Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

Анализ архитектуры ОО включает:

При выполнении всех видов анализа архитектуры ОО анализируются полномочия (права, привилегии, разрешения, политики и другие)<10> ОО и его составных частей (файлов, модулей, процессов и других, в том числе в отношении интерпретаторов, веб-серверов и серверов приложений), назначенные в соответствии с руководством по безопасной установке и настройке ОО и его составных частей, а также руководствами администратора и пользователя из состава эксплуатационной документации ОО.

В ходе анализа архитектуры контролируется назначение ОО и его составным частям полномочий, минимально необходимых для функционирования ОО. Выявленные избыточные полномочия ОО и его составных частей рассматриваются в качестве недостатков безопасности ОО.

Испытательной лабораторией самостоятельно собираются и анализируются материалы из общедоступных источников (публикации разработчика, пользователей и исследователей об ОО и его заимствованных компонентах, базы данных уязвимостей, сведения о типовых уязвимостях и ошибках, тематические информационные ресурсы) о недостатках (слабостях) и уязвимостях как самого ОО, так и аналогичного по архитектуре программного обеспечения в дополнение к исходным данным, предоставленным разработчиком ОО. В качестве источников информации о типовых недостатках (слабостях) и уязвимостях следует использовать в том числе:

Если предоставленные разработчиком ОО исходные данные отвечают требованиям, то испытательная лаборатория должна:

Если предоставленные разработчиком результаты анализа архитектуры ОО статическими методами не отвечают требованиям, испытательная лаборатория проводит анализ архитектуры статическими методамисамостоятельно, в соответствии с требованиями настоящей Методики либо принимает решение о невозможности проведения дальнейших исследований ОО.

В целях выявления НДВ, компрометирующих конструкций, недостатков архитектуры и кода должен проводится анализ комментариев в исходном коде ОО.

Испытательной лабораторией самостоятельно анализируются:

Проводится оценка соответствия конфигураций запуска отдельных контейнеров и групп (сетей) контейнеров, составляющих ОО в контейнерном исполнении, публично доступным рекомендациям по безопасности и минимизации полномочий (например, рекомендации ФСТЭК России, CIS, Kubernetes Security Best Practices и другие рекомендации), в том числе:

а) для ОО в контейнерном исполнении обеспечивается запуск контейнеров с полномочиями, минимально необходимыми для функционирования ОО, на уровне процессов хостовой операционной системы;

1. Испытательной лабораторией анализируется перечень программных компонентов и иные результаты композиционного анализа в части поиска известных уязвимостей привлекаемых компонентов среды функционирования ОО за исключением компонентов системы сборки и сборочной среды ОО.

2. В ходе исследований контролируются наличие в составе ОО кода (либо генераторов такового кода), выполняющегося в контексте браузера (например, JavaScript, ActiveX, WebAssembly и других), а также учет кода в перечне программных компонентов и выполнение разработчиком в отношении него композиционного анализа.

Выявление динамической загрузки кода в контекст браузера не из состава (либо результатов генерации) ОО требуется расценивать в качестве основания для прекращения исследований ОО.

Выявление возможностей взаимодействия кода со стандартными интерфейсами доступа к камере, микрофону, экрану, уведомлениям, геопозиции, буферу обмена, методам оплаты и прочим требуется расценивать в качестве недостатка безопасности ОО.

3. Испытательной лабораторией анализируются конфигурации систем сборки и сборочных сред ОО и его компонентов на предмет использования применимых опций конфигурирования, компиляции и компоновки ОО, повышающих безопасность исполняемого кода ОО<11> в том числе за счет минимизации объема исполняемого кода ОО.

Испытательная лаборатория учитывает отсутствие выбора и использования указанных опций в качестве недостатка безопасности ОО.

Испытательной лабораторией выполняется не менее трех различных сценариев функционирования ОО с контролем сетевой активности ОО с целью выявления утечек чувствительных данных (например, учетные записи и пароли, приватные ключи и другие данные) и НДВ. Примерами сценариев являются: создание учетной записи пользователя и ее редактирование, изменение набора правил фильтрации сетевого трафика, выполнение антивирусного анализа файла и другие сценарии. При выборе сценариев следует отдавать предпочтение сценариям, затрагивающим порождение (модификацию) чувствительных данных, выполнение административных функций, а также предполагающих взаимодействие с подсистемами, расположенными на различных узлах сети.

При проведении исследований выполняется анализ сетевых интерфейсов ОО, составляющих поверхность атаки, с использованием анализаторов безопасности, предполагающих запуск сценариев, реализующих логику автоматизированного определения недостатков безопасности ОО.

1. В ходе исследований анализируются рекомендованные ФСТЭК России либо применяемые разработчиком ОО методы автоматизированного динамического анализа, направленные на подтверждение устойчивости ОО к специфическим для данного типа ОО угрозам<12>.

Испытательной лабораторией выполняется автоматизированный динамический анализ ОО, направленный на подтверждение устойчивости СЗИ к специфическим угрозам, выбранным подмножеством методов. Испытательная лаборатория предоставляет инструменты анализа и может привлекать разработчика ОО для организации и проведения анализа.