ГОСТ Р ИСО/МЭК Т 0 19791 — 2008
AOV_VLA.1.2E Оценщик должен проводить тестирование на проникновение, построенное на анализе
уязвимостей, проведенном разработчиком/интегратором, для обеспечения выявления очевидных уязвимостей.
С.8.3.5 AOV_VLA.2 Независимый анализ уязвимостей
Является иерархическим для: AOV_VLA.1 Анализ уязвимостей, проведенный разработчиком/интегратором.
Зависимости:
ASD_IFS.1 Функциональная спецификация интерфейсов;
ASD_SS0.1 Проект подсистем;
ASDJM P1 Представление реализации;
ASD_CON.1 Концепция безопасности функционирования;
AOO_ADM.1 Руководство администратора;
AOD_USR.1 Руководство пользователя.
С.8.3.5.1 Цели
Анализ уязвимостей проводится разработчиком/интегратором для установления наличия очевидных уязви
мостей и подтверждения невозможности их использования в предполагаемой среде СОО.
Оценщик проводит независимое тестирование на проникновение, сопровождаемое независимым анали
зом уязвимостей оценщика, с целью определения сопротивляемости СОО атакам на проникновение, осуществ
ляемым нарушителем с низким потенциалом атаки.
С.8.3.5.2 Элементы действий разработчика/интегратора
AOV_VLA.2.1D Разработчик/интегратор должен проводить и документировать анализ комплектующих узлов
СОО для поиска очевидных путей, которыми пользователь может нарушить функции обеспечения безопасности.
AOV_VLA.2.2D Разработчик/интегратор должен документировать расположение очевидных уязвимостей.
С.8.3.5.3 Элементы содержания и представления свидетельств
AOV_VLA.2.1C В документации по всем выявленным уязвимостям должно быть указано о невозможности
использования уязвимости в предполагаемой среде СОО.
AOV_VLA.2.2C.B документации должно быть обоснование сопротивляемости СОО со всеми выявленными
уязвимостями очевидным атакам на проникновение.
С.8.3.5.4 Элементы действий оценщика
AOV_VLA.2.1E Оценщик должен подтвердить соответствие представленной информации всем требовани
ям к содержанию и представлению свидетельств.
AOV_VLA.2.2E Оценщик должен провести тестирование на проникновение, построенное на анализе уязви
мостей. проведенном разработчиком/интегратором. для обеспечения указания выявленных уязвимостей.
AOV_VLA.2.3E Оценщик должен провести независимый анализ уязвимостей.
AOV_VLA.2.4E Оценщик должен провести независимое тестирование на проникновение, основанное на
независимом анализе уязвимостей, для определения возможности использования дополнительно выявленных
уязвимостей в предполагаемой среде.
AOV_VLA 2.5Е Оценщик должен определять сопротивляемость СОО атакам на проникновение, осуществ
ляемым нарушителем с низким потенциалом атаки.
С.8.3.6 AOT_VLA.3 Средняя сопротивляемость
Является иерархическим для: AOV_VLA.2 Независимый анализ уязвимостей.
Зависимости:
ASDJFS.1 Функциональная спецификация интерфейсов;
ASD_SS0.1 Проект подсистем;
ASDJMP.1 Представление реализации;
ASD_CON.1 Концепция безопасности функционирования;
AOD_ADM.1 Руководство администратора;
AOD_USR.1 Руководство пользователя.
С.8.3.6.1 Цели
Анализ уязвимостей проводится разработчиком/интегратором для установления наличия очевидных уязви
мостей и подтверждения невозможности их использования в предполагаемой среде СОО.
Оценщик проводит независимое тестирование на проникновение, сопровождаемое независимым анали
зом уязвимостей оценщика, с целью определения сопротивляемости СОО атакам на проникновение, осуществ
ляемым нарушителем со средним потенциалом атаки.
С.8.3.6.2 Элементы действий разработчика/интегратора
AOV_VLA.3.1D Разработчик/интегратор должен проводить и документировать анализ комплектующих узлов
СОО для поиска очевидных путей, которыми пользователь может нарушить функции обеспечения безопасности.
AOV_VLA.3.2D Разработчик/интегратор должен документировать расположение очевидных уязвимостей.
С.8.3.6.3 Элементы содержания и представления свидетельств
AOV_VLA.3.1C В документации по всем выявленным уязвимостям должно быть указано о невозможности
использования уязвимости в предполагаемой среде СОО.
AOV_VLA.3.2C.B документации должно быть обоснование сопротивляемости СОО со всеми выявленными
уязвимостями очевидным атакам на проникновение.
AOV_VLA.3.3C В свидетельстве должна быть отражена систематичность поиска уязвимостей.
109