ДСТУ ISO/IEC TR 20004:2017 Інформаційні технології. Методи захисту. Уточнений аналіз вразливості програмного забезпечення згідно з ISO/IEC 15408 та ISO/IEC 18045 (ISO/IEC TR 20004:2015, IDT)

Даний документ доступний у тарифі «ВСЕ ВРАХОВАНО»

У Вас є питання стосовно документа? Ми раді на них відповісти!Перелік безкоштовних документівПомітили помилку в документі або на сайті? Будь ласка, напишіть нам про це!Залишити заявку на документ

НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

ДСТУ ISO/IEC TR 20004:2017
(ISO/IEC TR 20004:2015, IDT)

Інформаційні технології
МЕТОДИ ЗАХИСТУ
Уточнений аналіз вразливості програмного забезпечення згідно з ISO/IEC 15408 та ISO/IEC 18045

Відповідає офіційному тексту

З питань придбання
офіційного видання звертайтесь до національного органу
стандартизації (ДП «УкрНДНЦ» http://uas.gov.ua)

ПЕРЕДМОВА

1 РОЗРОБЛЕНО: Міжнародний науково-навчальний центр інформаційних технологій та систем НАН та МОН України (Міжнародний Центр) та Технічний комітет стандартизації «Інформаційні технології» (ТК 20)

2 ПРИЙНЯТО ТА НАДАНО ЧИННОСТІ: наказ Державного підприємства «Український науково- дослідний і навчальний центр проблем стандартизації, сертифікації та якості» (ДП «УкрНДНЦ») від 06 грудня 2017 р. № 399 з 2019-01-01

3 Національний стандарт відповідає ISO/IEC TR 20004 Information technology — Security techniques — Refining software vulnerability analysis under ISO/IEC 15408 and ISO/IEC 18045 (Інформаційні технології. Методи захисту. Уточнений аналіз вразливості програмного забезпечення згідно з ISO/IEC 15408 та ISO/IEC 18045)

Ступінь відповідності — ідентичний (IDT)

Переклад з англійської (en)

4 Цей стандарт розроблено згідно з правилами, встановленими в національній стандартизації України

5 УВЕДЕНО ВПЕРШЕ

Право власності на цей національний стандарт належить державі.
Заборонено повністю чи частково видавати, відтворювати задля розповсюдження і розповсюджувати
як офіційне видання цей національний стандарт або його частини на
будь-яких носіях інформації без дозволу ДП «УкрНДНЦ» чи уповноваженої ним особи

ДП «УкрНДНЦ», 2022

ЗМІСТ

Національний вступ

Вступ до ISO/IEC TR 20004:2015

1 Сфера застосування

2 Терміни та визначення понять

3 Скорочення

4 Фоновий контекст

5 Показники оцінки вразливості

5.1 Визначення релевантних потенційних вразливостей

5.1.1 Виявлення релевантних недоліків та моделей атак з наявною структурованою гарантійною справою.

5.1.2 Виявлення релевантних недоліків та моделей атак з публічних джерел

5.2 Оцінка сприйнятливості TOE до атаки

5.2.1 Проектування та специфікація випробування безпеки/проникнення

5.2.2 Виконання та документування випробування безпеки/проникнення

5.3 Звіт про вразливості, які можна використати

Бібліографія

Додаток НА (довідковий) Перелік національних стандартів, ідентичних або модифікованих з міжнародними стандартами, посилання на які є в цьому стандарті

НАЦІОНАЛЬНИЙ ВСТУП

Цей національний стандарт ДСТУ ISO/IEC TR 20004:2017 «Інформаційні технології. Методи захисту. Уточнений аналіз вразливості програмного забезпечення згідно з ISO/IEC 15408 та ISO/IEC 18045» прийнятий методом перекладу, — ідентичний щодо ISO/IEC TR 20004:2015 «Information technology — Security techniques — Refining software vulnerability analysis under ISO/IEC 15408 and ISO/IEC 18045» (версія en).

Технічний комітет стандартизації, відповідальний за цей стандарт в Україні, — ТК 20 «Інформаційні технології».

У цьому національному стандарті зазначено вимоги, які не суперечать законодавству України.

До стандарту внесено такі редакційні зміни:

— слова «цей технічний звіт» і «цей документ» замінено на «цей стандарт»;

— структурні елементи стандарту: «Титульний аркуш», «Національний вступ», першу сторінку — оформлено згідно з вимогами національної стандартизації України;

— у розділі «Бібліографія» наведено «Національне пояснення», виділене рамкою;

— вилучено «Передмову» до ISO/IEC TR 20004:2015 як таку, що безпосередньо не стосується змісту цього стандарту;

— долучено довідковий додаток НА (Перелік національних стандартів України, ідентичних або модифікованих з міжнародними стандартами, посилання на які є в цьому стандарті).

Копії нормативних документів, на які є посилання в цьому стандарті, можна замовити в Національному фонді нормативних документів.

