6.7.2. Техническая информация, описывающая сигнатуру компьютерных атак [signatures]

Номер блока (поля) данных

Идентификатор блока (поля) данных

Содержание блока (поля) данных

Формат поля данных

Формат электронного сообщения

Обязательность информирования

Этапы информирования

2.1

"signatures"

(блок данных)

сигнатура

В случае необходимости указания нескольких значений полей данных (identifier, name, source, eventsAmount) указывается один или несколько объектов в блоке данных "signatures"

"signatures": [{

"identifier": "идентификатор сигнатуры",

"name": "средство обнаружения",

"source": "источник получения сигнатуры",

"eventsAmount": "количество срабатываний сигнатуры"

}],

"snort": ["rule1","rule2"],

"attachment": {

"sourceId": "f34030ef-358a-445c-8567-25985ce6d91c",

"comment": "описание вложения",

"dateTimeAt": "2018-03-22T08:14:38Z",

"file": {

"name": "имя файла",

"size": "размер файла в байтах",

"base64": "вложение в формате base64"

},

"fileLink": "http://domain.com/archive.rar"

}

}

}

}

[N]

[3]

2.2

"identifier"

(поле данных)

уникальный идентификатор сигнатуры

последовательность символов, полученных в результате вычисления хэш-функции MD5

[N]

[3]

2.3

"name"

(поле данных)

средство обнаружения

текстовое поле (textarea)

[N]

[3]

2.4

"source"

(поле данных)

источник получения сигнатуры

текстовое поле (textarea)

[N]

[3]

2.5

"eventsAmount"

(поле данных)

количество срабатываний сигнатуры

текстовое поле (textarea)

[N]

[3]

2.6

"snort"

(поле данных)

Snort-правила

формат представления в виде: <Действие> <Протокол> <IP-адреса отправителей> <Порты отправителей> <Оператор направления> <IP-адреса получателей> <Порты получателей> (ключ_1: значение_1; ключ_2: значение_2; ... ключ_N: значение_N;)

[N]

[3]

2.7

"attachment"

(блок данных)

дополнительные данные по результатам завершения реализации инцидента

[N]

[3]

2.7.1

"sourceId"

(поле данных)

идентификатор, присвоенный участником информационного обмена

128-битный идентификатор (GUID), сформированный в соответствии со спецификацией RFC 4122 [16], присвоенный участником информационного обмена

[N]

[3]

2.7.2

"comment"

(поле данных)

описание вложения

текстовое поле (textarea)

[N]

[3]

2.7.3

"dateTimeAt"

(поле данных)

дата и время добавления файла

формат представления данных в соответствии со спецификацией RFC 3339 [11]

[N]

[3]

2.7.4

"file"

(блок данных)

файл данных, содержащий дополнительные материалы

Указывается наименование, размер файла (не более 5 Мб), выполняется кодировка в формате Base64

[N]

[3]

2.7.5

"fileLink"

(поле данных)

ссылка для получения (скачивания) файла данных, содержащего дополнительные материалы

Указывается URL-адрес для скачивания файла, в случае, если его размер превышает 5 Мб, в соответствии со спецификацией RFC 3986 [15]

[N]

[3]