Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

Страна: Россия

Методическая документация ФСТЭК

4.2

Для проведения оценки соответствия по документу войдите в систему.

Список требований

4. Проведение исследований по выявлению уязвимостей и недекларированных возможностей
4.2. Статический анализ объекта оценки (САО)
Перечень исследований при проведении статического анализа ОО представлен в таблице 3.
Шифр
САО
Наименование исследования
Статический анализ исходных кодов ОО
Уровень контроля
6:
5: +
4: 1, 2, 3
Примечание:
«+» – исследования подлежат выполнению для соответствующего уровня контроля;
«цифра» – дополнительные требования к исследованиям для соответствующего уровня контроля
Задачей исследования является выявление недостатков безопасности ОО самостоятельно и в результате анализа результатов выполнения процессов разработки ОО в соответствии с ГОСТ Р 56939-2024 методами и инструментами статического анализа исходного кода.
Исходными данными при проведении исследования являются:
- исходные данные в соответствии с требованиями пункта 2.3 настоящей Методики, в первую очередь подпункта «б» пункта 2.3 настоящей Методики;
- сведения, полученные по результатам выполнения ПОД.1;
- испытательный стенд, полученный по результатам выполнения ПОД.2;
- план по разметке предупреждений статического анализатора по результатам предыдущих исследований ОО (если применимо).
Требования к проведению исследования
При проведении статического анализа оцениваются исходные данные согласно пункту 3.1 настоящей Методики, а также проводится оценка реализации следующих требований:
а) статический анализ выполняется разработчиком ОО в отношении исходного кода всех модулей, составляющих поверхность атаки ОО;
б) статический анализ выполняется разработчиком для всех высокоуровневых языков программирования, которые встречаются в исходном коде модулей<13>;
в) используется статический анализатор, реализующий метод автоматизированного анализа исходного кода на уровне синтаксического дерева;
г) используются конфигурации статического анализатора, учитывающие специфику используемых в ОО языков программирования и заимствуемых модулей ОО;
д) выполняется статический анализ исходного кода, который штатным образом строится (генерируется) непосредственно в процессе функционирования ОО, транслируется (компилируется) и выполняется как часть ОО. Выбранные для проведения статического анализа конфигурации генератора исходного кода и средств трансляции (компиляции) обосновываются разработчиком ОО и должны соответствовать типовому сценарию функционирования ОО<14>;
е) разработчиком ОО выполнена ручная разметка всех выданных анализатором предупреждений о критических ошибках в соответствии с классификацией национального стандарта Российской Федерации ГОСТ Р 71207-2024 «Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования»;
ж) разработчиком ОО выполнена ручная разметка всех выданных анализатором предупреждений, предусмотренных планом поддержки безопасности заимствованных компонентов (в случае внесения изменения в сертифицированный ОО);
з) разработчиком ОО выполнена ручная разметка всех выданных анализатором предупреждений, предусмотренных программой исследований безопасности модулей с открытым исходным кодом Центра исследований, если разработчик ОО выполняет исследование модулей ОО в рамках деятельности Центра исследований.

