ГОСТ Р ИСО/МЭК 21827—2010
связанные с риском безопасности и оценкой уязвимости, используются во многих контекстах по разному.
Для данной модели термин «уязвимость» относится к аспекту системы, который можно использовать в
целях, отличных от намеченных первоначально, а именно: слабые места, пробелы в безопасности или
ошибки при реализации в рамках системы, которые могут быть использованы угрозой. Эти уязвимости не
зависят от какой-либо определенной угрозы или атаки. Эта совокупность видов деятельности осуще
ствляется в любое время жизненного цикла системы для поддержки решения о разработке, обслужива нии
и эксплуатации системы в пределах известной среды.
7.5.1.2 Цели:
- осведомленность об уязвимостях безопасности системы в пределах определенной среды.
7.5.1.3 Перечень базовых практик
ВР.05.01 Выбирает методы, технологии и критерии, по которым идентифицируются уязвимости безо
пасности системы в определенной среде и определяются их характеристики.
ВР.05.02 Идентификация уязвимостей безопасности системы.
ВР.05.03 Сбор данных, связанных со свойствами уязвимостей.
ВР.05.04 Оценка уязвимостей системы и обобщение уязвимостей, являющихся результатом кон
кретных уязвимостей и их комбинаций.
ВР05.05 Проведение мониторинга текущих изменений соответствующих уязвимостей и их характе
ристик.
7.5.1.4 Примечания кданной области процесса
Анализ и практические приемы, связанные с данной областью процессов, часто являются «бумаж
ной работой». Обнаружение уязвимостей системы активными средствами и способами явпяется еще
одним методом, который дополняет другие методы анализа уязвимостей, но не подменяет их. Эти
ак тивные методы можно рассматривать как специализированный вид анализа уязвимостей. Этот вид
ана лиза может быть полезен при подтверждении уязвимости безопасности системы после ее
значительного обновления или идентификации уязвимости системы в случае соединения двух
систем. В некоторых случаях активный анализ уязвимости требуется для подтверждения правильности
состояния безопасно сти системы и улучшения осознания и понимания имеющихся уязвимостей
безопасности. Активный ана лиз. иногда называемый испытанием на проникновение, является
процессом, посредством которого специалисты по безопасности пытаются обмануть средства защиты
системы. Обычно они работают при тех же ограничениях, которые налагаются на обычных
пользователей, но имеют всю проектную доку ментацию и документацию по внедрению. Процесс атаки
на безопасность не истощает ресурсы, а сдер живается их ограниченностью (время, деньги, персонал и
т.д.).
Информация об уязвимостях, полученная от этой области процесса, предназначена для использо
вания в РАОЗ наряду с информацией об угрозах из РА04 и воздействиях из РА02. Несмотря на то. что
действия по сбору информации об угрозах уязвимостях и воздействиях были объединены в отдельные
области процесса, они являются взаимозависимыми. Целью является обнаружение комбинаций угрозы,
уязвимости и воздействия, которые считаются достаточно рискованными для обоснования действия.
Следовательно, поиск уязвимостей должен в определенной степени руководствоваться наличием соот
ветствующих угроз и воздействий.
Вследствие подверженности уязвимостей изменениям они должны периодически контролировать
ся с целью обеспечения постоянного поддержания осведомленности о них. полученной с помощью этой
области процесса.
При отслеживании функционирования этой области процесса анализ тенденций, существующих
среди различных общих практических приемов, может указать на удовлетворение аргументу доверия
(см. РА06).
7.5.2 ВР.05.01 - Выбирает метод анализа уязвимости
Выбираются методы, технологии и критерии, по которым идентифицируются уязвимости безопас
ности системы в определенной среде и определяются их характеристики.
7.5.2.1 Описание
Эта базовая практика определяет метод установления уязвимостей безопасности способом, по
зволяющим их идентифицировать и характеризовать. Это может включать в себя схему категорирования
уязвимостей и назначения им приоритетов на основе угроз и их вероятностей, эксплуатационных функ
ций требований безопасности и других проблемных зон (при их наличии). Определение глубины анализа
позволяет специалистам по безопасности и заказчику определять целевые системы, предназначенные
для использования, и их полноту. Анализ должен проводиться по известной и зафиксированной конфи
гурации в течение заранее согласованного и заданного периода времени. Методология анализа должна
включать в себя ожидаемые результаты. Следует четко формулировать конкретные цели анализа.
33