Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

Страна: Россия

Методическая документация ФСТЭК

4.2.3

Для проведения оценки соответствия по документу войдите в систему.

Список требований

4. Проведение исследований по выявлению уязвимостей и недекларированных возможностей
4.2. Статический анализ объекта оценки (САО)
Требования к проведению исследования
При проведении статического анализа оцениваются исходные данные согласно пункту 3.1 настоящей Методики, а также проводится оценка реализации следующих требований:
а) статический анализ выполняется разработчиком ОО в отношении исходного кода всех модулей, составляющих поверхность атаки ОО;
б) статический анализ выполняется разработчиком для всех высокоуровневых языков программирования, которые встречаются в исходном коде модулей<13>;
в) используется статический анализатор, реализующий метод автоматизированного анализа исходного кода на уровне синтаксического дерева;
г) используются конфигурации статического анализатора, учитывающие специфику используемых в ОО языков программирования и заимствуемых модулей ОО;
д) выполняется статический анализ исходного кода, который штатным образом строится (генерируется) непосредственно в процессе функционирования ОО, транслируется (компилируется) и выполняется как часть ОО. Выбранные для проведения статического анализа конфигурации генератора исходного кода и средств трансляции (компиляции) обосновываются разработчиком ОО и должны соответствовать типовому сценарию функционирования ОО<14>;
е) разработчиком ОО выполнена ручная разметка всех выданных анализатором предупреждений о критических ошибках в соответствии с классификацией национального стандарта Российской Федерации ГОСТ Р 71207-2024 «Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования»;
ж) разработчиком ОО выполнена ручная разметка всех выданных анализатором предупреждений, предусмотренных планом поддержки безопасности заимствованных компонентов (в случае внесения изменения в сертифицированный ОО);
з) разработчиком ОО выполнена ручная разметка всех выданных анализатором предупреждений, предусмотренных программой исследований безопасности модулей с открытым исходным кодом Центра исследований, если разработчик ОО выполняет исследование модулей ОО в рамках деятельности Центра исследований.

<13> Не требуется проведение статического анализа исходного кода, написанного на языках разметки (например, html, css3, xaml и т.п.), не требуется проведение статического анализа исходного кода, написанного на языке ассемблера.
<14> Для трансляции (компиляции) используются средства как среды функционирования ОО, так и средства, включенные в состав ОО.
Испытательной лабораторией оценивается объем кода из состава подлежащих статическому анализу модулей ОО, в отношении которого не выполнены требования пункта 4.2 настоящей Методики.
Если разработчик ОО выполняет исследование модулей ОО в рамках деятельности Центра исследований и в ходе исследования ОО выполнил статический анализ подлежащих статическому анализу модулей ОО в объеме программы исследований безопасности, то требования пункта 4.2 настоящей Методики в отношении данных модулей считаются выполненными.
В противном случае испытательная лаборатория может выполнить статический анализ кода самостоятельно в соответствии с требованиями настоящей Методики либо принять решение о невозможности проведения дальнейших исследований ОО. Если суммарный объем такого кода не превосходит 10 000 строк, допускается вместо статического анализа выполнить экспертизу участков исходного кода ОО (ЭКО).
Если предоставленные разработчиком ОО исходные данные отвечают требованиям настоящего пункта Методики, испытательная лаборатория проводит выборочную проверку разметки результатов статического анализа из состава исходных данных. Выборочная проверка выполняется в отношении контрольной выборки предупреждений, составленной по следующему принципу:
в состав выборки включается не менее чем 20 предупреждений о критических ошибках для каждого из проанализированных языков программирования высокого уровня;
в состав выборки включаются предупреждения, относящиеся не менее чем к 5 подлежащим анализу модулям;
в состав выборки включается не менее 10 предупреждений от каждого из использованных статических анализаторов;
для каждого из использованных статических анализаторов в состав выборки включаются предупреждения различных типов.
При составлении контрольной выборки предупреждений следует руководствоваться следующими приоритетами:
«истинные, не требующие исправления», в первую очередь;
«ложноположительные», во вторую очередь;
в порядке убывания определенного анализатором уровня критичности предупреждений.
Если доля неверно размеченных разработчиком предупреждений в составе контрольной выборки не превосходит 10 %, исследования ОО продолжаются после устранения разработчиком выявленных недостатков безопасности ОО.
Если доля неверно размеченных разработчиком ОО предупреждений превосходит 10 %, испытательной лабораторией выполняется статический анализ кода самостоятельно в соответствии с требованиями настоящей Методики либо принимается решение о невозможности проведения дальнейших исследований ОО.
Испытательной лабораторией самостоятельно выполняется статический анализ исходного кода не менее чем 5 различных модулей, составляющих поверхность атаки ОО, в объеме не менее чем по 10 предупреждений для каждого высокоуровневого языка программирования в составе исходных кодов модулей. Испытательная лаборатория может использовать любой инструмент статического анализа, соответствующий требованиям Методики<15>.

<15> Инструмент статического анализа предоставляется испытательной лабораторией, встраивание инструмента в исследовательский стенд осуществляется на этапе подготовки исследовательского стенда (ПОД.2).

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.