НКЦКИ: Отправка уведомлений
Оглавление
- Общее описание
- Последовательность отправки
- Отправка дополнений
- Обязательные поля
- Форматы значений
- Ошибки отправки
Общее описание
Уведомление в ЛК формируется из полей карточки инцидента с типом НКЦКИ и отправляется активным действием Отправить инцидент в НКЦКИ. Перед отправкой действие проверяет обязательные поля и форматы значений. Если проверка не пройдена, уведомление не отправляется, а инцидент переходит в статус Ошибка отправки. После успешной отправки в карточку записываются идентификаторы уведомления в ЛК, а инцидент переходит в статус Сведения отправлены в НКЦКИ.
Виды уведомлений и статусы рабочего процесса НКЦКИ описаны в статье Интеграция с НКЦКИ. Установка и настройка интеграции описаны в статье НКЦКИ: Установка и настройка.
Последовательность отправки
Шаг 1. Подготовка инцидента
Откройте инцидент в Incident Manager. У него должны быть тип и рабочий процесс НКЦКИ. Задачи, настроенные по статье НКЦКИ: Установка и настройка, создают инциденты с этими параметрами. Инцидент также можно создать вручную, выбрав тип и рабочий процесс НКЦКИ.
Выполните переход Взять в работу.
Шаг 2. Заполнение карточки
Поля уведомления расположены в карточке инцидента в разделе Детали инцидента. Часть полей заполнена значениями по умолчанию, заданными при установке, и данными задачи, создавшей инцидент. Проверьте эти значения и заполните остальные поля. Перечень обязательных полей для каждого вида уведомления приведен в разделе Обязательные поля, форматы значений — в разделе Форматы значений.
1. Сведения о событии
Категория уведомления- КИ, КА или внутреннее мероприятие. По умолчанию -Уведомление о компьютерном инцидентеТип КИ/КА- тип из списка. Список содержит типы КИ и типы КА, выберите тип, соответствующий категории уведомленияКраткое описание события ИБСведения о средстве или способе выявления инцидентаДата и время выявления инцидента- по умолчанию время события, по которому создан инцидентДата и время завершения инцидентаСтатус реагирования- только для КИ. По умолчанию -Проводятся мероприятия по реагированиюПривлечение сил ФСБ- по умолчаниюНетОграничительный маркер TLP- по умолчаниюTLP:AMBERВлияние на доступность,Влияние на целостность,Влияние на конфиденциальность,Краткое описание иной формы последствий компьютерного инцидента- только для КИ
2. Сведения об организации
Значения по умолчанию задаются при установке. Проверьте их и при необходимости измените:
Организация MSSP- обязательно при отправке через MSSP и для внутреннего мероприятияСокращенное наименование организации владельца информационного ресурсаПолное наименование организации владельца информационного ресурсаИНН,КПП,ОГРНПривлеченные силы реагирования- наименование организации по перечню на сайте ГосСОПКА либо указание, что привлечение сторонних организаций не требуется
3. Сведения о контролируемом ресурсе
Наименование контролируемого ресурсаИнформация о категорировании- категория объекта КИИСфера функционирования субъектаНаличие подключения к сети Интернет-ДаилиНет. Значение по умолчанию не заданоМесто расположения- код региона по ISO 3166-2Населенный пункт или геокоординаты
4. Технические сведения
Заполняются, если в поле Наличие подключения к сети Интернет выбрано Да. Требуется хотя бы одно значение. Значения вводятся по одному в строке.
Сведения об атакованном активе:
Атакованный актив. IPv4,Атакованный актив. IPv6Атакованный актив. Доменное имя,Атакованный актив. URI-адресEmail-адрес атакованного ресурсаАтакованный актив. Имя сетевой службы и порт/протокол- в формате<имя>|<порт>/<протокол>, напримерhttps|443/TCPАтакованный актив. AS-Path
Сведения об источнике атаки:
Источник атаки. Функция- функция, которая подставляется в строки индикаторов без явно указанной функцииИсточник атаки. IPv4,Источник атаки. IPv6,Источник атаки. Доменное имя,Источник атаки. URI-адрес- в формате<функция>|<значение>или<значение>, если функция выбрана в полеИсточник атаки. ФункцияИсточник атаки. Email-адрес- адрес без функцииХеш-сумма вредоносного модуля- MD5, SHA-1, SHA-256 или SHA-512 в шестнадцатеричном видеОписание используемых уязвимостейИсточник атаки. ASN,Источник атаки. AS,Источник атаки. LIR
Допустимые функции источника атаки: Центр управления ВПО, Элемент инфраструктуры ВПО, Источник распространения ВПО, Тип не определен. Пример значения поля Источник атаки. IPv4:
Центр управления ВПО|203.0.113.10
Тип не определен|198.51.100.25
5. Утечка персональных данных
Заполняется только для КИ. Установите в поле Утечка персональных данных значение Да и заполните поля:
Адрес оператора персональных данныхEmail для информации об уведомлении об утечке ПДнПредполагаемые причины нарушения прав субъектов ПДнХарактеристики персональных данныхПредполагаемый вред субъектам ПДнПринятые меры по устранению последствий утечки,Дополнительные сведения об утечке ПДн,Результаты внутреннего расследования- необязательные поля
Если в поле Утечка персональных данных выбрано Нет, поля этого раздела должны быть пустыми.
