OCSF, l'Open Cybersecurity Schema Framework, è una struttura condivisa per rappresentare gli eventi di sicurezza provenienti da prodotti e fonti di dati diversi. Definisce campi comuni e categorie di eventi, così che, per esempio, gli strumenti possano interpretare in modo più coerente attività comparabili relative a identità, endpoint, cloud o rete.
La normalizzazione in OCSF può facilitare la ricerca e la correlazione della telemetria tra sistemi, la creazione di rilevamenti e l'analisi dei dati in un data lake di sicurezza, senza dover ricorrere a formati specifici dei singoli fornitori. In pratica, i team mappano i campi di ciascuna fonte sul framework e aggiornano queste mappature quando cambiano i prodotti e i formati degli eventi. Mappature incoerenti possono produrre risultati incompleti o fuorvianti, quindi la qualità dello schema e i controlli di accesso restano importanti.