ГОСТ Р ИСО/МЭК 18045—2013
Другие исходные данные для данного подвида деятельности:
а) текущая информация, касающаяся потенциальных уязвимостей (например от органа оценки).
14.2.1.3 Замечания по применению
Оценщику следует рассмотреть необходимость выполнения дополнительных тестов в случае,
если при проведении других действий по оценке он обнаружил потенциальные уязвимости.
Использование термина «руководства» в этом подвиде деятельности относится к руководству
пользователя по эксплуатации и к руководству по подготовительным процедурам.
Информация об уязвимостях может быть или не быть в общедоступных источниках; потенци
альные уязвимости могут требовать или не требовать опыта для их использования. Эти два аспекта
являются связанными, но различными. Не следует предполагать, что уязвимость может быть легко
использована просто потому, что она может быть идентифицирована на основе информации из обще
доступных источников.
14.2.1.4 Действие AVA_VAN.1.1E
ИСО/МЭК 15408-3AVA_VAN.1.1C: ОО должен быть пригоден для тестирования.
14.2.1.4.1 Шаг оценивания AVA_VAN.1-1
Оценщик должен исследовать ОО. чтобы сделать заключение, согласуется ли тестируемая кон
фигурация с оцениваемой конфигурацией, определенной в ЗБ.
ОО. предоставленному разработчиком и идентифицированному в плане тестирования, следует
иметь ту же уникальную маркировку, которая установлена в соответствии с подвидами деятельности
ALC_CMC «Возможности УК» и идентифицирована во введении ЗБ.
В ЗБ может быть определено более одной подлежащих оценке конфигураций. ОО может состоять
из ряда различных аппаратных и программных реализаций, которые подлежат тестированию в соот
ветствии с ЗБ. Оценщик верифицирует, что все тестируемые конфигурации согласованы с ЗБ.
Оценщику следует рассмотреть описанные в ЗБ цели безопасности для среды функционирова
ния ОО. которые могут быть применимы к среде тестирования, и удостовериться, что они достигаются
в среде тестирования. В ЗБ могут быть и другие цели безопасности, которые не применимы для сре
ды тестирования. Например, цель безопасности относительно допусков пользователей не
применима к среде тестирования, однако, цель безопасности относительно единой точки подключения
к сети мог ла бы быть применима к среде тестирования.
При использовании каких бы то ни было средств тестирования (например измерителей, анализа
торов) обеспечить правильную калибровку этих средств будет обязанностью оценщика.
14.2.1.4.2 Шаг оценивания AVA_VAN.1-2
Оценщикдолжен исследовать ОО. чтобы сделать заключение, правильно ли он установлен и на
ходится ли в состоянии, которое известно.
Оценщик имеет возможность сделать заключение о состоянии ОО несколькими способами. На
пример, предшествующее успешное завершение подвида деятельности AGD_PRE.1 позволит считать
удовлетворенным данный шаг оценивания, если оценщик все еще уверен, что тестируемый ОО был
правильно установлен и находится в известном состоянии. Если это не так, то оценщику рекомендуется
следовать процедурам разработчика, чтобы установить и запустить ОО. используя только поставляе
мое руководство.
Если оценщику приходится выполнить процедуры установки вследствие того, что ОО находится
в неизвестном состоянии, то при успешном завершении данный шаг оценивания мог бы удовлетворить
шаг оценивания AGD_PRE.1-3.
14.2.1.5 Действие AVA_VAN.1.2E
14.2.1.5.1 Шаг оценивания AVA_VAN.1-3
Оценщикдолжен исследовать общедоступные источники информации, чтобы идентифицировать
потенциальные уязвимости в ОО.
Оценщик исследует общедоступные источники информации, в целях поддержки идентификации
возможных потенциальных уязвимостей в ОО. Существует много общедоступных источников инфор
мации, которые следует рассмотреть оценщику. Например, списки рассылки и форумы безопасности в
сети Интернет, в которых сообщают об известных уязвимостях в конкретных технологиях.
Оценщику не следует ограничивать рассмотрение общедоступной информации вышеупомянуты
ми источниками, ему следует рассмотреть любую другую доступную информацию, имеющую отноше
ние к уязвимостям ОО.
В процессе исследования предоставленных разработчиком свидетельств оценщик будет исполь
зовать общедоступную информацию для дальнейшего поиска потенциальных уязвимостей. Оценщи-
170