6. Внутреннее мероприятие
Заполняется для категории Уведомление о внутреннем мероприятии:
Исполнитель внутреннего мероприятия- наименование центра ГосСОПКА, ответственного за мероприятиеКраткое описание внутреннего мероприятияДата и время начала мероприятияДата и время завершения мероприятия- необязательное полеРесурс исполнителя. IPv4,Ресурс исполнителя. IPv6,Ресурс исполнителя. Домен,Ресурс исполнителя. Email- необязательные поля
Сохраните изменения карточки.
Шаг 3. Отправка уведомления
Выполните переход Отправить сведения в НКЦКИ, как описано в статье Редактирование инцидентов. Переход запускает активное действие Отправить инцидент в НКЦКИ.
Действие также можно запустить вручную из меню активных действий инцидента, как описано в статье Активные действия.
Действие выполняется для одного инцидента. Если проверка полей не пройдена, текст ошибки отображается в уведомлении о выполнении действия, а инцидент переходит в статус Ошибка отправки. Исправьте поля и выполните переход Повторить отправку в НКЦКИ.
Шаг 4. Проверка результата
1. Проверка карточки инцидента
После успешной отправки:
- инцидент находится в статусе
Сведения отправлены в НКЦКИ - заполнены поля
UUID уведомления в ЛК НКЦКИ,Идентификатор уведомления в ЛК НКЦКИиРегистрационный номер уведомления в ЛК НКЦКИ - в истории инцидента есть запись о выполнении активного действия
Поля с идентификаторами заполняет только действие, они недоступны для редактирования.
2. Проверка уведомления в ЛК
Найдите в ЛК уведомление по идентификатору или регистрационному номеру из карточки и проверьте переданные сведения.
Отправка дополнений
Дополнение передает в ЛК изменения сведений по уже зарегистрированному уведомлению о КИ или КА. Для отправки дополнения:
-
Измените в карточке поля, которые передаются в дополнении:
Поле Дополнение к КИ Дополнение к КА Дата и время завершения инцидентаПередается Передается Сведения о средстве или способе выявления инцидентаПередается Передается Краткое описание события ИБПередается Передается Населенный пункт или геокоординатыПередается Передается Статус реагированияПередается Не передается Влияние на доступность,Влияние на целостность,Влияние на конфиденциальностьПередается Не передается Краткое описание иной формы последствий компьютерного инцидентаПередается Не передается Статус уведомления в ЛК для дополненияПередается, если заполнено Передается автоматически -
Сохраните изменения карточки
-
Выполните переход
Отправить дополнения в НКЦКИ
Дополнение отправляется к уведомлению с UUID уведомления в ЛК НКЦКИ из карточки. Изменения других полей в дополнении не передаются.
Повторная отправка дополнения без изменения передаваемых полей блокируется. Уведомление о внутреннем мероприятии после регистрации не дополняется.
Обязательные поля
Поля, обязательные для отправки, в зависимости от вида уведомления:
| Поле | КИ | КИ с утечкой ПДн | КА | Внутреннее мероприятие |
|---|---|---|---|---|
Категория уведомления | Да | Да | Да | Да |
Тип КИ/КА | Да | Да | Да | Нет |
Организация MSSP | Режим MSSP | Режим MSSP | Режим MSSP | Да |
Сокращенное наименование организации владельца информационного ресурса | Да | Да | Да | Да |
Полное наименование организации владельца информационного ресурса | Да | Да | Да | Да |
ИНН, КПП, ОГРН | Да | Да | Да | Да |
Привлеченные силы реагирования | Да | Да | Да | Нет |
Привлечение сил ФСБ | Да | Да | Да | Нет |
Краткое описание события ИБ | Да | Да | Да | Нет |
Ограничительный маркер TLP | Да | Да | Да | Нет |
Дата и время выявления инцидента | Да | Да | Да | Нет |
Статус реагирования | Да | Да | Нет | Нет |
Наименование контролируемого ресурса | Да | Да | Да | Нет |
Информация о категорировании | Да | Да | Да | Нет |
Сфера функционирования субъекта | Да | Да | Да | Нет |
Наличие подключения к сети Интернет | Да | Да | Да | Нет |
Место расположения | Да | Да | Да | Нет |
| Технические сведения | При подключении к сети Интернет | При подключении к сети Интернет | При подключении к сети Интернет | Нет |
Утечка персональных данных и обязательные поля раздела Утечка персональных данных | Нет | Да | Нет | Нет |
Исполнитель внутреннего мероприятия | Нет | Нет | Нет | Да |
Краткое описание внутреннего мероприятия | Нет | Нет | Нет | Да |
Дата и время начала мероприятия | Нет | Нет | Нет | Да |
«Да» — поле обязательно, «Нет» — поле не обязательно или не передается в уведомлении этого вида, «Режим MSSP» — поле обязательно, если отправка настроена с указанием организации MSSP.
