Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

В ходе подготовки к проведению исследований по выявлению уязвимостей и НДВ объекта оценки должны выполняться:

В ходе анализа документации и иных исходных данных проверяются исходные данные на соответствие требованиям настоящей Методики в части достоверности, полноты, актуальности, согласованности (отсутствие противоречий).

Входными данными для анализа поверхности атаки являются декларируемые перечни аппаратных, программных и пользовательских интерфейсов, доступных для атаки потенциальным нарушителям.

Анализ поверхности атаки представляет собой следующие действия:

В качестве минимальных требований к полноте поверхности атаки ОО выступают включенные в ее состав подпрограммы (функции):

а) непосредственно доступные для вызова потенциальным нарушителям<3>;

1. Испытательной лабораторией выполняется анализ сборочной среды и системы сборки ОО на предмет наличия инструментов и действий по модификации исходного кода, в том числе интерпретируемого кода, байт-кода или машинного кода ОО, помимо стандартных средств применяемых систем программирования, таких как компилятор и компоновщик.

Разработчик ОО предоставляет описание вносимых модификаций и обосновывает, что они не приводят к возникновению недостатков безопасности ОО. Испытательная лаборатория оценивает представленное описание, в том числе его достоверность, полноту, актуальность, согласованность, и по результатам принимает решение о возможности проведения дальнейших исследований ОО.

2. В ходе исследований проверяется, что при наличии в составе поверхности атаки ОО функций, написанных на интерпретируемых языках программирования или на языках программирования, компилируемых в промежуточное представление, разработчик ОО включил в перечень анализируемых модулей соответствующие модули среды исполнения применяемых языков программирования<8>. При отсутствии в поверхности атаки требуемых модулей среды исполнения испытательная лаборатория самостоятельно добавляет их в перечень анализируемых модулей.

<8> Модули среды исполнения интерпретируемых языков или языков, компилируемых в промежуточное представление, включают в себя интерпретатор или виртуальную машину выполнения промежуточного языка, библиотеки поддержки времени выполнения и стандартные библиотеки в составе виртуальной машины.

3. При проведении исследований проверяется, что разработчик ОО включил в перечень анализируемых модулей модули, реализующие интерфейсы ОО, доступные периодически, в том числе служебные интерфейсы ОО, отвечающие за периодические обновления ОО с удаленных источников. При отсутствии этих модулей испытательная лаборатория самостоятельно добавляет их в перечень анализируемых модулей.

4. Испытательной лабораторией проводится проверка того, что разработчик ОО выделил в подлежащих анализу модулях перечень критичных для безопасности участков кода, в который включил участки кода, взаимодействующие с данными, поступающими от потенциального нарушителя (парсеры, анализаторы, в том числе в составе кода веб-приложений), и имеющие высокую сложность<9>. Разработчик ОО предоставляет обоснование выбора выделенных участков кода с описанием методики оценки сложности кода.

При отсутствии или недостаточной обоснованности выбора испытательная лаборатория самостоятельно корректирует перечень критичных участков кода.

<9> Для оценки сложности кода должна использоваться одна из известных метрик, например, цикломатическая сложность программы (цикломатическое число Мак-Кейба), мера Холстеда, мера Овиедо и другие метрики.

5. В ходе исследований проверяется полнота перечня анализируемых модулей с использованием инструментальных средств определения поверхности атаки. При выявлении неполноты испытательная лаборатория самостоятельно расширяет состав анализируемых модулей.

На основе собранных и проанализированных сведений испытательной лабораторией разрабатывается методика проведения исследований в соответствии с Положением о системе сертификации средств защиты информации, утвержденным приказом ФСТЭК России от 3 апреля 2018 г. № 55. В методике по каждому виду исследований определяются состав и содержание исследований, средства анализа и их настройки, указывается конкретный порядок действий, выполняемых в ходе реализации соответствующих исследований, учитывающий особенности ОО, в том числе особенности, связанные с языками программирования, на которых написан ОО, составом реализуемых ОО ФБ, составом механизмов защиты от исследований, реализованных в ОО, типами внешних интерфейсов ОО, иные архитектурные особенности ОО, влияющие на порядок проведения исследований.

В методике проведения исследований (или протоколе исследований) приводится описание поверхности атаки в графической нотации в объеме сущностей не меньшем, чем:

Также указываются как минимум следующие характеристики модулей:

Каждая операционная система, составляющая среду функционирования, формирует собственное семейство сред функционирования. Отнесение к семейству среды функционирования для сред, реализованных в формате средства контейнеризации, определяется парой «базовая технология средства контейнеризации — операционная система», в которой функционирует средство контейнеризации. Отнесение к семейству среды функционирования для сред, реализованных в формате средства виртуализации, определяется базовой технологией средства виртуализации.

Испытательной лабораторией выполняется контролируемая сборка дистрибутивов ОО с целью выявления:

В случае выявления указанных фактов испытательная лаборатория расценивает их в качестве недостатков безопасности ОО и принимает решение о невозможности проведения дальнейших исследований ОО.

При подготовке исследовательского стенда проводятся проверки в отношении того, что:

В ходе установки ОО в среду функционирования и его настройки проводится контроль отсутствия недекларированных взаимодействий ОО с сетевыми ресурсами и ресурсами среды функционирования.

По результатам установки ОО проверяется, что был выполнен антивирусный контроль ОО. Антивирусный контроль ОО предусматривает анализ дистрибутива ОО, всех файлов установленного ОО, а также среды функционирования с использованием не менее двух сертифицированных средств антивирусной защиты от различных разработчиков с актуальными на момент проведения контроля базами данных признаков вредоносных компьютерных программ (вирусов). В случае отсутствия для среды функционирования ОО сертифицированных средств антивирусной защиты, могут применяться иные средства антивирусной защиты.

Затем проводится сравнение контрольных сумм дистрибутива ОО и исполняемых файлов установленного ОО с контрольными суммами, зафиксированными в документации ОО. Контрольные суммы должны быть рассчитаны в соответствии с национальным стандартом Российской Федерации ГОСТ 34.11-2012 «Информационная технология. Криптографическая защита информации. Функции хэширования» (алгоритм «Стрибог»). Контрольное суммирование выполняется средствами сертифицированной операционной системы либо сертифицированным средством контрольного суммирования.

В случае реализации ОО с использованием технологий контейнеризации и (или) виртуализации, контрольные суммы исполняемых файлов ОО рассчитываются относительно снимков состояния (снапшотов) файловых систем выполняющихся контейнеров и (или) виртуальных машин.

2. Исследовательский стенд должен обеспечивать проведение динамического анализа ОО для каждой процессорной архитектуры среды функционирования ОО.

По результатам подготовки исследовательского стенда в документации и акте отбора образцов ОО после завершения исследований ОО фиксируются значения контрольных сумм дистрибутива, исполняемых файлов и файлов исходных текстов (в соответствии с уровнем контроля) ОО.