ГОСТ Р ИСО/МЭК 18045— 2008
разработчик выполняет анализ уязвимостей, и временем завершения оценки. Моментом прекращения мо
ниторинга информации вобщедоступных источниках является выпуск органом оценки результатов оценки;
поэтому за указаниями следует обращаться коргану оценки.
13.10.3.4.2 Шаг оценивания 4:AVA_VLA.2-2
Оценщикдолжен исследовать материалы анализа уязвимостей, выполненного разработчиком, чтобы
сделать заключение, описана ли каждая идентифицированная уязвимость и дано ли обоснование того,
почему она является непригодной для использования в предопределенной среде ОО.
Уязвимость считают непригодной для использования, если выполнено одно или более условие из
следующих условий:
a) функции или меры безопасности в(ИТ или не-ИТ) среде предотвращают использование уязвимости
в предопределенной среде. Например, ограничивая физический доступ к ОО только уполномоченными
пользователями, можно фактически сделать уязвимость ОО к вмешательству непригодной для использо
вания;
b
) уязвимость является пригодной для использования, но только нарушителями, обладающими уме
ренным или высоким потенциалом нападения. Например, уязвимость распределенного ОО к нападениям,
связанным с перехватом сеанса, требует потенциала нападения выше, чем низкий. Такие уязвимости дол
жны быть приведены вТОО в качестве остаточных уязвимостей;
c) в ЗБ либо не утверждается о противостоянии соответствующей угрозе, либо не утверждается о
следовании политике безопасности организации, которая может быть нарушена. Например,для межсете
вого экрана, в ЗБ которого не заявлена политика доступности и который уязвим к TCP SYN-атакам (нападе ние
на общепринятый протокол Интернета, которое лишает хосты способности обслуживания запросов на
соединение), не следует делать отрицательного заключения по данному действию оценщика только на
основе одной этой уязвимости.
Руководство по определению потенциала нападения, необходимогодля использования уязвимости,
см. вА.8 «Стойкость функций безопасности и анализ уязвимостей» (приложениеА).
13.10.3.4.3 Шаг оценивания 4:AVA_VLA.2-3
Оценщикдолжен исследовать материалы анализа уязвимостей, выполненного разработчиком, чтобы
сделать заключение, согласуются ли они с ЗБ и руководствами.
Анализ уязвимостей разработчиком может быть направлен на некоторую уязвимость с предложением
конкретных конфигураций или настроек функций ОО. Если такие ограничения применения считают дей
ственными и согласованными с ЗБ, то предполагают, что все такие конфигурации/настройки адекватно
описаны в руководствах, чтобы их мог применить потребитель.
13.10.3.5 Действие AVA_VLA.2.2E
13.10.3.5.1 Шаг оценивания 4:AVA_VLA.2-4
Оценщикдолжен подготовить тесты проникновения, основываясь на материалах анализа уязвимос
тей. выполненного разработчиком.
Оценщик готовит к тестированию проникновения:
a) то. что необходимо, чтобы попытаться опровергнуть анализ разработчика в случаях, когда обосно
вание разработчиком непригодности уязвимости для использования является, по мнению оценщика, со
мнительным;
b
) то. что необходимо, чтобы сделать заключение о восприимчивости ОО, находящегося в своей
предопределенной среде, к уязвимости, не рассмотренной разработчиком. Оценщику необходимо иметь
доступ к текущей информации (например, от органа оценки)о явных уязвимостях из общедоступных источ
ников, которые могли быть не рассмотрены разработчиком: необходимо, чтобы оценщиктакже мог иденти
фицировать потенциальные уязвимости в результате выполнения другихдействий по оценке.
Не предполагается тестирования оценщиком на предмет наличия уязвимостей (в том числе извест
ных из общедоступных источников), помимо тех. для которых требуется низкий потенциал, чтобы осуще
ствить нападение. Однако в некоторых случаях необходимо будет выполнить тест прежде, чем требуемый
потенциал нападения может быть определен. Если в результате исследований в ходе оценки оценщик
обнаружит уязвимость, пригодную для использования только нарушителем с большим, чем низкий,
потен циалом нападения, то онадолжна быть приведена в ТОО как остаточная уязвимость.
Поняв предполагаемую уязвимость, оценщик определяет наиболее подходящий способ протестиро
вать восприимчивость ОО. В частности, оценщик рассматривает:
а)интерфейсы функций безопасности, которые будут использованы для инициирования выполнения
ФБО и наблюдения их реакции;
193