Оценка соответствия по ОУД4
Целью проведения анализа уязвимостей программного обеспечения по требованиям к оценочному уровню доверия 4 является оценка его текущего уровня защищенности, поиск уязвимостей.
Целью проведения анализа уязвимостей программного обеспечения по требованиям к оценочному уровню доверия 4 является оценка его текущего уровня защищенности, поиск уязвимостей и способов их эксплуатации для последующей выработки мероприятий, направленных на повышение уровня защищенности программного обеспечения.
Далее приведено краткое описание работ, выполняемых в рамках анализа уязвимостей:
1. Анализ нормативной документации.
- Изучение сопроводительной документации программного продукта;
- Оценка полноты и достоверности документации;
- Анализ документации для идентификации потенциальных уязвимостей в объекте оценки;
- Разработка и согласование подхода к проведению тестирования;
- Планирование процедуры анализа уязвимостей по новым доработкам ПО один раз в полгода;
- Анализ нормативной документации для проведения сертификационных испытаний.
2. Тестирование на проникновение ПО из сети Интернет
- Сбор информации о доступных сервисах и веб-приложениях тестируемого ресурса;
- Анализ и возможность обхода применяемых защитных мер на тестируемом ресурсе;
- Поиск уязвимостей тестируемого ресурса с использованием различных сканеров;
- Ручной поиск всех доступных сервисов внешней инфраструктуры и их уязвимостей;
- Оценка парольной политики на тестируемом ресурсе;
- Анализ защищенности веб-приложения ручным способом и с использованием автоматических сканеров веб-уязвимостей (Burp Suite Professional и др.).
3. Анализ исходного кода ПО
- Анализ программного продукта (ПО) на предмет наличия актуальных угроз безопасности и программных закладок;
- Выявление уязвимостей и программных закладок на основе проведённого анализа составных частей приложения;
- Проведения статического и динамического анализа исходного кода;
- Ручной анализ кода, представляющий функции безопасности продукта;
- Анализ исходных кодов на предмет потенциальных уязвимостей нулевого дня (zero day);
- Анализ мер по безопасности, используемых в информационной системе;
- Анализ фактической реализации мер по безопасности;
- Анализ корректности внедрения мер по безопасности;
- Анализ корректности взаимодействия подключаемых к ПО сторонних модулей;
- Анализ корректности взаимодействия приложения с сторонними информационными ресурсами;
- Анализ ПО на наличие незадокументированных возможностей;
- Оценка найденных потенциальных уязвимостей и проверка их эксплуатабельности;
- Планирование проведения ежеквартальных процедур по анализу кода по выполненным доработкам ПО.
4. Подготовка отчетной документации
- Формирование полноценного отчета о проведении анализа уязвимостей программного обеспечения в соответствии с требованиями ОУД4, включающий в себя:
- Краткое описание найденных уязвимостей для высшего руководства;
- Протокол проведения тестирования на проникновение;
- Протокол анализа кода ПО и сред функционирования;
- Техническое заключение по результатам проведения анализа уязвимостей по требованиям к оценочному уровню доверия;
- Подробное описание каждой найденной уязвимости, риска и потенциального ущерба.
- Разработка рекомендаций по устранению выявленных уязвимостей с использованием организационных, технических и административных мер;
- Взаимодействие с представителями Банка для помощи в устранении уязвимостей;
- Взаимодействие с представителями Банка для помощи в разработке технической документации продукта.
Оценка соответствия по ОУД4
Важность и процесс проведения анализа уязвимостей программного обеспечения.
Оценочный уровень доверия ОУД 4, установленный ГОСТ Р ИСО/МЭК 15408-3-2013, подразумевает достижение максимального уровня доверия к прикладному программному обеспечению через надлежащее проектирование его безопасности и последующую проверку полученных результатов. Для защиты критически важных данных и предотвращения взломов необходимо проводить всесторонний анализ исходного кода на безопасность. Анализ уязвимостей программного обеспечения по требованиям к оценочному уровню доверия 4 (ОУД.4) подразумевает высокий уровень уверенности в безопасности системы и требует выполнения целого ряда мероприятий, направленных на детальную проверку и устранение уязвимостей.
