ГОСТ Р ИСО/МЭК 18045—2013
буется Базовый потенциал нападения. Однако в некоторых случаях необходимо будет выполнить не
который тест прежде, чем может быть определена пригодность к использованию. Когда в результате
исследований в ходе оценки оценщик обнаруживает некоторую потенциальную уязвимость, для ис
пользования которой требуется потенциал нападения выше, чем Базовый, она приводится в ТОО как
остаточная уязвимость.
14.2.1.6.2 Шаг оценивания AVA_VAN.1-6
Оценщик должен разработать тестовую документацию для тестов проникновения, основанных
на перечне потенциальных уязвимостей; детализация этой документации должна быть достаточна
для обеспечения воспроизводимости тестов. Тестовая документация должна включать;
a) идентификацию тестируемой потенциальной уязвимости ОО;
b
) инструкции по подключению и настройке всего требуемого тестового оборудования, как требу
ется для проведения конкретного теста проникновения;
c) инструкции по установке всех предварительных начальных условий выполнения теста проник
новения;
d) инструкции по инициированию ФБО;
в) инструкции по наблюдению режима выполнения ФБО;
f)описание всех ожидаемых результатов и необходимого анализа, который следует выполнить
по отношению к наблюдаемому режиму выполнения ФБО для сравнения с ожидаемыми результатами;
д) инструкции по завершению теста и установке необходимого послетестового состояния ОО.
Оценщик готовится к тестированию проникновения, основываясь на перечне потенциальных уяз
вимостей. идентифицированных во время поиска общедоступной информации.
Не предполагается, что оценщик сделает заключение о возможности использования потенци
альных уязвимостей помимо тех уязвимостей, для которых требуется Базовый потенциал нападения,
чтобы осуществить нападение. Однако в результате исследований в ходе оценки оценщик может об
наружить потенциальную уязвимость, пригодную для использования только нарушителем с большим,
чем Базовый, потенциалом нападения. Такие уязвимости необходимо привести в ТОО как остаточные
уязвимости.
Поняв потенциальную уязвимость, оценщик определяет наиболее подходящий способ протести
ровать восприимчивости ОО. Оценщик особенно внимательно рассматривает:
a) ИФБО или другой интерфейс ОО. который будет использован для инициирования выполнения
ФБО и наблюдения их реакции;
b
) начальные условия, которые будут необходимы для выполнения теста (т.е. какие-либо кон
кретные объекты или субъекты, которые необходимы, и атрибуты безопасности, которые им необходи мо
будет иметь);
c) специальное оборудование для тестирования, которое потребуется либо для инициирования
ИФБО. либо для наблюдения за ИФБО (хотя маловероятно, что для использования уязвимости, для кото
рой предполагается Базовый потенциал нападения нарушителя, потребуется специальное оборудование);
d) следует ли заменить теоретическим анализом физическое тестирование, в частности в отно шении
того, когда результаты первоначального теста могут экстраполироватьсядля демонстрации того, что
повторные попытки нападения, вероятно, будут успешными после выполнения некоторого задан
ного числа попыток.
Оценщик, вероятно, посчитает целесообразным выполнить тестирование проникновения, исполь
зуя ряд наборов тестов, где каждый набор тестов будет использоваться для тестирования конкретной
потенциальной уязвимости.
Цель определения данного уровня детализации в тестовой документации — предоставить воз
можность другому оценщику повторить тесты и получить эквивалентный результат.
14.2.1.6.3 Шаг оценивания AVA_VAN.1-7
Оценщикдолжен провести тестирование проникновения.
Оценщик использует документацию для тестов проникновения, подготовленную на шаге оценива
нияAVA VAN.1-5, как основудля выполнения тестов проникновения по отношению к ОО. но это не пре
пятствует оценщику выполнить дополнительные специальные тесты проникновения. Если потребуется,
оценщик может разработать специальные тесты в результате изучения информации в процессе те
стирования проникновения, которые, если были выполнены оценщиком, должны быть внесены в до
кументацию тестов проникновения. Такие тесты могут быть необходимы, чтобы исследовать непред
виденные результаты или наблюдения, а также потенциальные уязвимости, о существовании которых
оценщик сделал предположение во время предварительно запланированного тестирования.
172