ГОСТ Р ИСО/МЭК 18045—2013
уязвимости в составном ОО, или после сборки компонентов в составной ОО данную уязвимость снова
следует рассматривать как потенциально опасную. Например, если во время оценки базового компонен та
было вынесено предположение, что продукт ИТ. отвечающий требованиям среды функционирования, не
будет возвращать некое значение в ответ на запросслужбы, предоставляемой базовым ОО. то любые
потенциальные уязвимости, касающиеся этого возвращаемого значения, которые ранее были исключены из
рассмотрения согласно вынесенному предположению, теперь следует рассматривать.
Кроме того, этот перечень известных, но непригодных для использования уязвимостей, получен
ный в результате оценки зависимого компонента, следует рассматривать в свете любых известных,
но потенциально непригодных для использования уязвимостей в других компонентах (например в ба
зовом компоненте) составного ОО. Это необходимо для рассмотрения случая, когда потенциальная
уязвимость непригодна для использования при использовании компонента отдельно, но становится
пригодной для использования при интеграции компонента с сущностью ИТ. содержащей другую потен
циальную уязвимость.
15.7.2.6 Действие ACO_VUL.2.3E
15.7.2.6.1 Шаг оценивания ACO_VUL.2-5
Оценщик должен исследовать общедоступные источники информации, чтобы поддержать иден
тификацию возможных уязвимостей защиты базового компонента, которые стали известны после за
вершения оценки базового компонента.
Оценщик будет использовать общедоступную информацию для поиска уязвимостей базового ком
понента так. как описано в AVA_VAN.2-2.
Те потенциальные уязвимости, информация о которых была общедоступной до оценивания базо
вого компонента, не должны исследоваться далее, если только для оценщика не очевидно, что потен
циал нападения, требуемый от нарушителя для использования потенциальной уязвимости, был значи
тельно уменьшен. Это может быть реализовано путем внедрения какой-либо новой технологии после
оценки базового компонента, что означает, что использование потенциальной уязвимости упростилось.
15.7.2.6.2 Шаг оценивания ACO_VUL.2-6
Оценщик должен исследовать общедоступные источники информации, чтобы поддержать иден
тификацию возможных уязвимостей защиты зависимого компонента, которые стали известны после
завершения оценки зависимого компонента.
Оценщик будет использовать общедоступную информацию так. как описано вAVA_VAN.2-2 для по
иска уязвимостей зависимого компонента.
Те потенциальные уязвимости, информация о которых была общедоступной до оценивания за
висимого компонента, не должны исследоваться далее, если только для оценщика не очевидно, что по
тенциал нападения, требуемый от нарушителя для использования потенциальной уязвимости, был
значительно уменьшен. Это может быть реализовано путем внедрения какой-либо новой технологии
после оценки зависимого компонента, что означает, что возможность использования потенциальной
уязвимости была упрощена.
15.7.2.6.3 Шаг оценивания ACO_VUL.2-7
Оценщик должен привести в ТОО идентифицированные потенциальные уязвимости, которые яв
ляются кандидатами на тестирование и применимы к данному составному ОО в среде его функциони
рования.
Для вынесения заключения о том. относятся ли уязвимости к составному ОО в его среде функцио
нирования. используются свидетельства ЗБ. документации руководств и функциональной спецификации.
Оценщик делает запись относительно любых причин исключения уязвимостей из дальнейшего
рассмотрения, если он делает заключение о том, что уязвимость невозможно использовать в среде
функционирования. В ином случае оценщик фиксирует потенциальную уязвимость для дальнейшего
рассмотрения.
Оценщик должен привести в ТОО перечень потенциальных уязвимостей, применимых к состав
ному ОО в его среде функционирования; эта информация может использоваться в качестве исходных
данных для действий по тестированию проникновения (то есть для ACO_VUL.2.5E).
15.7.2.7 Действие ACO_VUL.2.4E
15.7.2.7.1 Шаг оценивания ACO_VUL.2-8
Оценщикдолжен провести поиск сведений в ЗБ составного ОО. документации руководств, инфор
мации о зависимостях и обосновании композиции, чтобы идентифицировать возможные уязвимости
безопасности в составном ОО.
215