ГОСТ Р 54582—2011
6.34.3 Источники
См. [33].
6.35 Испытание проникновением
O
6.35.1 Цель
Испытание эффективности внедренных функций обеспечения безопасности попыткой преодоле-
ния мер безопасности.
6.35.2 Описание
Испытание проникновением проводится для анализа эффективности функций обеспечения без-
опасности. Испытание проникновением проводится после успешного завершения тестов на коррект-
ность. Испытание проникновением распространяется на продукты, которые являются правильными, но
не защищены.
Целью испытания проникновением является обнаружение уязвимостей продукта. Уязвимости
подразделяют на уязвимости в конструкции и эксплуатационные уязвимости. Возможными уязвимо-
стями являются вредоносные части продукта или скрытые каналы. Уязвимости могут появляться не-
посредственно при запуске системы или позднее, при введении в ее действие специальных входных
данных. Последний сценарий позволяет осуществлять запланированные атаки на систему в любое
время ее функционирования. Уязвимости могут появляться непосредственно при запуске системы или
позднее, при введении в систему специальных входных данных. Следовательно, все части продукта
должны помечаться как потенциально опасные. Уязвимости активизируются в основном редкими и не-
ожиданными, чаще всего неявными (скрытыми) входными данными.
План и методики испытания проникновением специфицируются на основе результатов анализа
безопасности продукта. Анализ безопасности является подтверждением наличия уязвимости без про-
ведения испытания проникновением. В плане испытаний специфицируются атаки, которые должны
быть включены в методики испытаний. Испытание проникновением является попыткой обойти функции
защиты продукта. Проникновение является результатом успешного использования уязвимости.
Стратегиями «черного ящика» в испытании проникновением являются обнаружение «троянского
коня», генерирование критических входных данных и мониторинг утверждений. Стратегии генериро-
вания критических входных данных включают в себя усечение входного потока данных, переполнение
входного буфера и добавление ненужных данных к входным, ввод вредоносных команд и тестирование в
предельных режимах. Стратегии «прозрачного ящика» включают в себя применение плохо специфи-
цированного, использованного и документированного кода, внесение неисправностей и основанный на
коде мониторинг утверждений.
6.35.3 Источники
См. [49].
6.36 Аттестация персонала (в общем)
O
37
6.36.1 Цель
Обеспечение квалификации персонала, достаточной для выполнения стадии эксплуатации си-
стем ИКТ.
6.36.2 Описание
Аттестация персонала является организационным процессом, обеспечивающим доверие к пер-
соналу и поддержание этого доверия (например, посредством обеспечения и гарантирования непре-
рывного обучения).
Аттестация персонала, адаптированная к эксплуатации ИКТ, включает в себя гарантирование
приемлемого для ИКТ обучения, квалификации и опыта. Аттестация может также включать в себя га-
рантирование физических возможностей, психологической стабильности и моральных качеств отдель-
ного лица применительно к эксплуатации ИКТ, особо учитывая аспект безопасности. Опыт в области
обеспечения безопасности ИКТ может послужить дополнением к общей квалификации в области ИКТ и
быть ее частью.