ВСТУП до ISO/IEC TR 20004:2015

Цей стандарт має призначення забезпечити додаткове уточнення, деталізацію та настанову до показників аналізу вразливості, схематично викладених в ISO/IEC 18045:2008 для елементів програмного забезпечення (ПЗ) TOE. Особливо він призначений для додаткового уточнення та прояснення настанов «Потенційна ідентифікація вразливості від публічних джерел» (AVA_VAN.1.2E/2.2E/3.2E/4.2E) та «Випробування проникнення» (AVA_VAN.1.3E/2.4E/3.4E/4.4E) для дій оцінювача, які наразі неточні стосовно пошуку, визначення та тестування релевантних потенційних вразливостей. Цей стандарт надає настанову щодо підходу, щоб цілеспрямовано шукати, виявляти, фільтрувати та випробовувати потенційні вразливості, використовуючи ресурси спеціальних ad hoc міжнародних стандартів для недоліків ПЗ та моделей атак. Набір релевантних недоліків ПЗ та моделей атак, виявлених за допомогою цих настанов, представляють мінімальний набір для аналізу згідно з серією гарантій AVA_VAN (the AVA_VAN assurance family) в оцінюванні ISO/IEC 15408.

Додаткові недоліки та моделі атак можуть бути визначені релевантно до конкретних національних схем, технічних спільнот, асоційованих профілів захисту або інших джерел. Використовуючи ці стандартні структуровані ресурси, визначений тут підхід має додаткову перевагу, будучи так само придатним для процесу розвитку TOE, як і до процесу оцінки безпеки TOE. Це означає, що релевантні недоліки та моделі атак виявляються та випробовуються під час розвитку, чи визначені ad hoc або як частина структурованої гарантійної справи, можуть забезпечити головний початковий зразок для множини релевантних недоліків та моделей атак конкретного TOE для використання при оцінюванні безпеки.

Цей стандарт призначений для використання разом з ISO/IEC 18045 та як доповнення до нього.

У цьому стандарті не розглянуто всі можливі методи аналізу вразливості, зокрема ті, які виходять за межі діяльності сфери застосування, викладеної в ISO/IEC 18045. Він використовує «Загальний перелік недоліків» (common weakness enumeration, CWE) та «Загальний перелік і класифікацію моделей атак» (common attack pattern enumeration and classification, CAPEC) для виявлення можливих атак. Це не виключає використання оцінювачами інших відповідних ідентифікаційних ресурсів.

Цільовою аудиторією цього стандарту є оцінювачі, які застосовують ISO/IEC 15408 та сертифікати підтвердження дій оцінювача, розробники, автори PP/ST (разом із технічними спільнотами), спонсори оцінювача та інші сторони, зацікавлені в безпеці IT.

Цей стандарт визнає, що не на всі питання, пов’язані з оцінкою безпеки IT, будуть відповіді, і потрібні подальші інтерпретації. Окремі схеми будуть визначати, як поводитися з такими інтерпретаціями та іншими настановами, хоча вони можуть бути предметом взаємної угоди про визнання.

ДСТУ ISO/IEC TR 20004:2017

НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ
МЕТОДИ ЗАХИСТУ
Уточнений аналіз вразливості програмного забезпечення
згідно з ISO/IEC 15408 та ISO/IEC 18045

INFORMATION TECHNOLOGY
SECURITY TECHNIQUES
Refining software vulnerability analysis
under ISO/IEC 15408 and ISO/IEC 18045

Чинний від 2019-01-01

1 СФЕРА ЗАСТОСУВАННЯ

Цей стандарт уточнює показники серії гарантій AVA_VAN, визначені в ISO/IEC 18045, та надає більш конкретні настанови щодо ідентифікації, відбору та оцінювання релевантних потенційних вразливостей для проведення оцінки за ISO/IEC 15048 програмного забезпечення як предмету оцінки. В цьому стандарті використано загальнодоступні ресурси інформаційної безпеки для підтримки методу визначення сфери застосування та впровадження дій з аналізу вразливості ISO/IEC 18045. Стандарт використовує загальний перелік недоліків (CWE) та загальний перелік і класифікацію моделей атак (CAPEC), але не виключає використання будь-яких інших відповідних ресурсів. Окрім цього, цей стандарт не призначений для розгляду всіх можливих методів аналізу вразливості, зокрема тих, які не входять в сферу діяльності, окреслену в ISO/IEC 18045.

Цей стандарт не визначає дії оцінювача для деяких компонентів ISO/IEC 15408 щодо високого рівня гарантування, для яких поки що немає загальноприйнятих настанов.

