Tổng quan

Tiêu chuẩn ISO / IEC TR 20004:2015

Giới thiệu

Báo cáo Kỹ thuật này nhằm cung cấp thêm sự sàng lọc, chi tiết và hướng dẫn cho các hoạt động phân tích lỗ hổng được nêu trong ISO / IEC 18045: 2008 cho các phần tử phần mềm của TOE. Cụ thể, nó nhằm mục đích bổ sung sàng lọc và làm rõ “Nhận dạng lỗ hổng tiềm ẩn từ các nguồn công khai” (AVA_VAN.1.2E / 2.2E / 3.2E / 4.2E) và “Kiểm tra thâm nhập” (AVA_VAN.1.3E / 2.4E / 3.4 Các hành động của người đánh giá E / 4.4E), hiện đang không chính xác liên quan đến việc tìm kiếm, xác định và kiểm tra các lỗ hổng tiềm ẩn có liên quan. Báo cáo Kỹ thuật này cung cấp hướng dẫn về cách tiếp cận để tìm kiếm, xác định, lọc và kiểm tra các lỗ hổng tiềm ẩn một cách khách quan bằng cách sử dụng các tài nguyên tiêu chuẩn đặc biệt quốc tế cho các điểm yếu của phần mềm và các kiểu tấn công. Tập hợp các điểm yếu của phần mềm có liên quan và các mẫu tấn công được xác định thông qua hướng dẫn này đại diện cho một tập hợp tối thiểu để phân tích

thuộc họ đảm bảo AVA_VAN trong đánh giá ISO / IEC 15408. Các điểm yếu bổ sung và các hình thức tấn công có thể được xác định có liên quan bởi các chương trình quốc gia cụ thể, cộng đồng kỹ thuật, hồ sơ bảo vệ liên quan hoặc các nguồn khác. Khi sử dụng các nguồn tài nguyên có cấu trúc tiêu chuẩn này, cách tiếp cận được định nghĩa ở đây có thêm lợi ích là có thể áp dụng bình đẳng cho quá trình phát triển TOE cũng như cho quá trình đánh giá an toàn TOE. Điều này có nghĩa là các điểm yếu có liên quan và các mẫu tấn công được xác định và kiểm tra trong quá trình phát triển, cho dù được xác định đặc biệt hay là một phần của trường hợp đảm bảo có cấu trúc, có thể cung cấp một khuôn mẫu khởi đầu cho một tập hợp các điểm yếu và các mẫu tấn công liên quan cụ thể của TOE để sử dụng trong đánh giá bảo mật.

Báo cáo kỹ thuật này được thiết kế để sử dụng cùng với và như một phụ lục của ISO / IEC 18045.

Báo cáo kỹ thuật này không đề cập đến tất cả các phương pháp phân tích khả năng dễ bị tổn thương, đặc biệt là những phương pháp nằm ngoài phạm vi hoạt động được nêu trong ISO / IEC 18045. Báo cáo này sử dụng liệt kê điểm yếu chung (CWE) và liệt kê và phân loại mẫu tấn công phổ biến (CAPEC) để xác định các cuộc tấn công có thể xảy ra. Nó không loại trừ việc người đánh giá sử dụng các tài nguyên nhận dạng thích hợp khác.

Đối tượng mục tiêu của Báo cáo kỹ thuật này là những người đánh giá áp dụng ISO / IEC 15408 và những người chứng nhận xác nhận hành động của người đánh giá, nhà phát triển, tác giả PP / ST (bao gồm Cộng đồng kỹ thuật), nhà tài trợ người đánh giá và các bên khác quan tâm đến bảo mật CNTT.

Báo cáo Kỹ thuật này thừa nhận rằng không phải tất cả các câu hỏi liên quan đến đánh giá bảo mật CNTT đều sẽ được trả lời ở đây và cần phải giải thích thêm. Các chương trình riêng lẻ sẽ xác định cách xử lý các diễn giải như vậy và các hướng dẫn khác, mặc dù các chương trình này có thể phải tuân theo các thỏa thuận thừa nhận lẫn nhau.

1 Phạm vi

Báo cáo kỹ thuật này tinh chỉnh các hoạt động dòng đảm bảo AVA_VAN được định nghĩa trong ISO / IEC 18045 và cung cấp hướng dẫn cụ thể hơn về việc xác định, lựa chọn và đánh giá các lỗ hổng tiềm ẩn liên quan để tiến hành đánh giá ISO / IEC 15408 về mục tiêu đánh giá phần mềm. Báo cáo kỹ thuật này tận dụng các nguồn lực bảo mật thông tin có sẵn công khai để hỗ trợ phương pháp xác định phạm vi và triển khai các hoạt động phân tích tính dễ bị tổn thương theo tiêu chuẩn ISO / IEC 18045. Báo cáo Kỹ thuật hiện đang sử dụng kiểu liệt kê điểm yếu chung (CWE) và kiểu liệt kê và phân loại kiểu tấn công phổ biến (CAPEC), nhưng không loại trừ việc sử dụng bất kỳ tài nguyên thích hợp nào khác. Hơn nữa, Báo cáo kỹ thuật này không nhằm đề cập đến tất cả các phương pháp phân tích tính dễ bị tổn thương có thể có, bao gồm cả những phương pháp nằm ngoài phạm vi hoạt động được nêu trong ISO / IEC 18045.

Báo cáo kỹ thuật này không xác định các hành động của người đánh giá đối với một số thành phần ISO / IEC 15408 đảm bảo cao, trong đó vẫn chưa có hướng dẫn được thống nhất chung.

2 Thuật ngữ và định nghĩa

Đối với mục đích của tài liệu này, các thuật ngữ và định nghĩa sau sẽ được áp dụng.

