ГОСТ Р ИСО/МЭК 18045—2013
Возможность легкого доступа нарушителя к информации, которая помогает идентифицировать
уязвимости и облегчить нападение, существенно увеличивает потенциал нападения данного наруши
теля. Доступность в сети Интернет информации об уязвимостях и современных средств нападения
по зволяет с высокой степенью вероятности предположить, чтоданная информация будет
использоваться при попытках идентифицировать потенциальные уязвимости в 0 0 и использовать
их. Современные средства поиска делают такую информацию легкодоступной оценщику, и
заключение о стойкости 0 0 к нападениям с использованием опубликованных потенциальных
уязвимостей, а также к хорошо из вестным типовым нападениям (атакам) может быть сделано в
терминах «эффективность-стоимость».
Поиск общедоступной информации следует сосредоточить на тех источниках, которые относятся
к конкретным технологиям, использованным в разработке продукта ИТ. на основании которого получен
ОО. При определении требуемой широты этого поиска следует рассмотреть следующие факторы: тип
ОО. опыт оценщика для данного типа 00. ожидаемый потенциал нападения и уровень доступных сви
детельств согласно классу ADV.
Процесс идентификации является итерационным (повторяющимся), т.е. идентификация одной
потенциальной уязвимости может привести к идентификации другой проблемной области, которая тре
бует дальнейшего исследования.
Оценщик приводит в отчете (сообщении), какие действия были предприняты для идентифика
ции потенциальных уязвимостей на основе общедоступной информации. Однако, осуществляя этот
тип поиска, оценщик может быть не в состоянии заранее, до начала анализа, описать шаги,
которые он предпримет при идентификации потенциальных уязвимостей, поскольку подход может
развиваться и претерпевать изменения в зависимости от информации, выявленной в процессе поиска.
Оценщик приводит в отчете, какие свидетельства были исследованы в процессе поиска потенци
альных уязвимостей. Выбор свидетельств может производиться на основании идентифицированных
оценщиком проблемных областей, связанных со свидетельствами, которые нарушитель, как предпо
лагается, может получить, или согласно другому обоснованию, предложенному оценщиком.
14.2.3.6 Действие AVA_VAN.3.3E
14.2.3.6.1 Шаг оценивания AVA_VAN.3-4
Оценщик должен провести фокусированный поиск в ЗБ, документации руководств, функциональ
ной спецификации, проекте 0 0 и описании архитектуры безопасности и представлении реализации,
чтобы идентифицировать возможные потенциальные уязвимости в 00.
Должна быть использована методология гипотез о недостатках, посредством которой анализи
руются спецификации и свидетельства разработки, а также руководства, а после этого выдвигаются
гипотезы или делаются предположения о потенциальных уязвимостях в ОО.
Оценщик использует знания проекта ОО и функционирования 00. полученные от изучения по
ставляемых материалов ОО. чтобы выдвинуть гипотезу о недостатках и идентифицировать потенци
альные недостатки в разработке 0 0 и потенциальные ошибки в специфицированном методе функци
онирования ОО.
«Описание архитектуры безопасности» предоставляет сведения об анализе уязвимостей, прове
денном разработчиком, поскольку в ней документировано, каким образом в ФБО обеспечена собствен
ная защита от вмешательства недоверенных субъектов и предотвращение обхода функциональных
возможностей обеспечения безопасности. Таким образом, оценщику следует основываться на своем
понимании защиты ФБО. полученном в результате анализа этих свидетельств и расширенном за счет
знаний, полученных из других свидетельств по классуADV, связанных с разработкой.
Принятый подход направлен на проблемные области, идентифицированные во время исследова
ния свидетельств в рамках проведения действий по оценке, и обеспечивает исследование репрезента
тивной выборки свидетельств, связанных с разработкой и руководствами, предоставленных оценщику.
Руководство по выборке см. в приложенииА.2 «Выборка». Это руководство следует использовать
при выборе подмножества: в нем даются обоснования:
a) подхода, используемого при выборе:
b
) оценки того, что исследуемые свидетельства поддерживают данный подход.
Проблемные области могут касаться достаточности конкретных характеристик безопасности, де
тализированных в «Описании архитектуры безопасности».
Свидетельства, которые рассматриваются в процессе анализа уязвимостей, могут быть связа
ны со свидетельствами, к которым, предположительно, может получить доступ нарушитель. Напри
мер. разработчик может защищать проект ОО и представления реализации ОО. тогда единственной,
предположительно доступной для нарушителя, информацией будет функциональная спецификация
181