Перейти к основному содержимому
Версия: 6.2

Интеграция с НКЦКИ

Оглавление​

Общее описание​

Национальный координационный центр по компьютерным инцидентам (далее — НКЦКИ) принимает сведения о компьютерных инцидентах и компьютерных атаках через личный кабинет ГосСОПКА (далее — ЛК).

Интеграция позволяет отправлять эти сведения в ЛК непосредственно из Incident Manager. Оператор заполняет поля уведомления в карточке инцидента и запускает отправку переходом рабочего процесса. После отправки в карточку записываются идентификаторы уведомления, присвоенные ЛК.

Сведения об организации, которые повторяются во всех уведомлениях (наименование, ИНН, КПП, ОГРН, принадлежность объекта к критической информационной инфраструктуре (далее — КИИ), сфера функционирования и регион), задаются один раз при установке и подставляются в каждую новую карточку.

Как работает интеграция​

  1. Задача планировщика создает инцидент с типом и рабочим процессом НКЦКИ. Часть полей уведомления заполняется значениями по умолчанию и данными события
  2. Оператор берет инцидент в работу и заполняет недостающие сведения в карточке
  3. Переход Отправить сведения в НКЦКИ запускает активное действие Отправить инцидент в НКЦКИ
  4. Действие определяет вид уведомления по полям карточки, проверяет обязательные поля и форматы значений и отправляет уведомление в ЛК
  5. Ответ ЛК записывается в карточку, инцидент переходит в статус Сведения отправлены в НКЦКИ. При ошибке инцидент переходит в статус Ошибка отправки
  6. Каждая попытка отправки записывается в журнал отправок в индексе sm-nkcki-exchange, а дашборд Инциденты НКЦКИ показывает статусы инцидентов и ошибки отправки

Изменения сведений по зарегистрированному уведомлению передаются в ЛК дополнениями из той же карточки.

Виды уведомлений​

Вид уведомления определяется полями карточки автоматически:

УсловиеВид уведомления
Категория уведомления — Уведомление о компьютерном инциденте, Утечка персональных данных — НетУведомление о компьютерном инциденте (далее — КИ)
Категория уведомления — Уведомление о компьютерном инциденте, Утечка персональных данных — ДаУведомление о КИ со сведениями об утечке персональных данных
Категория уведомления — Уведомление о компьютерной атакеУведомление о компьютерной атаке (далее — КА)
Категория уведомления — Уведомление о внутреннем мероприятииУведомление о внутреннем мероприятии
В карточке есть UUID уведомления в ЛК НКЦКИДополнение к уведомлению о КИ или КА

Для уведомлений о КИ и КА поле Наличие подключения к сети Интернет определяет, передаются ли технические сведения об атакованном активе и источнике атаки: при значении Да они обязательны, при значении Нет не допускаются.

Рабочий процесс НКЦКИ​

СтатусПереходРезультат перехода
Новый инцидентВзять в работуСтатус В работе
В работеОтправить сведения в НКЦКИОтправка уведомления. Статус Сведения отправлены в НКЦКИ или Ошибка отправки
Сведения отправлены в НКЦКИОтправить дополнения в НКЦКИОтправка дополнения к зарегистрированному уведомлению
Сведения отправлены в НКЦКИЗакрыть инцидентСтатус Инцидент закрыт
Ошибка отправкиПовторить отправку в НКЦКИПовторная отправка уведомления
Ошибка отправкиВернуть в работуСтатус В работе

Рабочий процесс НКЦКИ

Подробнее о рабочих процессах см. в статье Рабочий процесс.

Состав поставки​

КомпонентНазначение
Утилита установкиСоздает в Smart Monitor поля инцидента, тип инцидента НКЦКИ, активное действие Отправить инцидент в НКЦКИ, рабочий процесс НКЦКИ и дашборд Инциденты НКЦКИ
Скрипт активного действияПроверяет поля карточки, отправляет уведомление в ЛК и записывает результат в карточку
Пример параметров подключенияШаблон параметров подключения к ЛК и к Smart Monitor

Порядок установки описан в статье НКЦКИ: Установка и настройка.

Ограничения​

  • за один запуск отправляется один инцидент, массовая отправка отключена
  • сведения об утечке персональных данных передаются только в уведомлении о КИ
  • дополнения передаются только к уведомлениям о КИ и КА. Внутреннее мероприятие после регистрации не дополняется
  • в уведомлении о КА с подключением к сети Интернет допускается не более 30 индикаторов источника атаки суммарно, передача файла индикаторов не поддерживается
  • действие не получает из ЛК изменения статуса уведомления: в карточке сохраняется только ответ ЛК на отправку
  • утилита установки не изменяет задачи планировщика: привязка к задачам выполняется вручную

Статьи раздела​