Сопоставление событий Security posture с OCSF

Open Cybersecurity Schema Framework (OCSF) — это открытая схема для событий безопасности. Применяйте это сопоставление к активностям Security posture в вашем собственном конвейере — после того как вы их прочитали и до того как сохранили. Чтобы загружать их в вашу систему SIEM (security information and event management), начните с раздела Отправка событий Security posture в вашу SIEM.

Версия OCSF

В этом сопоставлении используется OCSF 1.6.0. Если вы выполняете проверку по другой версии, сверьте атрибуты на этой странице с этой версией. Например, в OCSF 1.7.0 metadata.uid — это идентификатор самого события OCSF, а metadata.original_event_uid содержит идентификатор из источника. В OCSF 1.9.0 actor.app_name объявлен устаревшим в пользу actor.application.

Атрибуты для каждой активности Security posture

Сопоставляйте эти поля в каждом событии.

Помещайте каждое поле, для которого нет атрибута OCSF, в объект unmapped под его именем из ленты активности, включая поля, которые ваш обработчик не распознаёт. Если поле отсутствует или равно null, не указывайте атрибут OCSF.

Сопоставьте объект actor:

Активности подтверждения: Entity Management

Сопоставляйте активность org_security_control_attestation_updated с классом OCSF Entity Management (3004). События Entity Management сообщают об операции над управляемой сущностью — в данном случае над подтверждением организации для меры безопасности.

Не сопоставляйте status с status_id или с каким-либо значением успеха или неуспеха: подтверждение — это заявление человека о мере безопасности, а не итог какой-либо проверки.

Для 99 (Other) задайте в activity_name значение action.

Активность attested сопоставляется с событием наподобие следующего (с примерными значениями):

{
  "class_uid": 3004,
  "category_uid": 3,
  "activity_id": 1,
  "type_uid": 300401,
  "severity_id": 1,
  "time": 1794495872517,
  "metadata": {
    "version": "1.6.0",
    "profiles": ["host"],
    "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
    "event_code": "org_security_control_attestation_updated",
    "original_time": "2026-11-12T15:04:32.517208Z",
    "logged_time": 1794495910000,
    "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
    "product": { "vendor_name": "Anthropic", "name": "Compliance API" }
  },
  "actor": {
    "user": {
      "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
      "email_addr": "admin@example.com"
    }
  },
  "src_endpoint": { "ip": "192.0.2.34" },
  "http_request": { "user_agent": "ExampleBrowser/1.0" },
  "entity": {
    "type_id": 99,
    "type": "Security control attestation",
    "uid": "mdm_chat_required_organization",
    "data": { "status": "completed" }
  },
  "unmapped": {
    "action": "attested",
    "actor": { "type": "user_actor" },
    "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
  }
}