ГОСТ Р ИСО/МЭК 18045—2013
не мешает оценщику выполнить дополнительные специальные тесты проникновения. Если потребу
ется, оценщик может разработать специальные тесты в результате изучения информации в процессе
тестирования проникновения, которые, если были выполнены оценщиком, должны быть внесены в до
кументацию тестов проникновения. Такие тесты могут быть необходимы, чтобы исследовать непред
виденные результаты или наблюдения, а также потенциальные уязвимости, о существовании которых
оценщик сделал предположение во время предварительно запланированного тестирования.
Если тестирование проникновения показывает, что уязвимость, о которой было сделано пред
положение. не существует, то оценщику следует сделать заключение, был ли некорректным анализ
оценщика и не являются ли предоставленные для оценки материалы некорректными или неполными.
Не предполагается тестирования оценщиком потенциальных уязвимостей (в том числе извест
ных из общедоступных источников), для использования которых требуется потенциал нападения выше,
чем Усиленный базовый. Однако в некоторых случаях необходимо будет выполнить тест прежде, чем мо
жет быть определена пригодность к использованию. Если в результате исследований в ходе оценки оцен
щик обнаружит потенциальную уязвимость, пригодную для использования только нарушителем с большим,
чем Усиленный базовый, потенциалом нападения, то она должна быть приведена в ТОО как остаточная
уязвимость.
14.2.3.7.4 Шаг оценивания AVA_VAN.3-9
Оценщик должен зафиксировать фактические результаты тестов проникновения.
Хотя некоторые специфические детали фактических результатов выполнения тестов могут от
личаться от ожидаемых (например поля времени и даты в записи аудита), общим результатам следует
быть идентичными. Следует исследовать любые непредвиденные результаты выполнения тестов. Вли
яние на оценку следует установить и логически обосновать.
14.2.3.7.5 Шаг оценивания AVA_VAN.3-10
Оценщик должен привести в ТОО информацию об усилиях оценщика по тестированию проникно
вения. кратко изложив подход к тестированию, тестируемую конфигурацию, глубину и результаты тести
рования.
Информация о тестировании проникновения, приводимая в ТОО. позволяет оценщику передать
общий подход к тестированию проникновения и усилия, затраченные на этот подвид деятельности.
Цель предоставления данной информации состоит в том. чтобы привести содержательный краткий
обзор усилий оценщика по тестированию проникновения. Это не означает, что информация в ТОО отно
сительно тестирования проникновения является точным воспроизведением конкретных шагов тестиро
вания или результатов отдельных тестов проникновения. Целью является предоставление достаточных
подробностей, чтобы позволить другим оценщикам и сотрудникам органов оценки получить некоторое
понимание выбранного подхода к тестированию проникновения, объема выполненного тестирования
проникновения, тестируемых конфигураций 0 0 и общих результатов действий по тестированию про
никновения.
Информация об усилиях оценщика по тестированию проникновения, которая обычно представле
на в соответствующем разделе ТОО. включает:
a) тестируемые конфигурации ОО. Конкретные конфигурации 00. которые подвергались тести
рованию проникновения:
b
) ИФБО. которые подвергались тестированию проникновения. Краткий перечень ИФБО и других
интерфейсов ОО. на которых было сосредоточено тестирование проникновения;
c) вердикт по данному подвиду деятельности. Общий вывод по результатам тестирования проник
новения.
Приведенный перечень ни в коем случае не является исчерпывающим и предназначен только
для того, чтобы предоставить некоторое представление о типе информации, касающейся тестирования
проникновения, выполненного оценщиком в процессе оценки, которую следует привести в ТОО.
14.2.3.7.6 Шаг оценивания AVA_VAN.3-11
Оценщик должен исследовать результаты всего тестирования проникновения и выводы по всему
анализу уязвимостей, чтобы сделать заключение, является ли ОО. находящийся в своей среде функци
онирования. стойким к нарушителю, обладающему Усиленным базовым потенциалом нападения.
Если результаты показывают, что ОО. находящийся в своей среде функционирования, имеет уяз
вимости. пригодные для использования нарушителем, обладающим меньшим, чем Умеренный, потен
циалом нападения, то по этому действию оценщиком делается отрицательное заключение.
Руководство из приложения В.4 следует использовать для того, чтобы сделать заключение о по
тенциале нападения, требуемом для использования конкретной уязвимости, и может ли эта уязвимость
быть использована в предполагаемой среде функционирования. Может не быть необходимости вычис-
185