2.1

trường hợp đảm bảo

một tập hợp có cấu trúc các tuyên bố, lập luận và cơ sở bằng chứng tương ứng để chứng minh rằng một hệ thống đáp ứng các tuyên bố cụ thể liên quan đến các thuộc tính bảo mật của nó

2,2

kiểu tấn công

cách tiếp cận trừu tượng được sử dụng để tấn công phần mềm

2.3

tiềm năng tấn công

thước đo về nỗ lực được thực hiện trong việc tấn công một TOE được thể hiện dưới dạng chuyên môn, nguồn lực và động cơ của kẻ tấn công

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.5]

2,4

xác nhận

tuyên bố rằng điều gì đó đã được xem xét chi tiết với một quyết định độc lập về tính đầy đủ

CHÚ THÍCH 1: Mức độ nghiêm ngặt cần thiết tùy thuộc vào bản chất của đối tượng. Thuật ngữ này chỉ được áp dụng cho các hành động của người đánh giá.

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.14]

2,5

Lỗ hổng CVE

lỗ hổng được liệt kê trong CVE

2,6

quyết tâm

khẳng định một kết luận cụ thể dựa trên phân tích độc lập với mục tiêu đi đến một kết luận cụ thể

CHÚ THÍCH 1: Việc sử dụng thuật ngữ này ngụ ý một phân tích thực sự độc lập, thường là trong trường hợp không có bất kỳ phân tích nào trước đó đã được thực hiện. So sánh với các thuật ngữ “xác nhận” hoặc “xác minh” ngụ ý rằng phân tích đã được thực hiện và cần được xem xét lại.

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.22]

2,7

gặp phải các lỗ hổng tiềm ẩn

một điểm yếu tiềm ẩn trong TOE được người đánh giá xác định trong khi thực hiện các hoạt động đánh giá có thể được sử dụng để vi phạm các SFR

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.5.2]

2,8

đánh giá

đánh giá một PP, một ST hoặc một TOE, dựa trên các tiêu chí đã xác định

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.26]

2,9

lỗ hổng có thể khai thác

điểm yếu trong TOE có thể được sử dụng để vi phạm các SFR trong môi trường hoạt động cho TOE

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.5.3]

2,10

lỗ hổng tiềm ẩn

nghi ngờ, nhưng không được xác nhận, điểm yếu

CHÚ THÍCH 1: Sự nghi ngờ là do một con đường tấn công được mặc định là vi phạm các SFR.

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.5.5]

2,11

Hồ sơ bảo vệ

tuyên bố độc lập về thực thi về nhu cầu an toàn cho một kiểu TOE

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.52]

2,12

lỗ hổng còn sót lại

điểm yếu không thể được khai thác trong môi trường hoạt động cho TOE, nhưng điểm yếu đó có thể được kẻ tấn công sử dụng để vi phạm SFRs bởi kẻ tấn công có tiềm năng tấn công lớn hơn dự đoán trong môi trường hoạt động cho TOE

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.5.6]

2,13

Mục tiêu bảo mật

tuyên bố phụ thuộc vào việc thực hiện về nhu cầu an toàn cho một TOE đã xác định cụ thể

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.63]

2,14

sự lựa chọn

đặc điểm kỹ thuật của một hoặc nhiều mục từ danh sách

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.64]

2,15

mục tiêu đánh giá

bộ phần mềm, chương trình cơ sở và / hoặc phần cứng có thể kèm theo hướng dẫn

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.70]

2,16

tác nhân đe dọa

pháp nhân có thể tác động xấu đến tài sản

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.71]

2,17

Đánh giá TOE

đánh giá một TOE dựa trên các tiêu chí đã xác định

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.72]

2,18

Các lỗ hổng CVE liên quan đến TOE

Các lỗ hổng CVE từ tất cả các phiên bản của họ sản phẩm TOE hoặc các lỗ hổng CVE liên quan đến các sản phẩm cùng loại công nghệ

2,19

xác nhận

xem xét chặt chẽ chi tiết với một xác định độc lập về mức độ đầy đủ

CHÚ THÍCH 1: Cũng xem xác nhận (2.4). Thuật ngữ xác minh có nội hàm chặt chẽ hơn. Nó được sử dụng trong bối cảnh các hành động của người đánh giá, nơi người đánh giá cần có nỗ lực độc lập.

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.1.84]

2,20

sự dễ bị tổn thương

điểm yếu trong TOE có thể được sử dụng để vi phạm các SFR trong một số môi trường

[NGUỒN: ISO / IEC 15408‑1: 2009, 3.5.7]

2,21

yếu đuối

đặc tính hoặc thuộc tính của một TOE, trong điều kiện thích hợp, có thể góp phần vào việc đưa ra các lỗ hổng trong TOE đó

Xem preview tiêu chuẩn ISO / IEC TR 20004:2015

 

Download tài liệu ISO / IEC TR 20004:2015 miễn phí tại đây!

Để xem được bản full ISO / IEC TR 20004:2015, quý khách có thể đăng ký mua bản full tiêu chuẩn thông qua dịch vụ của chúng tôi. Việc mua tiêu chuẩn từ ISOCERT là cách nhanh và chính xác nhất để truy cập trực tiếp vào tài liệu cụ thể mà quý khách cần. Hãy liên hệ với nhân viên của chúng tôi nếu có bất kỳ câu hỏi nào về tiêu chuẩn tại đây hoặc qua hotline 0976.389.199. ISOCERT rất hân hạnh được đồng hành cùng doanh nghiệp trong sự nghiệp nâng cao chất lượng sản phẩm hàng hóa vì lợi ích quốc gia.