ГОСТ Р ИСО/МЭК18045— 2008
b
) начальные условия, которые будут необходимы для выполнения теста (т.е. какие-либо конкретные
объекты или субъекты, которые будут необходимы, и атрибуты безопасности, которые им необходимо бу
дет иметь);
c) специальное оборудованиедля тестирования, которое потребуется либодля инициирования функ
ции безопасности, либодля наблюдения за функцией безопасности.
Оценщик, вероятно, посчитает целесообразным выполнить тестирование проникновения, используя
ряд наборов тестов, где каждый набор тестов будет использован для тестирования конкретной уязвимости.
13.10.3.5.2 Шаг оценивания 4:AVA_VLA.2-5
Оценщик должен разработать тестовую документацию для тестов проникновения, основанных на
материалах анализа уязвимостей, выполненного разработчиком, детализация которой достаточна, чтобы
обеспечить воспроизводимость тестов. Тестовая документация должна включать в себя:
a) идентификацию тестируемой уязвимости ОО:
b
) инструкции по подключению и настройке всего необходимого тестового оборудования, как требует
сядля проведения конкретного теста проникновения;
c) инструкции по установке всех предварительных начальных условий выполнения теста проникно
вения;
d) инструкции по инициированию ФБО;
e) инструкции по наблюдению режима выполнения ФБО;
f) описание всех ожидаемых результатов и анализа, который следует проводить по отношению к
наблюдаемому режиму выполнения ФБО для сравнения с ожидаемыми результатами:
д) инструкции по завершению теста и установке необходимого посттестового состояния ОО.
Цель установления данного уровня детализации в тестовой документации — предоставить возмож
ностьдругому оценщику повторить тесты и получить эквивалентный результат.
13.10.3.5.3 Шаг оценивания 4:AVA_VLA.2-6
Оценщикдолжен провести тестирование проникновения, основываясь на материалах анализа уязви
мостей, выполненного разработчиком.
Оценщик используетдокументацию для тестов проникновения, подготовленных на шаге оценивания
AVA_VLA.2-4. как основудля выполнения тестов проникновения по отношению к ОО. но это не препятству ет
оценщику выполнитьдополнительные специальные тесты проникновения. Если потребуется, оценщик
может подготовитьспециальные тесты врезультате изучения информации впроцессе тестирования проник
новения. которые, если были выполнены оценщиком, должны быть внесены в документацию для тестов
проникновения. Такие тесты могут быть необходимы, чтобы исследовать непредвиденные результаты или
наблюдения, а также потенциальные уязвимости, существование которых предположил оценщик во время
предварительно запланированного тестирования.
13.10.3.5.4 Шаг оценивания 4AVA_VLA.2-7
Оценщикдолжен зафиксировать фактические результаты выполнения тестов проникновения.
Хотя некоторые специфическиедетали фактическихрезультатов выполнения тестов могут отличаться
отожидаемых (например, поля времени и даты в записи аудита), общие результаты должны быть идентич
ными. Любые различия следует логически обосновать.
13.10.3.5.5 Шаг оценивания 4:AVA_VLA.2-8
Оценщик должен привести в ТОО информацию об усилиях оценщика по тестированию проникнове
ния, кратко изложив подход к тестированию. тестируемую конфигурацию, глубину и результаты тестиро
вания.
Информация о тестировании проникновения, приводимая вТОО. позволяет оценщику передать об
щий подход к тестированию проникновения и усилия, затраченные на этот подвид деятельности. Цель
предоставления данной информации состоит в том. чтобы привести краткий содержательный обзор усилий
оценщика по тестированию проникновения. Это неозначает, что информация в ТОО относительно
тестиро вания проникновения является точным воспроизведением конкретных шагов тестирования или
результатов отдельных тестов проникновения. Целью является предоставить достаточные подробности,
чтобы позво литьдругим оценщикам и сотрудникам органов оценки понять выбранный подход к
тестированию проник новения. объем выполненного тестирования проникновения, тестируемые
конфигурации ОО и общий ре зультатдействий по тестированию проникновения.
Информация об усилиях оценщика по тестированию проникновения, которую обычно можно найти в
соответствующем разделе ТОО. включает в себя:
а)тестируемые конфигурации ОО. Конкретные конфигурации ОО. которые были подвергнуты тестиро
ванию проникновения;
194