ГОСТ Р ИСО/МЭК 18045—2013
Приложение В
(информативное)
Оценка уязвимостей (AVA)
В данном приложении приводится объяснение критериев AVA_VAN. а также рассматриваются примеры
их использования. В данном приложении не определяются собственно критерии AVA; это определение представ
лено в разделе ИСО/МЭК 15408-3 класс «AVA: Оценка уязвимостей».
Даннов приложение состоит издвух основных частей:
a)
Руководство по завершению независимого анализа уязвимостей.
Краткое описание приводится в под
разделе В.1, а более подробное — в подразделе В.2. Эти подразделы описывают, каким образом оценщик должен
подходить к проведению независимого анализа уязвимости.
b
) Руководство по тому, каким образом характеризовать и использовать предполагаемый потенциал напа
дения нарушителя. Описание этого вопроса приводится в подразделах В.З — В.5. В этих подразделах приводится
пример описания того, каким образом можно охарактеризовать потенциал нападения и как его можно использо вать.
а также приводятся примеры использования.
В.1 Что представляет собой анализ уязвимостей
Цель деятельности по оценке уязвимостей состоит в том. чтобы сделать заключение о наличии недостатков
и уязвимостей ОО в среде его функционирования, а также о возможности использования этих уязвимостей. Вы
несение данного заключение основывается на результатах анализа, выполненного оценщиком, и поддерживается
тестированием, проведенным оценщиком.
На самых низких уровнях доверия семейства «Анализа уязеирлостей» (AVA_VAN) оценщик просто изучает
общедоступную ннфоррлацию в целях идентификации любых известных недостатков и слабостей ОО. в то время как
на более высоких уровнях доверия оценщик выполняет структурированный анализ свидетельств оценки ОО.
При выполнении анализа уязвитлостей имеют значение три основных фактора, а именно:
a) идентификация потенциальных уязвиглостей;
b
) оценка в целях вынесения заключения о том. могут ли идентифицированные потенциальные уязвирлости
позволить нарушителю с соответствующим потенциалорл нападения привести к нарушению ФТБ:
c) тестирование проникновения в целях вынесения заключения о том. рлогут ли идентифицированные уязви
мости данного ОО в его среде функционирования быть использованы нарушителем.
Может быть проведена дальнейшая декорлпозиция идентификации уязвитлостей до конкретных свидетельств,
которые нужно отыскать (и до определения того, насколько тщательно должен проводиться подобный поиск) в це лях
идентификации потенциальных уязвимостей. Подобным образом и тестирование проникновения может быть
разложено на составные компоненты — анализ потенциальных уязвимостей в целях определения методов атаки и
дерлонстрацию методов и способов атакующего воздействия.
Эти основные факторы деятельности по природе своей являются итерационными, то есть тестирование
проникновения для потенциальных уязвимостей может привести к идентификации других потенциальных уязвимо
стей. По этой причине они выполняются как единый вид деятельности по анализу.
В.2 Структура анализа уязвимости, проводимого оценщиком
Анализ уязвимости проводится оценщиком в целях вынесения заключения о том, является ли ОО способ-
нырл
противостоять атакам проникновения, выполняерлым нарушителем с базовым (для AVA_VAN.1 и AVA_VAN.2).
усиленным базовым (для AVA_VAN.3). урлеренным (для AVA_VAN.4) или высоким (для AVA_VAN.5)
потенциалом нападения. Оценщик сначала оценивает степень возможности использования всех выявленных
потенциальных уязвирлостей. Это достигается путем проведения тестирования проникновения. Оценщик должен
при попытке осу ществить проникновение к ОО принирлать на себя роль нарушителя с соответственно базовырл
(для AVA_VAN.1 и AVA_VAN.2). усиленным базовырл (для AVA_VAN.3). урлеренным (для AVA_VAN.4) или высоким
(для AVA_VAN.5) потенциалом нападения.
Оценщик рассматривает все потенциальные уязвирлости, которые обнаруживает оценщик во врерля поведе
ния другихдействий оценивания. Тестирование проникновения, проводимое оценщикорл в целях вынесения заклю
чения о способности ОО противостоять атакам, направленным на эти потенциальные уязвимости, должно выпол
няться с применением на себя ролей нарушителя с базовырл (для AVA_VAN.1 и AVA_VAN.2), усиленнырл базовырл
(для AVA_VAN.3), умеренным (дляAVA_VAN.4) или высоким (для AVA_VAN.5) потенциалом нападения.
Однако анализ уязвимостей не следует проводить как отдельное действие. Он тесно связан с ADV и AGD.
Оценщик выполняет эти другие действия по оцениванию, уделяя особое внирлание вопросам идентификации по
тенциальных уязвимостей или «проблемных областей». Поэторлу требуется знакомство оценщика с общим руко
водством по уязвирлостям (приведенном в пункте В.2.1).
В.2.1 Общее руководство по уязвимостям
В приведенных ниже пяти категориях приводится обсуждение общих уязвимостей.
226