6.3. Описание инцидента. Блок данных [INCIDENT]

Номер блока (поля) данных	Идентификатор блока (поля) данных	Содержание блока (поля) данных	Формат поля данных	Формат электронного сообщения	Обязательность информирования	Этапы информирования
2.1	"fincertId" (поле данных)	идентификатор инцидента, присвоенный Банком России	текстовое поле (textarea)	"incident": { "fincertId": "20180324215113", "fixationAt": "2002-10-02T15:00:00.05Z", "description": "описание инцидента", "lawEnforcementRequest": { "addressed": "субъект, обратившийся в правоохранительные органы", "request": "информация о факте обращения в полицию участника информационного обмена", "number": "123123", "numberTicket": "1234567890", "dateTimeAt": "2002-10-02T15:00:00.05Z" }, "assistance": "идентификатор необходимости оказания поддержки участнику информационного обмена со стороны Банка России", "vectorCode": "идентификатор вектора компьютерной атаки", "serviceType": [{ "sourceId": "f34030ef-358a-445c-8567-25985av6d91c", "type": "тип атакуемого объекта", "name": "наименование программного/аппаратного обеспечения", "version": "версия программного/аппаратного обеспечения", "description": "дополнительное описание типа атакуемого объекта" }], "registration": { "department": "структурное (организационное) подразделение участника информационного обмена, где инцидент был зарегистрирован (выявлен)", "technicalDevice": "техническое средство регистрации инцидента" }, "typeOfAttack": "код типа компьютерной атаки", "measuresAndRecomendations": [{ "sourceId": "f34030ef-358a-445c-8567-25985ce6d91c", "dateTimeAt": "2018-03-22T08:14:38Z", "action": "предпринятые действия по ликвидации инцидента", "text": "текст принятых мер или рекомендаций", "attachment": { "sourceId": "f34030ef-358a-445c-8567-25985ce6d91c", "comment": "описание вложения", "dateTimeAt": "2018-03-22T08:14:38Z", "file": { "name": "имя файла", "size": "размер файла в байтах", "base64": "вложение в формате base64" }, "fileLink": "http://domain.com/archive.rar" } }],	[O]	[2], [3]
2.2	"fixationAt" (поле данных)	дата и время регистрации инцидента участником информационного обмена	формат представления данных в соответствии со спецификацией RFC 3339 [11]		[O]	[1], [2], [3], [*]
2.3	"description" (поле данных)	описание инцидента	текстовое поле (textarea)		[O]	[1], [2], [3], [*]
2.4	"lawEnforcementRequest" (блок данных)	обращение участника информационного обмена в правоохранительные органы			[O]	[2], [3]
2.4.1	"addressed" (поле данных)	субъект, обратившийся в правоохранительные органы	Выбирается один код из ограниченного множества возможных значений: - [PIE] - участник информационного обмена; - [CIE] - клиент участника информационного обмена		[O]	[2], [3]
2.4.2	"request" (поле данных)	информация о факте обращения в правоохранительные органы участника информационного обмена	Выбирается один код из ограниченного множества возможных значений: - [POL] - направлено обращение в правоохранительные органы; - [NPL] - обращение в правоохранительные органы не направлено		[O]	[2], [3]
2.4.3	"number" (поле данных)	номер заявления из книги учета сообщений о преступлениях	числовое значение (int)		[O]	[2], [3]
2.4.4	"numberTicket" (поле данных)	номер талона-корешка о приеме и регистрации заявления	числовое значение (int)		[O]	[2], [3]
2.4.5	"dateTimeAt" (поле данных)	дата и время принятия заявления	формат представления данных в соответствии со спецификацией RFC 3339 [11]		[O]	[2], [3]
2.5	"assistance" (поле данных)	идентификатор необходимости оказания поддержки участнику информационного обмена со стороны Банка России	Выбирается один код из ограниченного множества возможных значений: - [HLP] - необходима поддержка от Банка России; - [NND] - поддержка от Банка России не требуется		[O]	[1], [2], [3], [*]
2.6	"vectorCode" (поле данных)	идентификатор вектора компьютерной атаки	Выбирается один код из ограниченного множества возможных значений: - вектор [INT] - направленный на инфраструктуру участника информационного обмена; - вектор [EXT] - направленный на клиента участника информационного обмена		[O]	[1], [2], [3], [*]
