значением (см. Значения action).
К какому виду меры относится подтверждение: автоматически проверяемая, вручную подтверждаемая или справочная.
Каждое изменение, из-за которого подтверждение может перестать действовать: не все они получают активность lapsed.

Активность подтверждения

Поля

Значения action

Что означает активность lapsed

Пример

Что не записывает лента