--- title: 將 Security posture 事件對應至 OCSF url: https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/ocsf-mapping description: 在儲存 Compliance API 中的每個 Security posture 活動之前，先將其對應至該活動所屬的開放網路安全結構描述框架 (OCSF) 類別與屬性。 --- 若要啟用 Compliance API，請參閱[設定 Compliance API](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-api-access)。 [開放網路安全結構描述框架](https://schema.ocsf.io/) (OCSF) 是一種用於安全事件的開放結構描述。請在您自己的管線中，於讀取 [Security posture](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/overview) 活動之後、儲存之前，對其套用此對應。若要將這些活動匯入您的安全資訊與事件管理 (SIEM) 系統，請從[將 Security posture 事件傳送至您的 SIEM](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/send-events) 開始。 ## OCSF 版本 此對應使用 OCSF 1.6.0。若您依據其他版本進行驗證，請對照該版本檢查本頁所列的屬性。例如，在 OCSF 1.7.0 中，`metadata.uid` 是 OCSF 事件本身的識別碼，而 `metadata.original_event_uid` 則保存來源端的識別碼。OCSF 1.9.0 已棄用 `actor.app_name`，改用 `actor.application`。 ## 適用於每個 Security posture 活動的屬性 請在每個事件上對應下列欄位。 | 活動欄位 | OCSF 屬性 | 說明 | | ------------------- | ------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | `metadata.uid` | 原樣複製。 | | `type` | `metadata.event_code` | 原樣複製。 | | `created_at` | `time` | 將 RFC 3339 字串轉換為自 Unix epoch 起算的毫秒數，並截斷為整數。 | | `created_at` | `metadata.original_time` | 原樣複製該字串。 | | 無 | `metadata.logged_time` | 您儲存該活動的時間（即 [偵測變更](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule) 中的 `stored_at`），以自 Unix epoch 起算的毫秒數表示。 | | `organization_uuid` | `metadata.tenant_uid` | 原樣複製。 | | `organization_id` | `unmapped.organization_id` | 原樣複製。 | | 無 | `metadata.version` | 常數：`1.6.0`。 | | 無 | `metadata.product.vendor_name` | 常數：`Anthropic`。 | | 無 | `metadata.product.name` | 常數：`Compliance API`。 | | 無 | `type_uid` | `class_uid * 100 + activity_id`。 | | 無 | `severity_id` | 在每個事件上皆設為 `1`（Informational），並在觸發警示的[偵測規則](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/detect-changes)中設定該警示的優先順序。 | 將每個沒有對應 OCSF 屬性的欄位，以其在 Activity Feed 中的名稱放入 `unmapped` 物件，包括您的處理程式無法辨識的欄位。若某個欄位不存在或為 `null`，請省略對應的 OCSF 屬性。 對應 `actor` 物件： | 活動欄位 | OCSF 屬性 | 說明 | | --------------------- | ------------------------- | ----------------------------------------------- | | 無 | `metadata.profiles` | 加入 `host`，即承載 `actor` 的 OCSF profile（一組選用的屬性集）。 | | `actor.type` | `unmapped.actor.type` | 原樣複製。 | | `actor.user_id` | `actor.user.uid` | 僅限 `user_actor`。 | | `actor.email_address` | `actor.user.email_addr` | 僅限 `user_actor`。 | | `actor.ip_address` | `src_endpoint.ip` | 僅限 `user_actor`。 | | `actor.user_agent` | `http_request.user_agent` | 僅限 `user_actor`。 | | `actor.service` | `actor.app_name` | 僅限 `system_actor`。 | ## 聲明活動：Entity Management 將 [`org_security_control_attestation_updated`](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/events-reference#attestation-activity) 活動對應至 OCSF Entity Management 類別 (3004)。Entity Management 事件會回報對受管理實體所執行的操作，此處的實體為組織針對某項安全控制措施的聲明。 | 活動欄位 | OCSF 屬性 | 說明 | | ----------------- | -------------------------- | ----------------------------------------- | | 無 | `class_uid` | 常數：`3004`（Entity Management）。 | | 無 | `category_uid` | 常數：`3`（Identity & Access Management）。 | | `action` | `activity_id` | 依據下方的 `action` 值表格。 | | `action` | `unmapped.action` | 原樣複製，因為有兩個 `action` 值共用同一個 `activity_id`。 | | 無 | `entity.type_id` | 常數：`99`（Other）。 | | 無 | `entity.type` | 常數：`Security control attestation`。 | | `control` | `entity.uid` | 原樣複製。 | | `status` | `entity.data.status` | 原樣複製：聲明的值。 | | `review_date` | `entity.data.review_date` | 原樣複製：聲明的結束日期。 | | `previous_status` | `unmapped.previous_status` | 原樣複製：變更前的聲明值。 | 請勿將 `status` 對應至 `status_id`，也不要對應至任何表示通過或失敗的值：聲明是某人對控制措施所做的陳述，而非檢查的結果。 | `action` | `activity_id` | `type_uid` | | ---------- | ---------------- | ---------- | | `attested` | `1`（Create） | `300401` | | `changed` | `3`（Update） | `300403` | | `renewed` | `3`（Update） | `300403` | | `cleared` | `4`（Delete） | `300404` | | `lapsed` | `11`（Deactivate） | `300411` | | 任何其他值 | `99`（Other） | `300499` | 對於 `99`（Other），請將 `activity_name` 設為該 `action` 值。 `attested` 活動會對應為如下的事件（以範例值表示）： ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```