ГОСТ Р ИСО/МЭК 18045— 2008
12.10.3.2 Исходные данные
Свидетельствами оценки для данного подвида деятельности являются:
a) ЗБ:
b
)функциональная спецификация:
c) проект верхнего уровня;
d) руководство пользователя;
e) руководство администратора:
0 процедуры безопасной установки, генерации и запуска;
д) материалы анализа уязвимостей;
h) материалы анализа утверждений о стойкости функции;
i) 00 . пригодныйдля тестирования.
Дополнительным исходным материалом для данного подвида деятельности является текущая ин
формация касательно явных уязвимостей (например, от органа оценки).
12.10.3.3 Замечания по применению
Использование термина «руководства» вэтом подвидедеятельности относится к руководству пользо
вателя. руководству администратора и процедурам безопасной установки, генерации и запуска.
Рассмотрение пригодныхдля использования уязвимостей определяется целями безопасности и фун
кциональными требованиями в ЗБ. Например, если меры по предотвращению обхода функций безопасно
сти не требуются в ЗБ (FPT_PHP «Физическая защита ФБО», FPT_RVM «Посредничество при обращени
ях» и FPT_SEP «Разделениедомена» отсутствуют), то уязвимости, на которых базируется обход, рассмат
ривать не следует.
Уязвимости могут быть или не быть идентифицированы вобщедоступных источниках и могут требо
вать или не требовать навыкадля их использования. Эти два фактора являются связанными, но различны
ми. Не следует предполагать, что уязвимость может быть легко использована только потому, что она иден
тифицирована вобщедоступных источниках.
Следующие термины использованы вданном руководстве с конкретным значением;
a) уязвимость — слабость в ОО. которая может быть использована, чтобы нарушить политику безо
пасности в некоторой среде;
b
) анализ уязвимостей — систематический поиск уязвимостей в ОО и оценка найденных уязвимос
тей. чтобы сделать заключение об их значимостидля предопределенной среды ОО;
c) явная уязвимость — уязвимость, которая является открытой для использования, требующего ми
нимума понимания ОО. технических познаний и ресурсов;
d) потенциальная уязвимость — уязвимость, существование которой в ОО предположено (на основа
нии теоретически допускаемого маршрута нападения), но не подтверждено;
е) пригодная для использования уязвимость — уязвимость, которая может быть использована в пред
определенной среде ОО;
f)непригодная для использования уязвимость — уязвимость, которая не может быть использована в
предопределенной среде ОО;
д) остаточная уязвимость — непригодная для использования уязвимость, которая могла бы быть
использована нарушителем с более высоким потенциалом нападения, чем ожидается в предопределенной
среде ОО:
h)тестирование проникновения — тестирование, выполняемое с целью сделать заключение о пригод
ности киспользованию в предопределенной среде ОО идентифицированных потенциальных уязвимос
тей ОО.
12.10.3.4 Действие AVA_VLA.1.1E
12.10.3.4.1 Шаг оценивания 3:AVA_VLA.1-1
ИСО/МЭК 15408-3 AVA_VLA.1.1C:Документация анализа уязвимостей должна содержать описа
ние анализапоставляемыхматериалов ОО. выполненногодляпоискаявных способов, которыми пользо
ватель может нарушить ПВО.
ИСО/МЭК 15408-3 AVA_VLA.1.2С:Документация анализа уязвимостей должна содержать описа
ние решения в отношенииявных уязвимостей.
ИСО/МЭК 15408-3 AVA_VLA.1.ЗС: Документация анализа уязвимостей должна показать для всех
идентифицированныхуязвимостей, что ни одна изнихне может быть использована в предполагаемой
среде ОО.
135