Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

Испытательной лабораторией самостоятельно собираются и анализируются материалы из общедоступных источников (публикации разработчика, пользователей и исследователей об ОО и его заимствованных компонентах, базы данных уязвимостей, сведения о типовых уязвимостях и ошибках, тематические информационные ресурсы) о недостатках (слабостях) и уязвимостях как самого ОО, так и аналогичного по архитектуре программного обеспечения в дополнение к исходным данным, предоставленным разработчиком ОО. В качестве источников информации о типовых недостатках (слабостях) и уязвимостях следует использовать в том числе:

Если предоставленные разработчиком ОО исходные данные отвечают требованиям, то испытательная лаборатория должна:

Если предоставленные разработчиком результаты анализа архитектуры ОО статическими методами не отвечают требованиям, испытательная лаборатория проводит анализ архитектуры статическими методамисамостоятельно, в соответствии с требованиями настоящей Методики либо принимает решение о невозможности проведения дальнейших исследований ОО.

В целях выявления НДВ, компрометирующих конструкций, недостатков архитектуры и кода должен проводится анализ комментариев в исходном коде ОО.

Испытательной лабораторией самостоятельно анализируются:

Проводится оценка соответствия конфигураций запуска отдельных контейнеров и групп (сетей) контейнеров, составляющих ОО в контейнерном исполнении, публично доступным рекомендациям по безопасности и минимизации полномочий (например, рекомендации ФСТЭК России, CIS, Kubernetes Security Best Practices и другие рекомендации), в том числе:

а) для ОО в контейнерном исполнении обеспечивается запуск контейнеров с полномочиями, минимально необходимыми для функционирования ОО, на уровне процессов хостовой операционной системы;