2 ТЕРМІНИ ТА ВИЗНАЧЕННЯ ПОНЯТЬ

У цьому стандарті вжито такі терміни та визначення позначених ними понять:

2.1 гарантійна справа (assurance case)

Структурований набір претензій, аргументів та відповідний корпус доказів, щоб продемонструвати, що система задовольняє конкретним вимогам щодо їх властивостей безпеки

2.2 моделі атаки (attack pattern)

Абстрагований підхід, який використано для атаки програмного забезпечення

2.3 потенціал атаки (attack potential)

Міра зусиль, витрачених на атакування TOE, виражених у термінах експертизи, ресурсів та мотивації атакувальника

[Джерело: ISO/IEC 15408-1:2009, 3.1.5]

2.4 підтверджувати (confirm)

Заявляти про те, що щось було детально переглянуто з незалежним визначенням достатності

Примітка. Рівень суворості вимог залежить від характеру предмету. Цей термін застосовний лише до дій оцінювача.

[Джерело: ISO/IEC 15408-1:2009, 3.1.14]

2.5 вразливість CVE (CVE vulnerability)

Вразливість, зазначена в CVE

2.6 встановлювати (determine)

Стверджувати конкретний висновок, що ґрунтується на незалежному аналізі з метою досягнення конкретного висновку

Примітка. Використання цього терміну передбачає справді незалежний аналіз, зазвичай за відсутності попереднього виконаного аналізу. Порівняно з термінами «підтверджувати» (confirm) чи «перевіряти» (verify) — це означає, що аналіз вже виконано, що потрібно його розглянути.

[Джерело: ISO/IEC 15408-1:2009, 3.1.22]

2.7 зустрінуті потенційні вразливості (encountered potential vulnerabilities)

Потенційний недолік в TOE, визначений оцінювачем під час проведення оцінки показників, який може бути використано для порушення SFR

[Джерело: ISO/IEC 15408-1:2009, 3.5.2]

2.8 оцінка (evaluation)

Результат оцінювання (assessment) PP, ST або TOE відповідно до визначених критеріїв

[Джерело: ISO/IEC 15408-1:2009, 3.1.26]

2.9 вразливість, яку можна використати (exploitable vulnerability)

Недолік в TOE, який може бути використано для порушення SFR в операційному середовищі TOE

[Джерело: ISO/IEC 15408-1:2009, 3.5.3]

2.10 потенційна вразливість (potential vulnerability)

Підозрюваний, але не підтверджений недолік.

Примітка. Підозра є через гіпотетичну атаку через порушення SFR.

[Джерело: ISO/IEC 15408-1:2009, 3.5.5]

2.11 профіль захисту (Protection Profile)

Незалежне від виконання твердження про потреби безпеки для типу TOE

[Джерело: ISO/IEC 15408-1:2009, 3.1.52]

2.12 залишкова вразливість (residual vulnerability)

Недолік, який не може бути використаний в операційному середовищі для TOE, але який може бути використаний зловмисником для порушення SFR з більшим потенціалом атаки, ніж очікувалося в операційному середовищі TOE

[Джерело: ISO/IEC 15408-1:2009, 3.5.6]

2.13 предмет безпеки (Security Target)

Залежне від виконання твердження про потреби безпеки для конкретного визначеного TOE

[Джерело: ISO/IEC 15408-1:2009, 3.1.63]

2.14 вибір (selection)

Специфікація одного або декількох елементів зі списку

[Джерело: ISO/IEC 15408-1:2009, 3.1.64]

2.15 предмет оцінки (target of evaluation)

Набір програмного забезпечення, вбудованого програмного забезпечення та/або апаратного забезпечення, які, можливо, супроводжуються настановами

[Джерело: ISO/IEC 15408-1:2009, 3.1.70]

2.16 агент загрози (threat agent)

Суб’єкт (entity), який може негативно впливати на активи

[Джерело: ISO/IEC 15408-1:2009, 3.1.71]

2.17 оцінка TOE (TOE evaluation)

Оцінювання (assessment) TOE у визначених критеріях

[Джерело: ISO/IEC 15408-1:2009, 3.1.72]

2.18 вразливості CVE, релевантні до TOE (TOE-relevant CVE vulnerabilities)

Вразливості CVE з усіх версій серії виробів TOE або вразливості CVE, пов’язані з виробами того самого технологічного типу

2.19 перевіряти (verify)

Суворо і детально розглядати з незалежним визначенням достатності

Примітка. Також див. підтверджувати (2.4). Термін перевіряти має більш суворі конотації. Використовують у контексті дій оцінювача, в яких від оцінювача вимагається незалежна робота (effort).

[Джерело: ISO/IEC 15408-1:2009, 3.1.84]

2.20 вразливість (vulnerability)

Недолік в TOE, який можна використати для порушення SFR у деяких умовах

[Джерело: ISO/IEC 15408-1:2009, 3.5.7]

2.21 недолік (weakness), слабке місце

Характеристика або властивість TOE, яка за належних умов може сприяти внесенню вразливостей у межах цього TOE.

Повна версія документа доступна в тарифі «ВСЕ ВРАХОВАНО».

Увійти в Особистий кабінет Детальніше про тарифи

БУДСТАНДАРТ Online