Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

Страна: Россия

Методическая документация ФСТЭК

4.3.3.3

Для проведения оценки соответствия по документу войдите в систему.

Список требований

4. Проведение исследований по выявлению уязвимостей и недекларированных возможностей
4.3. Динамический анализ объекта оценки (ДАО)
4.3.3. Фаззинг-тестирование ОО (ДАО.2)
Дополнительные требования к исследованиям (усиления)
1. В ходе проведения исследований испытательной лабораторией проверяется, что используемый разработчиком ОО фаззер обеспечивает применение генетических алгоритмов фаззинг-тестирования за счет инструментирования кода в случае, если доступны инструменты, позволяющие осуществлять такое фаззинг-тестирование с учетом языков программирования, компиляторов и среды функционирования ОО. При этом допускается выполнять инструментирование:
как по исходным текстам, так и по бинарному (в том числе промежуточному) представлению;
по бинарному представлению, если модуль, написанный на интерпретируемом языке программирования, компилировался в промежуточное представление или подвергался принудительной компиляции в исполняемый код («Ahead of Time» компиляция).
2. Испытательной лабораторией проверяется выполнение в дополнение к условиям, указанным в других дополнительных требованиях, при фаззинг-тестировании ОО как минимум одного из следующих условий:
а) для фаззеров, подсчитывающих число найденных уникальных путей, число уникальных путей, найденных фаззером, должно не менее чем в два раза превышать число образцов входных данных, поданных на вход фаззеру;
б) для фаззеров, подсчитывающих достигнутое покрытие, процент покрытия, достигнутого фаззером, должен не менее чем в два раза превышать процент покрытия, достигаемый в результате подачи на вход фаззеру стартовых образцов входных данных.
При достижении покрытия по строкам исходного кода не менее 90 % (по базовым блокам не менее 80 %) испытательная лаборатория может не учитывать дальнейший прирост покрытия для принятия решения о завершении фаззинг-тестирования.
3. В ходе проведения исследований испытательной лабораторией проверяется, что для тестируемых модулей с открытым исходным кодом, для которых определены методики фаззинг-тестирования, указанные в подпункте «н» пункта 2.3 настоящей Методики, фаззинг-тестирование выполнено в соответствии с требованиями этих методик.
4. Испытательной лабораторией проверяется, что фаззинг-тестирование выполнялось в отношении специально подготовленных синтетических целей, сформированных с целью эффективного тестирования участков кода, выделенных в ходе выполнения требований усиления 4 ПОД.1.
При фаззинг-тестировании интерфейсов ОО допускается ограничиваться фаззинг-тестированием в отношении специально подготовленных синтетических целей. Достаточность состава выделенных целей определяется испытательной лабораторией непосредственно в ходе проведения исследований ДАО.2 и фиксируется с обоснованием в протоколах исследований.
Функции-обертки обеспечивают вызов тестируемых участков кода целей, конвертируя мутируемые фаззером данные во входные параметры тестируемых функций в соответствии со спецификациями интерфейсов (протоколов), типов данных и контекста выполнения тестируемых функций в составе ОО.
5. Испытательной лабораторией проверяется, что тестирование каждой фаззинг-цели продолжается до состояния, когда в течение не менее двух часов фаззер не находит нового пути или отсутствует прирост покрытия при условии, что на вход подаются уникальные мутированные данные.

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.