ГОСТ Р ИСО/МЭК 21827—2010
7.5.2.2 Примеры результатов деятельности:
- метод анализа уязвимостей - определяет метод обнаружения и изучения уязвимостей безопас
ности системы, включая анализ, отчетность и процесс отслеживания;
- форматы анализа уязвимостей - описывает формат результатов анализа уязвимостей для обес
печения стандартизированного подхода:
- методология и методика атак - включает цели и метод проведения тестирования атак;
- процедуры атак - подробные этапы проведения тестирования атак;
- планы атак - включает ресурсы атак, график и описание их методологии;
- изучение проникновения - анализ и реализация сценариев атак, направленные на идентифика
цию неизвестных уязвимостей;
- сценарии атак - описание конкретных атак, которые будут предприниматься.
7.5.2.3 Примечания
Метод анализа уязвимостей может быть действующим, адаптированным или специфическим для
эксплуатационных аспектов и определенной среды системы. Он часто основывается на методологии
анализа риска, выбранной из РАОЗ, или дополняет ее. Следует отметить, что разъяснение угроз, воз
можностей и значений может быть не предусмотрено, и в этом случае необходимо сузить область при
менения методологии или принять набор подходящих допущений.
Метод анализа уязвимостей может быть качественным или количественным. Он часто включает в
себя отражение вероятности существования уязвимости. Результаты атак могут передаваться в пись
менном отчете, но сами атаки могут быть продемонстрированы.
Для идентификации уязвимостей существует по крайней мере два принципиально различных ме
тода. Один из них основан на анализе, другой - на тестировании. Основанный на тестировании метод
удобен для идентификации существующих уязвимостей, для которых есть известная угроза, включенная в
набор тестов. Основанный на анализе метод является лучшим для идентификации новых уязвимостей и
уязвимостей, недоступных для использования непосредственно, но которые могут стать доступными
после разрешения какой-то другой проблемы. Другими вариантами, которые следует учитывать при вы
боре методологии идентификации уязвимостей, являются качественный и количественный методы.
Следует также учитывать возможность осуществления контроля полноты анализа и тестирования.
7.5.3 ВР.05.02 - Идентифицирует уязвимости
Идентификация уязвимостей безопасности системы.
7.5.3.1 Описание
Уязвимости системы можно обнаружить как в связанных с обеспечением безопасности частях сис
темы. так и в частях, не связанных с ней. Во многих случаях оказывается, что не связанные с безопасно
стью механизмы, поддерживающие функции безопасности или работающие во взаимодействии с меха
низмами безопасности, имеют используемые уязвимости. Методологии сценариев атак, разработанной в
ВР.05.01. надо следовать до тех пор. пока уязвимости не подтвердятся. Все обнаруженные уязвимости
системы должны фиксироваться.
7.5.3.2 Примеры результатов деятельности:
- перечень уязвимостей - описывает уязвимость системы для различных атак:
- профиль проникновения - включает в себя результаты тестирования атак (например, уязвимости).
7.5.3.3 Примечания
В данном практическом приеме уязвимости рассматриваются как внутренне присущие системе без
учета вероятности каких-либо угроз. Приоритеты упорядочения таких уязвимостей могут быть назначены в
соответствии с результатами анализа угрозы. Невоспроизводимые атаки усложняют задачу разработки
контрмер.
Уязвимости идентифицируются частично на основе рисков с назначенными приоритетами из РАОЗ,
и приоритетов деловой деятельности и целей, обозначенных в РАЮ. Кроме того, надо учитывать акти
вы. упоминаемые в РА02.
7.5.4 ВР.05.03 - Собирает данные об уязвимостях
Сбор данных, связанных со свойствами уязвимостей. Назначением этой базовой практики является
сбор данных, связанных с указанными свойствами. В некоторых случаях уязвимость может иметь еди
ницы измерения аналогичные единицам, связанным с угрозами (см. ВР.04.03). Легкость использования
уязвимости и вероятность существования уязвимости следует определять и фиксировать.
7.5.4.2 Примеры результатов деятельности:
- таблицы свойств уязвимости - таблицы, документирующие характеристики продукта или системы.
7.5.4.3 Примечания
34