ГОСТ Р ИСО/МЭК 18045—2013
d)следует ли заменить теоретическим анализом физическое тестирование, в частности в отно
шении того, когда результаты первоначального теста могут экстраполироватьсядля демонстрации того,
что повторные попытки нападения, вероятно, будут успешными после выполнения некоторого задан
ного числа попыток.
Оценщик, вероятно, посчитает целесообразным выполнить тестирование проникновения, исполь
зуя ряд наборов тестов, где каждый набор тестов будет использоваться для тестирования конкретной
потенциальной уязвимости.
Цель определения данного уровня детализации в тестовой документации — предоставить воз
можность другому оценщику повторить тесты и получить эквивалентный результат.
14.2.2.7.3 Шаг оценивания AVA_VAN.2-8
Оценщик должен провести тестирование проникновения.
Оценщик использует документацию для тестов проникновения, подготовленную на шаге оце
нивания AVA_VAN.2-6. как основу для выполнения тестов проникновения по отношению к ОО. но это не
мешает оценщику выполнить дополнительные специальные тесты проникновения. Если потребу ется,
оценщик может разработать специальные тесты в результате изучения информации в процессе
тестирования проникновения, которые, если были выполнены оценщиком, должны быть внесены в до
кументацию тестов проникновения. Такие тесты могут быть необходимы, чтобы исследовать непред
виденные результаты или наблюдения, а также потенциальные уязвимости, о существовании которых
оценщик сделал предположение во время предварительно запланированного тестирования.
Если тестирование проникновения показывает, что уязвимость, о которой было сделано пред
положение. не существует, то оценщику следует сделать заключение, был ли некорректным анализ
оценщика и не являются ли предоставленные для оценки материалы некорректными или неполными.
Не предполагается тестирования оценщиком потенциальных уязвимостей (в том числе извест
ных из общедоступных источников), для использования которых требуется потенциал нападения выше,
чем Базовый. Однако в некоторых случаях необходимо будет выполнить тест прежде, чем может быть
определена пригодность к использованию. Если в результате исследований в ходе оценки оценщик об
наружит потенциальную уязвимость, пригодную для использования только нарушителем с большим,
чем Базовый, потенциалом нападения, то она должна быть приведена в ТОО как остаточная уязвимость.
14.2.2.7.4 Шаг оценивания AVA_VAN.2-9
Оценщик должен зафиксировать фактические результаты тестов проникновения.
Хотя некоторые специфические детали фактических результатов выполнения тестов могут от
личаться от ожидаемых (например поля времени и даты в записи аудита), общим результатам следует
быть идентичными. Следует исследовать любые непредвиденные результаты выполнения тестов. Вли
яние на оценку следует установить и логически обосновать.
14.2.2.7.5 Шаг оценивания AVA_VAN.2-10
Оценщик должен привести в ТОО информацию об усилиях оценщика потестированию проникновения,
кратко изложив подход к тестированию, тестируемую конфигурацию, глубину ирезультаты тестирования.
Информация о тестировании проникновения, приводимая в ТОО. позволяет оценщику передать об
щий подход к тестированию проникновения и усилия, затраченные на этот подвид деятельности. Цель
предоставления данной информации состоит в том. чтобы привести содержательный краткий обзор уси
лий оценщика по тестированию проникновения. Это не означает, чтоинформация вТОО относительно
те стирования проникновения является точным воспроизведением конкретных шагов тестирования или
ре зультатов отдельных тестов проникновения. Целью является предоставлениедостаточных
подробностей, чтобы позволить другим оценщикам и сотрудникам органов оценки получить некоторое
понимание вы бранного подхода к тестированию проникновения, объема выполненного тестирования
проникновения, тестируемых конфигураций ОО и общих результатов действий по тестированию
проникновения.
Информация об усилиях оценщика по тестированию проникновения, которая обычно представле
на в соответствующем разделе ТОО. включает:
a) тестируемые конфигурации ОО. Конкретные конфигурации ОО, которые подвергались тести
рованию проникновения;
b
) ИФБО. которые подвергались тестированию проникновения. Краткий перечень ИФБО и других
интерфейсов ОО. на которых было сосредоточено тестирование проникновения:
c) вердикт по данному подвиду деятельности. Общий вывод по результатам тестирования про
никновения.
178