將 Security posture 事件對應至 OCSF
在儲存 Compliance API 中的每個 Security posture 活動之前，先將其對應至該活動所屬的開放網路安全結構描述框架 (OCSF) 類別與屬性。
開放網路安全結構描述框架 (OCSF) 是一種用於安全事件的開放結構描述。請在您自己的管線中，於讀取 Security posture 活動之後、儲存之前，對其套用此對應。若要將這些活動匯入您的安全資訊與事件管理 (SIEM) 系統，請從將 Security posture 事件傳送至您的 SIEM 開始。
OCSF 版本
此對應使用 OCSF 1.6.0。若您依據其他版本進行驗證，請對照該版本檢查本頁所列的屬性。例如，在 OCSF 1.7.0 中，metadata.uid 是 OCSF 事件本身的識別碼，而 metadata.original_event_uid 則保存來源端的識別碼。OCSF 1.9.0 已棄用 actor.app_name，改用 actor.application。
適用於每個 Security posture 活動的屬性
請在每個事件上對應下列欄位。
| 活動欄位 | OCSF 屬性 | 說明 |
|---|---|---|
id | metadata.uid | 原樣複製。 |
type | metadata.event_code | 原樣複製。 |
created_at | time | 將 RFC 3339 字串轉換為自 Unix epoch 起算的毫秒數，並截斷為整數。 |
created_at | metadata.original_time | 原樣複製該字串。 |
| 無 | metadata.logged_time | 您儲存該活動的時間（即 偵測變更 中的 stored_at），以自 Unix epoch 起算的毫秒數表示。 |
organization_uuid | metadata.tenant_uid | 原樣複製。 |
organization_id | unmapped.organization_id | 原樣複製。 |
| 無 | metadata.version | 常數：1.6.0。 |
| 無 | metadata.product.vendor_name | 常數：Anthropic。 |
| 無 | metadata.product.name | 常數：Compliance API。 |
| 無 | type_uid | class_uid * 100 + activity_id。 |
| 無 | severity_id | 在每個事件上皆設為 1（Informational），並在觸發警示的偵測規則中設定該警示的優先順序。 |
將每個沒有對應 OCSF 屬性的欄位，以其在 Activity Feed 中的名稱放入 unmapped 物件，包括您的處理程式無法辨識的欄位。若某個欄位不存在或為 null，請省略對應的 OCSF 屬性。
對應 actor 物件：
| 活動欄位 | OCSF 屬性 | 說明 |
|---|---|---|
| 無 | metadata.profiles | 加入 host，即承載 actor 的 OCSF profile（一組選用的屬性集）。 |
actor.type | unmapped.actor.type | 原樣複製。 |
actor.user_id | actor.user.uid | 僅限 user_actor。 |
actor.email_address | actor.user.email_addr | 僅限 user_actor。 |
actor.ip_address | src_endpoint.ip | 僅限 user_actor。 |
actor.user_agent | http_request.user_agent | 僅限 user_actor。 |
actor.service | actor.app_name | 僅限 system_actor。 |
聲明活動：Entity Management
將 org_security_control_attestation_updated 活動對應至 OCSF Entity Management 類別 (3004)。Entity Management 事件會回報對受管理實體所執行的操作，此處的實體為組織針對某項安全控制措施的聲明。
| 活動欄位 | OCSF 屬性 | 說明 |
|---|---|---|
| 無 | class_uid | 常數：3004（Entity Management）。 |
| 無 | category_uid | 常數：3（Identity & Access Management）。 |
action | activity_id | 依據下方的 action 值表格。 |
action | unmapped.action | 原樣複製，因為有兩個 action 值共用同一個 activity_id。 |
| 無 | entity.type_id | 常數：99（Other）。 |
| 無 | entity.type | 常數：Security control attestation。 |
control | entity.uid | 原樣複製。 |
status | entity.data.status | 原樣複製：聲明的值。 |
review_date | entity.data.review_date | 原樣複製：聲明的結束日期。 |
previous_status | unmapped.previous_status | 原樣複製：變更前的聲明值。 |
請勿將 status 對應至 status_id，也不要對應至任何表示通過或失敗的值：聲明是某人對控制措施所做的陳述，而非檢查的結果。
action | activity_id | type_uid |
|---|---|---|
attested | 1（Create） | 300401 |
changed | 3（Update） | 300403 |
renewed | 3（Update） | 300403 |
cleared | 4（Delete） | 300404 |
lapsed | 11（Deactivate） | 300411 |
| 任何其他值 | 99（Other） | 300499 |
對於 99（Other），請將 activity_name 設為該 action 值。
attested 活動會對應為如下的事件（以範例值表示）：
{
"class_uid": 3004,
"category_uid": 3,
"activity_id": 1,
"type_uid": 300401,
"severity_id": 1,
"time": 1794495872517,
"metadata": {
"version": "1.6.0",
"profiles": ["host"],
"uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z",
"event_code": "org_security_control_attestation_updated",
"original_time": "2026-11-12T15:04:32.517208Z",
"logged_time": 1794495910000,
"tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
"product": { "vendor_name": "Anthropic", "name": "Compliance API" }
},
"actor": {
"user": {
"uid": "user_01TuVwXyZaBcDeFgH2JkLmN4",
"email_addr": "admin@example.com"
}
},
"src_endpoint": { "ip": "192.0.2.34" },
"http_request": { "user_agent": "ExampleBrowser/1.0" },
"entity": {
"type_id": 99,
"type": "Security control attestation",
"uid": "mdm_chat_required_organization",
"data": { "status": "completed" }
},
"unmapped": {
"action": "attested",
"actor": { "type": "user_actor" },
"organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2"
}
}這個頁面有幫助嗎？