ГОСТ Р ИСО/МЭК 18045—2013
не будет возвращать некое значение в ответ на запрос службы, предоставляемой базовым ОО. то любые
потенциальные уязвимости, касающиеся этого возвращаемого значения, которые ранее были исключены
из рассмотрения согласно вынесенному предположению, теперь следует рассматривать.
Кроме того, этот перечень известных, но непригодных для использования уязвимостей, полученный
в результате оценки зависимого компонента, следует рассматривать в свете любых известных, но потен
циально непригодных для использования уязвимостей в других компонентах (например в базовом компо
ненте) составного ОО. Это необходимо для рассмотрения случая, когда потенциальную уязвимость, ко
торую не получится использовать при отдельном использовании компонента, можно использовать, если
компонент интегрируется с сущностью ИТ. содержащей другую потенциальную уязвимость.
15.7.3.6 Действие ACO_VUL.3.3E
15.7.3.6.1 Шаг оценивания ACO_VUL.3-5
Оценщик должен исследовать общедоступные источники информации, чтобы поддержать иден
тификацию возможных уязвимостей защиты базового компонента, которые стали известны после за
вершения оценки базового компонента.
Оценщик будет использовать общедоступную информациюдля поиска уязвимостей базового ком
понента так, как описано в AVA_VAN.3-2.
Те потенциальные уязвимости, информация о которых была общедоступной до оценивания ба
зового компонента, не должны исследоваться далее, если только для оценщика не очевидно, что по
тенциал нападения, требуемый от нарушителя для использования потенциальной уязвимости, был
значительно уменьшен. Это может быть реализовано путем внедрения какой-либо новой технологии
после оценки базового компонента, что означает, что использование потенциальной уязвимости упро
стилось.
15.7.3.6.2 Шаг оценивания ACO_VUL.3-6
Оценщик должен исследовать общедоступные источники информации, чтобы поддержать иден
тификацию возможных уязвимостей защиты зависимого компонента, которые стали известны после
завершения оценки зависимого компонента.
Оценщик будет использовать общедоступную информацию так. как описано в AVA_VAN.3-2
для поиска уязвимостей зависимого компонента.
Те потенциальные уязвимости, информация о которых была общедоступной до оценивания за
висимого компонента, не должны исследоваться далее, если толькодля оценщика не очевидно, что по
тенциал нападения, требуемый от нарушителя для использования потенциальной уязвимости, был
значительно уменьшен. Это может быть реализовано путем внедрения какой-либо новой технологии
после оценки зависимого компонента, что означает, что возможность использования потенциальной
уязвимости была упрощена.
15.7.3.6.3 Шаг оценивания ACO_VUL.3-7
Оценщик должен привести в ТОО идентифицированные потенциальные уязвимости, которые яв
ляются кандидатами на тестирование и применимы к данному составному ОО в среде его функциони
рования.
Для вынесения заключения о том. относятся ли уязвимости к составному ОО в его среде функцио
нирования, используются свидетельства ЗБ,документации руководств и функциональной спецификации.
Оценщик делает запись относительно любых причин исключения уязвимостей из дальнейшего
рассмотрения, если он делает заключение о том, что уязвимость невозможно использовать в среде
функционирования. В ином случае оценщик фиксирует потенциальную уязвимость для дальнейшего
рассмотрения.
Оценщик должен привести в ТОО перечень потенциальных уязвимостей, применимых к состав
ному ОО в его среде функционирования; эта информация может использоваться в качестве исходных
данных для действий по тестированию проникновения (то есть для ACO_VUL.3.5E).
15.7.3.7 Действие ACO_VUL.3.4E
15.7.3.7.1 Шаг оценивания ACO_VUL.3-8
Оценщик должен провести поисксведений в ЗБ составного ОО. документации руководств, инфор
мации о зависимостях и обосновании композиции, чтобы идентифицировать возможные уязвимости
безопасности в составном ОО.
Рассмотрение компонентов составного ООпри независимом анализе уязвимости оценщика для оцен
ки компонентов будет принимать несколько отличающуюся от зарегистрированной в AVA_VAN.3.3E фор
му. поскольку будет не обязательно рассматривать все уровни представления проекта как относящиеся
218