ГОСТ Р ИСО/МЭК18045— 2008
b
) инструкции по подключению и настройке всего необходимого тестового оборудования, как требует
сядля проведения конкретного теста проникновения:
c) инструкции по установке всех предварительных начальных условий выполнения теста проник
новения:
d) инструкции по инициированию ФБО;
e) инструкции по наблюдению режима выполнения ФБО;
0 описание всех ожидаемых результатов и анализа, который следует проводить по отношению к
наблюдаемому режиму выполнения ФБО для сравнения с ожидаемыми результатами:
д) инструкции по завершению теста и установке необходимого посттестового состояния ОО.
Цельданногоуровнядетализации в тестовой документации— обеспечить возможностьдругомуоцен
щику повторить тесты и получить эквивалентный результат.
13.10.3.7.3 Шаг оценивания 4:AVA_VLA.2-12
Оценщикдолжен провести тестирование проникновения, основываясь на независимом анализе уяз
вимостей.
Оценщик используетдокументацию для тестов проникновения, подготовленных на шаге оценивания
AVA_VLA.2-10. как основу для выполнения тестов проникновения по отношению к ОО. но это не мешает
оценщику выполнитьдополнительные специальные тесты проникновения. Если потребуется, оценщик мо
жет подготовить новые тесты в результате изучения информации в процессе тестирования проникновения,
которые, если были выполнены оценщиком, необходимо зафиксировать вдокументациидля тестов проник
новения. Такие тесты могут потребоваться, чтобы исследовать непредвиденные результаты или наблюде
ния. а также потенциальные уязвимости, существование которых оценщик предположил во время предва
рительно запланированного тестирования.
Если тестирование проникновения показывает, что предполагавшаяся уязвимость не существует, то
оценщику следует сделать заключение, был ли или не был корректным собственный анализоценщика, или
не являются ли предоставленныедля оценки материалы некорректными или неполными.
13.10.3.7.4 Шаг оценивания 4:AVA_VLA.2-13
Оценщикдолжен зафиксировать фактические результаты выполнения тестов проникновения.
Хотя некоторые специфическиедетали фактических результатов выполнения тестов могут отличаться
отожидаемых (например, поля времени и даты в записи аудита), общие результаты должны быть идентич
ными. Любые различия следует ложчески обосновать.
13.10.3.7.5 Шаг оценивания 4:AVA_VLA.2-14
Оценщикдолжен привести в ТОО информацию об усилиях оценщика по тестированию проникнове
ния, кратко изложив подход к тестированию. тестируемую конфигурацию, глубину и результаты тестиро
вания.
Информация о тестировании проникновения, приводимая в ТОО, позволяет оценщику передать об
щий подход к тестированию проникновения и усилия, затраченные на этот подвид деятельности. Цель
предоставленияданной информации состоит в том, чтобы дать содержательный краткий обзор усилий оцен
щика по тестированию проникновения. Это не значит, что информация вТОО относительно тестирования
проникновения является точным воспроизведением конкретных шагов тестирования или результатов от
дельных тестов. Целью является предоставить достаточные подробности, чтобы позволитьдругим оцен
щикам и сотрудникам органов оценки получить некоторое понимание выбранного подхода ктестированию
проникновения, объема выполненного тестирования проникновения, тестируемых конфигураций ОО и об
щих результатовдействий по тестированию проникновения.
Информация об усилиях оценщика по тестированию проникновения, которую обычно можно найти в
соответствующем разделе ТОО. включает в себя:
a)тестируемые конфигурации ОО. Конкретные конфигурации ОО. которые были подвергнуты тестиро
ванию проникновения;
b
) функции безопасности, подвергнутые тестированию проникновения. Краткий перечень функций
безопасности, на которых было сосредоточено тестирование проникновения:
c) вердикт поданному подвидудеятельности. Общий вывод по результатам тестирования проникно
вения.
Данный перечень ни в коем случае не является исчерпывающим и предназначен только для того,
чтобы дать некоторое представление о типе информации, касающейся тестирования проникновения, вы
полненного оценщиком в процессе оценки, которую следует привести в ТОО.
200