Значимость анализа уязвимостей программного обеспечения:
- Оценка текущего уровня защищенности;
- Поиск уязвимостей и способов их эксплуатации;
- Выработка мероприятий по повышению уровня защищенности.
Процесс анализа уязвимостей
1. Анализ нормативной документации:
- Изучение сопроводительной документации программного продукта;
- Оценка полноты и достоверности документации;
- Анализ документации для идентификации потенциальных уязвимостей в объекте оценки;
- Разработка и согласование подхода к проведению тестирования;
- Планирование процедуры анализа уязвимостей по новым доработкам ПО один раз в полгода;
- Анализ нормативной документации для проведения сертификационных испытаний.
2. Тестирование на проникновение ПО из сети Интернет:
- Сбор информации о доступных сервисах и веб-приложениях тестируемого ресурса;
- Анализ и возможность обхода применяемых защитных мер на тестируемом ресурсе;
- Поиск уязвимостей тестируемого ресурса с использованием различных сканеров;
- Ручной поиск всех доступных сервисов внешней инфраструктуры и их уязвимостей;
- Оценка парольной политики на тестируемом ресурсе;
- Анализ защищенности веб-приложения ручным способом и с использованием автоматических сканеров веб-уязвимостей (Acunetix Vulnerability Scanner, Burp Suite Professional и др.).
3. Анализ исходного кода ПО:
- Анализ программного продукта (ПО) на предмет наличия актуальных угроз безопасности и программных закладок;
- Выявление уязвимостей и программных закладок на основе проведенного анализа составных частей приложения;
- Проведение статического и динамического анализа исходного кода;
- Ручной анализ кода, представляющий функции безопасности продукта;
- Анализ исходных кодов на предмет потенциальных уязвимостей нулевого дня (zero day);
- Анализ мер по безопасности, используемых в информационной системе;
- Анализ фактической реализации мер по безопасности;
- Анализ корректности внедрения мер по безопасности;
- Анализ корректности взаимодействия подключаемых к ПО сторонних модулей;
- Анализ корректности взаимодействия приложения с сторонними информационными ресурсами;
- Анализ ПО на наличие незадокументированных возможностей;
- Оценка найденных потенциальных уязвимостей и проверка их эксплуатабельности;
- Планирование проведения ежеквартальных процедур по анализу кода по выполненным доработкам ПО.
4. Подготовка отчетной документации:
- Формирование полноценного отчета о проведении анализа уязвимостей программного обеспечения в соответствии с требованиями ОУД4;
- Краткое описание найденных уязвимостей для высшего руководства;
- Протокол проведения тестирования на проникновение;
- Протокол анализа кода ПО и сред функционирования;
- Техническое заключение по результатам проведения анализа уязвимостей по требованиям к оценочному уровню доверия;
- Подробное описание каждой найденной уязвимости, риска и потенциального ущерба;
- Разработка рекомендаций по устранению выявленных уязвимостей с использованием организационных, технических и административных мер;
- Взаимодействие с представителями Банка для помощи в устранении уязвимостей;
- Взаимодействие с представителями Банка для помощи в разработке технической документации продукта.
Заключение
Оценка соответствия по ОУД4 является важным процессом, который позволяет оценить текущий уровень защищенности программного обеспечения и выявить уязвимости. Правильное проведение анализа уязвимостей требует выполнения различных этапов, включая анализ документации, тестирование на проникновение и анализ исходного кода. Результатом анализа должна быть разработка отчетной документации с детальным описанием найденных уязвимостей и рекомендаций по их устранению. Этот процесс играет важную роль в обеспечении безопасности программного обеспечения и защите критически важных данных.
