--- title: Сопоставление событий Security posture с OCSF url: https://platform.claude.com/docs/ru/manage-claude/compliance-security-posture/ocsf-mapping description: Сопоставьте каждую активность Security posture в Compliance API с её классом и атрибутами Open Cybersecurity Schema Framework (OCSF) перед её сохранением. --- Чтобы включить Compliance API (API для соблюдения нормативных требований), см. раздел [Настройка Compliance API](https://platform.claude.com/docs/ru/manage-claude/compliance-api-access). [Open Cybersecurity Schema Framework](https://schema.ocsf.io/) (OCSF) — это открытая схема для событий безопасности. Применяйте это сопоставление к активностям [Security posture](https://platform.claude.com/docs/ru/manage-claude/compliance-security-posture/overview) в вашем собственном конвейере — после того как вы их прочитали и до того как сохранили. Чтобы загружать их в вашу систему SIEM (security information and event management), начните с раздела [Отправка событий Security posture в вашу SIEM](https://platform.claude.com/docs/ru/manage-claude/compliance-security-posture/send-events). ## Версия OCSF В этом сопоставлении используется OCSF 1.6.0. Если вы выполняете проверку по другой версии, сверьте атрибуты на этой странице с этой версией. Например, в OCSF 1.7.0 `metadata.uid` — это идентификатор самого события OCSF, а `metadata.original_event_uid` содержит идентификатор из источника. В OCSF 1.9.0 `actor.app_name` объявлен устаревшим в пользу `actor.application`. ## Атрибуты для каждой активности Security posture Сопоставляйте эти поля в каждом событии. | Поле активности | Атрибут OCSF | Примечание | | ------------------- | ------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | `metadata.uid` | Скопируйте без изменений. | | `type` | `metadata.event_code` | Скопируйте без изменений. | | `created_at` | `time` | Преобразуйте строку RFC 3339 в миллисекунды с начала эпохи Unix и отбросьте дробную часть. | | `created_at` | `metadata.original_time` | Скопируйте строку без изменений. | | Нет | `metadata.logged_time` | Время, когда вы сохранили активность (`stored_at` на странице [Обнаружение изменений](https://platform.claude.com/docs/ru/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule)), в миллисекундах с начала эпохи Unix. | | `organization_uuid` | `metadata.tenant_uid` | Скопируйте без изменений. | | `organization_id` | `unmapped.organization_id` | Скопируйте без изменений. | | Нет | `metadata.version` | Константа: `1.6.0`. | | Нет | `metadata.product.vendor_name` | Константа: `Anthropic`. | | Нет | `metadata.product.name` | Константа: `Compliance API`. | | Нет | `type_uid` | `class_uid * 100 + activity_id`. | | Нет | `severity_id` | Задайте `1` (Informational) для каждого события, а приоритет оповещения задавайте в [правиле обнаружения](https://platform.claude.com/docs/ru/manage-claude/compliance-security-posture/detect-changes), которое его создаёт. | Помещайте каждое поле, для которого нет атрибута OCSF, в объект `unmapped` под его именем из ленты активности, включая поля, которые ваш обработчик не распознаёт. Если поле отсутствует или равно `null`, не указывайте атрибут OCSF. Сопоставьте объект `actor`: | Поле активности | Атрибут OCSF | Примечание | | --------------------- | ------------------------- | ------------------------------------------------------------------------------------------ | | Нет | `metadata.profiles` | Добавьте `host` — профиль OCSF (необязательный набор атрибутов), который содержит `actor`. | | `actor.type` | `unmapped.actor.type` | Скопируйте без изменений. | | `actor.user_id` | `actor.user.uid` | Только для `user_actor`. | | `actor.email_address` | `actor.user.email_addr` | Только для `user_actor`. | | `actor.ip_address` | `src_endpoint.ip` | Только для `user_actor`. | | `actor.user_agent` | `http_request.user_agent` | Только для `user_actor`. | | `actor.service` | `actor.app_name` | Только для `system_actor`. | ## Активности подтверждения: Entity Management Сопоставляйте активность [`org_security_control_attestation_updated`](https://platform.claude.com/docs/ru/manage-claude/compliance-security-posture/events-reference#attestation-activity) с классом OCSF Entity Management (3004). События Entity Management сообщают об операции над управляемой сущностью — в данном случае над подтверждением организации для меры безопасности. | Поле активности | Атрибут OCSF | Примечание | | ----------------- | -------------------------- | --------------------------------------------------------------------------------------------- | | Нет | `class_uid` | Константа: `3004` (Entity Management). | | Нет | `category_uid` | Константа: `3` (Identity & Access Management). | | `action` | `activity_id` | Из приведённой ниже таблицы значений `action`. | | `action` | `unmapped.action` | Скопируйте без изменений, поскольку двум значениям `action` соответствует один `activity_id`. | | Нет | `entity.type_id` | Константа: `99` (Other). | | Нет | `entity.type` | Константа: `Security control attestation`. | | `control` | `entity.uid` | Скопируйте без изменений. | | `status` | `entity.data.status` | Скопируйте без изменений: значение подтверждения. | | `review_date` | `entity.data.review_date` | Скопируйте без изменений: дата окончания подтверждения. | | `previous_status` | `unmapped.previous_status` | Скопируйте без изменений: значение подтверждения до изменения. | Не сопоставляйте `status` с `status_id` или с каким-либо значением успеха или неуспеха: подтверждение — это заявление человека о мере безопасности, а не итог какой-либо проверки. | `action` | `activity_id` | `type_uid` | | --------------------- | ----------------- | ---------- | | `attested` | `1` (Create) | `300401` | | `changed` | `3` (Update) | `300403` | | `renewed` | `3` (Update) | `300403` | | `cleared` | `4` (Delete) | `300404` | | `lapsed` | `11` (Deactivate) | `300411` | | Любое другое значение | `99` (Other) | `300499` | Для `99` (Other) задайте в `activity_name` значение `action`. Активность `attested` сопоставляется с событием наподобие следующего (с примерными значениями): ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```