Форматы значений
| Значение | Формат |
|---|---|
ИНН | 10 или 12 цифр без пробелов |
КПП | 9 цифр без пробелов |
ОГРН | 13 или 15 цифр без пробелов |
Место расположения | Код региона по ISO 3166-2, например RU-KYA или RU-SAM. Существование кода проверяет ЛК |
| Дата и время | ГГГГ-ММ-ДДTчч:мм:сс с часовым поясом, например 2026-10-21T09:30:00Z или 2026-10-21T12:30:00+03:00. Время без часового пояса считается временем UTC |
Дата и время выявления инцидента, Дата и время завершения инцидента | Не позже текущего момента. Дата завершения не раньше даты выявления |
Дата и время завершения мероприятия | Не раньше даты начала мероприятия |
| IPv4, IPv6 | Адрес соответствующей версии протокола |
| Доменное имя | Полное доменное имя, например example.ru |
| URI-адрес | URI со схемой, например https://example.ru/path |
| Email-адрес | <имя>@<домен> |
| Сетевая служба | <имя>|<порт>/<протокол>, порт от 1 до 65535 |
| Текстовые поля | Не более 5000 символов. В полях со списком значений суммарная длина значений не более 5000 символов |
| Индикаторы источника атаки в уведомлении о КА | Не более 30 значений суммарно |
Ошибки отправки
При ошибке инцидент переходит в статус Ошибка отправки, текст ошибки отображается в уведомлении о выполнении действия и на дашборде Инциденты НКЦКИ. В текстах ошибок «Название поля» заменяется названием поля карточки.
| Ошибка | Причина и действия |
|---|---|
| «Название поля»: поле не заполнено. | Обязательное поле пустое. Заполните поле и повторите отправку |
| «Название поля»: недопустимое значение «...». | Значение не входит в допустимый список для выбранной категории, например тип КА выбран для уведомления о КИ. Выберите значение заново |
| «Название поля»: требуется 10 или 12 цифр, без пробелов. | Неверный формат ИНН, КПП или ОГРН |
| «Название поля»: некорректная дата или дата выявления/завершения находится в будущем. | Неверный формат даты или дата позже текущего момента. См. Форматы значений |
| «Название поля», строка N: неверный формат значения или функции источника. | Строка N поля со списком значений имеет неверный формат или для индикатора не указана функция источника атаки |
| Технические сведения заполнены, но подключение к Интернету не установлено в Да. | Установите в поле Наличие подключения к сети Интернет значение Да или очистите технические сведения |
| Подключение к Интернету установлено в Да: заполните технические сведения о ресурсе или источнике атаки. | Заполните хотя бы одно поле раздела Технические сведения |
| Заполнены сведения об утечке ПДн: установите признак утечки в Да или очистите эти поля. | Поля раздела Утечка персональных данных заполнены при значении Нет |
| Сведения об утечке персональных данных поддерживаются только для КИ. | Признак утечки установлен для КА. Измените категорию или признак |
Регион: требуется код ISO-3166-2 вида RU-KYA... | Укажите код региона, например RU-KYA |
| Технические сведения об источниках атаки: допускается не более 30 индикаторов суммарно... | Сократите количество индикаторов в уведомлении о КА |
| Повторная отправка запрещена: данные дополнения не изменялись после последней успешной отправки в НКЦКИ. | Поля дополнения не изменены. Измените сведения или не отправляйте дополнение |
| Внутреннее мероприятие уже зарегистрировано... | Дополнения к внутреннему мероприятию не поддерживаются |
| Массовая отправка отключена. Выберите один incident. | Действие запущено для нескольких инцидентов. Запустите его для одного инцидента |
| Действие применимо только к incident. | Действие запущено для агрегации. Запустите его из карточки инцидента |
| НКЦКИ вернул HTTP «код»: ... | ЛК отклонил уведомление. Проверьте текст ответа ЛК и сведения карточки |
| Ошибка соединения с API НКЦКИ: ... | Нет соединения с ЛК. Обратитесь к администратору: проверьте сетевой доступ и параметры подключения по статье НКЦКИ: Установка и настройка |
| НКЦКИ вернул некорректный успешный ответ. | ЛК ответил успешно, но ответ не содержит идентификаторов уведомления. Результат отправки неизвестен: проверьте в ЛК, зарегистрировано ли уведомление, и не отправляйте его повторно до проверки |
Отправка уже выполнялась или её результат требует ручной сверки (audit-lock существует). | Для инцидента уже выполнялась первичная отправка. См. ниже |
Перед первичной отправкой действие создает в индексе sm-nkcki-exchange блокировку повторной отправки для инцидента. Блокировка сохраняется и после ошибки ЛК или соединения, поэтому повторная первичная отправка того же инцидента завершается ошибкой о существующем audit-lock. Это защищает от регистрации дубликата уведомления.
Проверьте в ЛК, зарегистрировано ли уведомление. Если уведомления в ЛК нет, обратитесь к администратору Smart Monitor для снятия блокировки инцидента в индексе sm-nkcki-exchange.