2.7	"serviceType" (блок данных)	идентификатор объекта информационной инфраструктуры	В случае необходимости указания нескольких значений полей данных (sourceId, type, name, version, description) указывается один или несколько объектов в блоке данных "serviceType"		[O]	[1], [2], [3], [*]
2.7.1	"sourceId" (поле данных)	идентификатор, присвоенный участником информационного обмена	128-битный идентификатор (GUID), сформированный в соответствии со спецификацией RFC 4122 [16], присвоенный участником информационного обмена		[O]	[1], [2], [3], [*]
2.7.2	"type" (поле данных)	тип атакуемого объекта	Выбирается один код из ограниченного множества возможных значений: 1) системные уровни: - [hw] - аппаратное обеспечение, - [net] - сетевое оборудование, - [net_s] - сетевые приложения и сервисы, - [hw_s] - серверные компоненты виртуализации, программные инфраструктурные сервисы, - [os] - операционные системы, системы управления базами данных, серверы приложений;		[O]	[1], [2], [3], [*]
2.7.2	"type" (поле данных)	тип атакуемого объекта	2) уровень АС и приложений, эксплуатируемых для предоставления услуг в рамках бизнес-процессов или технологических процессов участника информационного обмена: - [rbs] - система дистанционного банковского обслуживания, - [front-office] - система обработки транзакций, осуществляемых с использованием платежных карт, - [web] - информационные ресурсы сети Интернет, - [abs] - автоматизированная банковская система, - [back-office] - система посттранзакционного обслуживания операций, осуществляемых с использованием платежных карт; - [int-services] - внутренняя информационная инфраструктура, направленная на поддержание бизнес-процессов участника информационного обмена (почтовые серверы, файловые серверы); - [participant_w] - оконечное оборудование (АРМ), используемые работниками участника информационного обмена;		[O]	[1], [2], [3], [*]
			3) уровень АС и приложений, эксплуатируемых клиентом участника информационного обмена: - [cfs] - файловый сервер, - [crbs] - система дистанционного банковского обслуживания, - [ecs] - сервер электронной почты; - [client_w] - автоматизированные системы, используемые работниками клиента участника информационного обмена;
			4) иная система: - [oth] - иная система
2.7.3	"name" (поле данных)	наименование программного/аппаратного обеспечения	текстовое поле (textarea)		[O]	[1], [2], [3], [*]
2.7.4	"version" (поле данных)	версия программного/аппаратного обеспечения	текстовое поле (textarea)		[O]	[1], [2], [3], [*]
2.7.5	"description" (поле данных)	дополнительное описание типа атакуемого объекта	текстовое поле (textarea)		[O]	[1], [2], [3], [*]
2.8	"registration" (блок данных)	идентификатор локализации инцидента			[O]	[1], [2], [3], [*]
2.8.1	"department" (поле данных)	атакуемое структурное (организационное) подразделение участника информационного обмена, где инцидент был зарегистрирован (выявлен)	текстовое поле (textarea)		[O]	[1], [2], [3], [*]
2.8.2	"technicalDevice" (поле данных)	техническое средство регистрации инцидента	текстовое поле (textarea)		[O]	[1], [2], [3], [*]
2.9	"typeOfAttack" (поле данных)	идентификатор типа компьютерной атаки	Выбирается один код из ограниченного множества возможных значений: - [trafficHijackAttacks] - компьютерные атаки, связанные с изменением маршрутно-адресной информации; - [malware] - компьютерные атаки, связанные с использованием вредоносного программного обеспечения применительно к объектам информационной инфраструктуры участников информационного обмена и их клиентов; - [socialEngineering] - компьютерные атаки, возникшие в результате побуждения клиентов к осуществлению операций по переводу денежных средств путем обмана или злоупотребления доверием; - [ddosAttacks] - компьютерные атаки типа "отказ в обслуживании" (DDoS-атаки) применительно к информационной инфраструктуре участников информационного обмена; - [atmAttacks] - компьютерные атаки, связанные с реализацией несанкционированного доступа к банкоматам и платежным терминалам участников информационного обмена; - [vulnerabilities] - компьютерные атаки, связанные с эксплуатацией уязвимостей информационной инфраструктуры участников информационного обмена и их клиентов; - [bruteForces] - компьютерные атаки, связанные с подбором (взломом), компрометацией аутентификационных (учетных) данных; - [spams] - компьютерные атаки, связанные с реализацией спам-рассылки, осуществляемой в отношении участников информационного обмена и их клиентов; - [controlCenters] - компьютерные атаки, связанные с выявлением взаимодействия объектов информационной инфраструктуры участников информационного обмена с командными центрами Ботнет;		[O]	[1], [2], [3], [*]
