Événements du flux d’activité
Utilisez cette page pour analyser le flux d’activité dans votre SIEM. Chaque événement d’agent que la console liste devient un événement OCSF 1.1.0 API Activity. Pour activer le flux, voir Envoyer des événements vers votre SIEM. Les événements diffusés sont ceux que chaque agent rapporte, ce qui dépend de l’agent : voir Niveaux de contrôle.
| Champ | Valeur |
|---|---|
| Classe | class_uid 6003, nom de classe API Activity |
| Activité | activity_id 99, avec le libellé de catégorie ci-dessous comme nom d’activité |
| Type | type_uid 600399 |
| Identifiant d’événement | metadata.uid, un identifiant par événement, le même à chaque renvoi. Dédupliquez sur lui |
| Profils | metadata.profiles contient le profil cloud ; l’objet cloud nomme OpenLatch comme fournisseur |
| Heure | Le moment où l’agent a rapporté l’événement, en millisecondes epoch |
| Sévérité | severity_id, d’après le tableau ci-dessous |
| Opération | api.operation : le nom de l’outil, ou le libellé de catégorie quand l’événement n’a pas d’outil |
| Identité | L’utilisateur et l’hôte au moment de l’action. Avec Hash personal data activé, ils partent sous forme de hachages à clé |
| Décision | olverdict, olverdictshadow, olmode, olpolicyid et olpolicyruleid sous unmapped.openlatch, uniquement sur les événements qui portent une décision OpenLatch |
| Agent | agent_id et platform sous unmapped.openlatch, d’après la fiche de l’agent. platform est la plateforme de l’agent, par exemple claude-code. agent_type porte la même valeur et est obsolète : lisez platform |
| Session | session_id sous unmapped.openlatch |
| Lien vers la console | console_url sous unmapped.openlatch : l’événement dans la console |
Les verdicts partent en majuscules : ALLOW, ASK, BLOCK, OPTIMIZE.
Libellés de catégorie
Section intitulée « Libellés de catégorie »| Types d’événement | Libellé de catégorie |
|---|---|
pre_tool_use | Tool Call |
post_tool_use, post_tool_use_failure, post_tool_batch | Tool Result |
user_prompt_submit | Prompt Submit |
session_start | Session Start |
session_end, session_shutdown, stop, interrupt | Session End |
subagent_start | Sub-Agent Start |
subagent_stop | Sub-Agent Stop |
permission_request | Permission Request : la demande de permission propre à l’agent, jamais un Ask d’OpenLatch |
notification, message_display | Notification |
ai.openlatch.economics.usage | Model Usage |
| Événements de configuration | Config Change |
| Événements du cycle de vie du client | Client Lifecycle |
ai.openlatch.security.tamper_detected | Tamper Detected |
ai.openlatch.security.tamper_healed | Tamper Healed |
ai.openlatch.decision.resolved | Decision Resolved |
Tout autre type que la console liste prend la dernière partie de son nom, chaque mot avec une majuscule.
Sévérité
Section intitulée « Sévérité »| Événement | severity_id |
|---|---|
| Block en Enforce | 4 |
| Ask en Enforce | 3 |
| Monitor, Block qui aurait été rendu | 3 |
| Optimize en Enforce ; Monitor, Ask ou Optimize qui aurait été rendu | 2 |
| Allow, et tout événement qui ne porte aucune décision | 1 |
Avec Send prompt text and tool input activé, chaque événement porte content sous unmapped.openlatch :
| Champ | Valeur |
|---|---|
| Texte du prompt | Nettoyé des secrets et des adresses e-mail, limité à 2 Ko, avec un indicateur quand il a été coupé et un indicateur quand il a été retenu parce qu’un secret subsistait |
| Entrée de l’outil | Les arguments de l’outil, avec les clés sensibles remplacées par [REDACTED] et les contenus de fichiers et textes de remplacement retirés, puis nettoyés et limités de la même façon |
Avec le contenu désactivé, un événement de prompt ne porte que prompt_length, jamais son texte. Les réponses d’outils, les contenus de fichiers et les sorties de commandes ne quittent jamais OpenLatch. Chaque événement reste sous 8 Ko ; le contenu est réduit en premier.