ГОСТ Р ИСО/МЭК 18045—2013
в среде тестирования. В ЗБ могут быть и другие цели безопасности, которые не применимы для сре ды
тестирования. Например, цель безопасности относительно допусков пользователей не применима к
среде тестирования, однако цель безопасности относительно единой точки подключения к сети при
менима к среде тестирования.
При использовании каких бы то ни было средств тестирования (например измерителей, анализа
торов) обеспечить правильную калибровку этих средств будет обязанностью оценщика.
14.2.4.4.2 Шаг оценивания AVA_VAN.4-2
Оценщик должен исследовать ОО. чтобы сделать заключение, правильно ли он установлен и на
ходится ли в состоянии, которое известно.
Оценщик имеет возможность сделать заключение о состоянии ОО несколькими способами. На
пример. предшествующее успешное завершение подвида деятельности AGD_PRE.1 позволит считать
удовлетворенным данный шаг оценивания, если оценщик все еще уверен, что тестируемый ОО был
правильно установлен и находится в известном состоянии. Если это не так. то оценщику рекомендуется
следовать процедурам разработчика, чтобы установить и запустить ОО. используя только поставляе
мое руководство.
Если оценщику приходится выполнить процедуры установки вследствие того, что ОО находится
в неизвестном состоянии, то при успешном завершении данный шаг оценивания мог бы удовлетворить
шаг оценивания AGD_PRE.1-3.
14.2.4.5 Действие AVA_VAN.4.2E
14.2.4.5.1 Шаг оценивания AVA_VAN.4-3
Оценщик должен исследовать общедоступные источники информации, чтобы идентифицировать
потенциальные уязвимости в ОО.
Оценщик исследует общедоступные источники информации в целях поддержки идентификации
возможных потенциальных уязвимостей в ОО. Существует много общедоступных источников инфор
мации. которые следует рассмотреть оценщику. Например, общедоступные ресурсы в мировой сети,
включая:
a) специальные публикации (журналы, книги);
b
) исследовательские статьи;
c) материалы конференций.
Оценщику не следует ограничивать рассмотрение общедоступной информации вышеупомянуты
ми источниками; ему следует рассмотреть любую другую доступную информацию, имеющую отноше
ние к уязвимостям ОО.
В процессе исследования предоставленных разработчиком свидетельств оценщик будет исполь
зовать общедоступную информацию для дальнейшего поиска потенциальных уязвимостей. Оценщи ку
также следует особо рассмотреть всю доступную информацию, касающуюся идентифицированных
проблемных областей.
Возможность легкого доступа нарушителя к информации, которая помогает идентифицировать
уязвимости и облегчить нападение, существенно увеличивает потенциал нападения данного наруши
теля. Доступность в сети Интернет информации об уязвимостях и современных средств нападения по
зволяет с высокой степенью вероятности предположить, чтоданная информация будет использоваться
при попытках идентифицировать потенциальные уязвимости в ОО и использовать их. Современные
средства поиска делают такую информацию легкодоступной оценщику, и заключение о стойкости ОО к
нападениям с использованием опубликованных потенциальных уязвимостей, а также к хорошо из
вестным типовым нападениям (атакам) может быть сделано в терминах «эффективность-стоимость».
Поиск общедоступной информации следует сосредоточить на тех источниках, которые относятся
к конкретным технологиям, использованным в разработке продукта ИТ. на основании которого получен
ОО. При определении требуемой широты этого поиска следует рассмотреть следующие факторы: тип
ОО. опыт оценщика для данного типа ОО. ожидаемый потенциал нападения и уровень доступных сви
детельств согласно классу ADV.
Процесс идентификации является итерационным (повторяющимся), т.е. идентификация одной
потенциальной уязвимости может привести к идентификации другой проблемной области, которая тре
бует дальнейшего исследования.
Оценщик описывает подход, применяемый для идентификации потенциальных уязвимостей
на основании изучения общедоступных источников, детально описывая выполняемый поиск. На этот
процесс могут влиять такие факторы, как идентифицированные оценщиком проблемные области, свя
занные со свидетельствами, которые предположительно могут быть доступны нарушителю. Однако
187