<13> Не требуется проведение статического анализа исходного кода, написанного на языках разметки (например, html, css3, xaml и т.п.), не требуется проведение статического анализа исходного кода, написанного на языке ассемблера.
<14> Для трансляции (компиляции) используются средства как среды функционирования ОО, так и средства, включенные в состав ОО.
Испытательной лабораторией оценивается объем кода из состава подлежащих статическому анализу модулей ОО, в отношении которого не выполнены требования пункта 4.2 настоящей Методики.
Если разработчик ОО выполняет исследование модулей ОО в рамках деятельности Центра исследований и в ходе исследования ОО выполнил статический анализ подлежащих статическому анализу модулей ОО в объеме программы исследований безопасности, то требования пункта 4.2 настоящей Методики в отношении данных модулей считаются выполненными.
В противном случае испытательная лаборатория может выполнить статический анализ кода самостоятельно в соответствии с требованиями настоящей Методики либо принять решение о невозможности проведения дальнейших исследований ОО. Если суммарный объем такого кода не превосходит 10 000 строк, допускается вместо статического анализа выполнить экспертизу участков исходного кода ОО (ЭКО).
Если предоставленные разработчиком ОО исходные данные отвечают требованиям настоящего пункта Методики, испытательная лаборатория проводит выборочную проверку разметки результатов статического анализа из состава исходных данных. Выборочная проверка выполняется в отношении контрольной выборки предупреждений, составленной по следующему принципу:
в состав выборки включается не менее чем 20 предупреждений о критических ошибках для каждого из проанализированных языков программирования высокого уровня;
в состав выборки включаются предупреждения, относящиеся не менее чем к 5 подлежащим анализу модулям;
в состав выборки включается не менее 10 предупреждений от каждого из использованных статических анализаторов;
для каждого из использованных статических анализаторов в состав выборки включаются предупреждения различных типов.
При составлении контрольной выборки предупреждений следует руководствоваться следующими приоритетами:
«истинные, не требующие исправления», в первую очередь;
«ложноположительные», во вторую очередь;
в порядке убывания определенного анализатором уровня критичности предупреждений.
Если доля неверно размеченных разработчиком предупреждений в составе контрольной выборки не превосходит 10 %, исследования ОО продолжаются после устранения разработчиком выявленных недостатков безопасности ОО.
Если доля неверно размеченных разработчиком ОО предупреждений превосходит 10 %, испытательной лабораторией выполняется статический анализ кода самостоятельно в соответствии с требованиями настоящей Методики либо принимается решение о невозможности проведения дальнейших исследований ОО.
Испытательной лабораторией самостоятельно выполняется статический анализ исходного кода не менее чем 5 различных модулей, составляющих поверхность атаки ОО, в объеме не менее чем по 10 предупреждений для каждого высокоуровневого языка программирования в составе исходных кодов модулей. Испытательная лаборатория может использовать любой инструмент статического анализа, соответствующий требованиям Методики<15>.

<15> Инструмент статического анализа предоставляется испытательной лабораторией, встраивание инструмента в исследовательский стенд осуществляется на этапе подготовки исследовательского стенда (ПОД.2).
Дополнительные требования к исследованиям (усиления)
1. В ходе исследований испытательной лабораторией проверяется, что состав анализируемых модулей дополнен модулями, реализующими ФБ ОО.
2. Испытательной лабораторией проверяется, что используемый статический анализатор отвечает требованиям национального стандарта Российской Федерации ГОСТ Р 71207-2024 «Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования».
3. В ходе исследований испытательной лабораторией проверяется, что для подлежащих статическому анализу модулей с открытым исходным кодом, для которых определены методики статического анализа, указанные в подпункте «л» пункта 2.3 настоящей Методики, статический анализ выполнен в соответствии с требованиями этих методик.
Требования к результатам исследования
Если предоставленные разработчиком ОО результаты статического анализа исходного кода ОО, проводимого при разработке безопасного ПО, соответствуют требованиям пунктов 3.1 и 2.3 настоящей Методики, испытательной лаборатории допускается повторно использовать результаты анализа при оформлении материалов исследований.
Результаты исследований фиксируются в материалах исследований в объеме, соответствующем требованиям пункта 5.2 настоящей Методики. Дополнительно требуется зафиксировать в материалах исследований в формате электронных приложений:
- конфигурации инструментов статического анализа, в том числе состав выборки проверяемых предупреждений;
- машиночитаемые результаты статического анализа (база данных и иные формы представления) и результаты разметки;
- исправления (патчи) истинных предупреждений либо иные свидетельства применения исправлений (патчей);
- список модулей ОО, содержащих участки исходного кода, написанные с использованием подлежащих статическому анализу языков программирования, не поддерживаемых используемыми статическими анализаторами, либо содержащих ассемблерные вставки или целиком написанных на языке ассемблера, а также наименование неподдерживаемого языка программирования (языка ассемблера), и объем кода в строках на неподдерживаемом языке (языке ассемблера).
Содержание САО:
Наименование исследования
САО
Уровень контроля
6:
5: +
4: +
Наименование исследования
Дополнительные требования к САО
Уровень контроля
6:
5:
4: 1, 2, 3

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.