ГОСТ Р ИСО/МЭК18045— 2008
с мотивацией, потому что ценность актива субъективна — ока в значительной степени зависит от того, что
вкладывает в понятие ценности владелец актива.
В-третьих, мотивация может подразумевать определенную компетентность и ресурсы, с помощью которых
нарушитель намеревается осуществить нападение. Можно предположить, что нарушитель с высокой мотиваци ей.
вероятно, приобретет достаточную компетентность и ресурсы, чтобы преодолеть меры защиты актива. И,
наоборот, можно предположить, что нарушитель с высокой компетентностью и значительными ресурсами не
захочет, используя их. провести нападение, если имеет низкую мотивацию.
В ходе подготовки и проведения оценки, так или иначе, рассматривают все три аспекта мотивации. Первый
аспект, вероятность нападения — это то. что может побудить разработчика добиваться оценки. Если разработчик
полагает, что у нарушителей имеется достаточная мотивация, чтобы организовать нападение, то оценка может
обеспечить доверие к способности ОО помешать усилиям нарушителя. Когда предполагаемая среда полностью
определена, например при оценке системы, уровень мотивации нападения может быть известен и повлияет на
выбор контрмер.
Рассматривая второй аспект, владелец актива может полагать, что ценность активов (как-либо измерен
ная) достаточна, чтобы мотивировать нападение на них. Как только оценку посчитают необходимой, рассматри
вают мотивацию нарушителя для определения методов нападения, которое может быть предпринято, а также
компетентность и ресурсы, которые могут быть использованы при этих нападениях. После проведения исследо
ваний разработчик способен выбрать соответствующий уровень доверия, в частности компоненты требований из
класса AVA. соразмерные с потенциалом нападения для данных угроз. В ходе оценки и, в частности, по результа
там завершения вида деятельности по оценке уязвимостей оценщик делает заключение, достаточен ли ОО,
функционирующий в предопределенной среде, чтобы помешать нарушителям с идентифицированной компетен
тностью и ресурсами.
А.8.2 Вычисление потенциала нападения
В настоящем подразделе приведены факторы, которые определяют потенциал нападения, и предоставле
но руководство, способствующее устранению некоторой субъективности этого аспекта процесса оценивания.
Данный подход следует выбрать, если оценщик не сделает заключение, что этот подход не является
надлежа щим; в последнем случав требуется логическое обоснование правильности альтернативного подхода.
А.8.2.1 Идентификация и использование
Чтобы нарушитель использовал уязвимость, ее необходимо сначала идентифицировать, а затем использо
вать. Несмотря на кажущуюся тривиальность, это разделение на самом деле является существенным. Для иллю
страции этого можно рассмотреть уязвимость, которая обнаружена после нескольких месяцев проведения
анализа экспертом, и простой метод нападения, опубликованный в Интернете, и сравнить это с
уязвимостью, которая широко известна, но требует огромного времени и ресурсов для использования.
Понятно, что такие факторы, как время необходимо в этих случаях трактовать по-разному.
Для анализа СФБ проблема использования обычно болев важна, так как уязвимости в вероятностных или
перестановочных механизмах будут зачастую сами по себе очевидны. Однако это не всегда так. Для криптографи
ческих механизмов, например, знание неочевидных уязвимостей может значительно влиять на эффективность
нападения «грубой силой». Знание того, что пользователи системы имеют склонность выбирать имена людей в
качестве паролей, будет иметь подобный результат. Для оценки уязвимостей выше, чем по AVA_VLA.1 «Анализ
уязвимостей разработчиком», начальная идентификация уязвимостей приобретет гораздо более важное значе
ние. так как существование трудных для раскрытия уязвимостей может быть сделано общедоступным, что приве дет
к тривиальному их использованию.
А.8.2.2 Учитываемые факторы
При анализе потенциала нападения, требуемого для использования уязвимости, необходимо учитывать
следующие факторы:
a) идентификация;
1) время, затрачиваемое на идентификацию уязвимости;
2) техническая компетентность специалиста;
3) знание проекта и функционирования ОО;
4) доступ к ОО;
5) аппаратные средства/программное обеспечение ИТ или другое оборудование, требуемое для анализа;
b
) использование:
1) время, затрачиваемое на использование уязвимости;
2) техническая компетентность специалиста;
3) знание проекта и функционирования ОО;
4) доступ к ОО;
5) аппаратные средства/программное обеспечение ИТ или другое оборудование, требуемое для использо
вания уязвимости.
Во многих случаях эти факторы не являются независимыми и могут в различной степени заменять друг
друга. Например, компетентность или аппаратные средства/программное обеспечение могут быть заменой вре
мени. Эти факторы рассмотрены далее.
219