			- [sim] - компьютерные атаки, связанные с изменением (подменой) идентификатора мобильного абонента (IMSI) номера сим-карты, а также с заменой идентификатора мобильного оборудования (IMEI); - [phishingAttacks] - компьютерные атаки, связанные с информацией, вводящей участников информационного обмена и их клиентов, а также иных лиц, взаимодействующих с ними, в заблуждение относительно принадлежности информации, распространяемой посредством сети Интернет, вследствие сходства доменных имен, оформления или содержания; - [prohibitedContents] - компьютерные атаки, связанные с распространением информации, касающейся предложения и (или) предоставления на территории Российской Федерации финансовых услуг лицами, не имеющими права их оказывать в соответствии с законодательством Российской Федерации. Размещение в сети Интернет запрещенного контента; - [maliciousResources] - компьютерные атаки, связанные с размещением в сети Интернет информации, позволяющей осуществить неправомерный доступ к информационным системам участников информационного обмена и их клиентов, используемым при предоставлении (получении) финансовых услуг, в том числе путем неправомерного доступа к конфиденциальной информации клиентов. Размещение в сети Интернет вредоносного ресурса; - [changeContent] - компьютерные атаки, связанные с изменением контента; - [scanPorts] - компьютерные атаки, связанные со сканированием программных портов объектов информационной инфраструктуры участников информационного обмена лицами, не обладающими соответствующими полномочиями; - [other] - иные компьютерные атаки, направленные на объекты информационной инфраструктуры участников информационного обмена и их клиентов
2.10	"measuresAndRecomendations" (блок данных)	предпринятые действия по ликвидации инцидента	В случае необходимости указания нескольких значений полей данных (sourceId, dateTimeAt, action, text) указывается один или несколько объектов в блоке данных "measuresAndRecomendations"		[N]	[1], [2], [3]
2.10.1	"sourceId" (поле данных)	идентификатор, присвоенный участником информационного обмена	128-битный идентификатор (GUID), сформированный в соответствии со спецификацией RFC 4122 [16], присвоенный участником информационного обмена		[N]	[1], [2], [3]
2.10.2	"dateTimeAt" (поле данных)	дата и время выполнения действий по ликвидации инцидента	формат представления данных в соответствии со спецификацией RFC 3339 [11]		[N]	[1], [2], [3]
2.10.3	"action" (поле данных)	предпринятые действия по ликвидации инцидента	Выбирается один код из ограниченного множества возможных значений: - [measures] - принятые меры; - [recommendations] - рекомендации		[N]	[1], [2], [3]
2.10.4	"text" (поле данных)	принятые меры или рекомендации	текстовое поле (textarea)		[N]	[1], [2], [3]
2.10.5	"attachment" (блок данных)	дополнительные данные о принятых мерах по ликвидации инцидента			[N]	[1], [2], [3]
2.10.5.1	"sourceId" (поле данных)	идентификатор, присвоенный участником информационного обмена	128-битный идентификатор (GUID), сформированный в соответствии со спецификацией RFC 4122 [16], присвоенный участником информационного обмена		[N]	[1], [2], [3]
2.10.5.2	"comment" (поле данных)	описание вложения	текстовое поле (textarea)		[N]	[1], [2], [3]
2.10.5.3	"dateTimeAt" (поле данных)	дата и время добавления файла	формат представления данных в соответствии со спецификацией RFC 3339 [11]		[N]	[1], [2], [3]
2.10.5.4	"file" (блок данных)	файл данных	Указывается наименование, размер файла (не более 5 Мб), выполняется кодировка в формате Base64		[N]	[1], [2], [3]
2.10.5.5	"fileLink" (поле данных)	ссылка для получения (скачивания) файла данных	Указывается URL-адрес для скачивания файла, в случае если его размер превышает 5 Мб, в соответствии со спецификацией RFC 3986 [15]		[N]	[1], [2], [3]

6.2. Идентификационные данные инцидента. Блок данных [HEADER] 6.4. Классификация инцидента. Блок данных [INCIDENT]