Приложение А. РАСШИРЕННЫЕ КОМПОНЕНТЫ ФУНКЦИОНАЛЬНЫХ ТРЕБОВАНИЙ БЕЗОПАСНОСТИ ОБЪЕКТА ОЦЕНКИ
Приложение А 
РАСШИРЕННЫЕ КОМПОНЕНТЫ ФУНКЦИОНАЛЬНЫХ ТРЕБОВАНИЙ
БЕЗОПАСНОСТИ ОБЪЕКТА ОЦЕНКИ
Для ОО определены следующие компоненты функциональных требований безопасности, сформулированные в явном виде в стиле компонентов из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" (расширенные (специальные) компоненты).
А.1. Класс FDP "Защита данных пользователя"
А.1.1. Шифрование защищаемой информации приложения (FDP_DAR_EXT)
Характеристика семейства
Семейство FDP_DAR_EXT "Шифрование защищаемой информации приложения" определяет компоненты требований, направленные на обеспечение защиты защищаемой информации, которые хранятся и обрабатываются ОО.
Ранжирование компонентов
FDP_DAR_EXT.1 "Шифрование защищаемой информации приложения" предназначен для задания требований, связанных с тем, чтобы ОО выполнял конкретные процедуры для защиты защищаемой информации, находящиеся под контролем ОО.
Управление: FDP_DAR_EXT.1
Действия по управлению не определены.
Аудит: FDP_DAR_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FDP_DAR_EXT.1
|
Шифрование защищаемой информации приложения
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
отсутствуют.
|
|
FDP_DAR_EXT.1.1
|
ФБО должны [выбор:
не хранить любую защищаемую информацию;
усилить предоставленную платформой функциональность для шифрования защищаемой информации;
реализовать функциональность для шифрования защищаемой информации;
] в энергонезависимой памяти.
|
А.2. Класс FIA "Идентификация и аутентификация"
А.2.1. Идентификация сессий веб-приложений (FIA_IWS_EXT)
Характеристика семейства
Семейство FIA_IWS_EXT "Идентификация сессий веб-приложений" определяет компоненты требований, направленные на предотвращение некорректного использования и раскрытия идентификаторов сессий веб-приложений.
Ранжирование компонентов
FIA_IWS_EXT.1 "Идентификация сессий веб-приложений" предназначен для задания требований, связанных с предотвращением некорректного использования и раскрытия идентификаторов сессий веб-приложений.
Управление: FIA_IWS_EXT.1
Действия по управлению не определены.
Аудит: FIA_IWS_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FIA_IWS_EXT.1
|
Идентификация сессий веб-приложений
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
отсутствуют.
|
|
FIA_IWS_EXT.1.1
|
ФБО должны [выбор:
нет идентификации сессий веб-приложений;
исключать использование предсказуемых идентификаторов сессий;
исключать возможность повторного использования идентификатора сессии (в том числе использование одинаковых идентификаторов в нескольких сессиях одного пользователя, неизменность идентификатора сессии после повторной аутентификации пользователя);
исключать возможность использования идентификатора сессии после ее завершения;
исключать возможность раскрытия идентификаторов сессий, в том числе передачу идентификаторов в незашифрованном виде, а также включение идентификаторов в запись журналов регистрации событий, в сообщения об ошибках
].
|
А.3. Класс FMT "Управление безопасностью"
А.3.1. Конфигурация безопасности по умолчанию (FMT_CFG_EXT)
Характеристика семейства
Семейство FMT_CFG_EXT "Конфигурация безопасности по умолчанию" определяет компоненты требований, направленные на ограничение предоставления уполномоченным пользователям функциональности ОО при его конфигурировании по умолчанию.
Ранжирование компонентов
FMT_CFG_EXT.1 "Конфигурация безопасности по умолчанию" предназначен для задания требований, связанных с предоставлением уполномоченным пользователям только ограниченной функциональности ОО при его конфигурировании по умолчанию.
Управление: FMT_CFG_EXT.1
Действия по управлению не определены.
Аудит: FMT_CFG_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FMT_CFG_EXT.1
|
Конфигурация безопасности по умолчанию
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
FMT_SMF.1 Спецификация функций управления.
|
|
FMT_CFG_EXT.1.1
|
ФБО должны при установке новых учетных данных, когда конфигурируются с учетными данными по умолчанию или без учетных данных, предоставить [назначение: уполномоченные пользователи] только ограниченную функциональность.
|
|
FMT_CFG_EXT.1.2
|
ФБО должны запрещать создание технологических учетных записей со стандартными паролями и иными механизмами аутентификации, использующими стандартный секрет для аутентификации, задаваемыми автоматически при установке программного обеспечения.
|
А.3.2. Поддерживаемый механизм конфигурации (FMT_MEC_EXT)
Характеристика семейства
Семейство FMT_MEC_EXT "Поддерживаемый механизм конфигурации" определяет компоненты требований, направленные на защиту конфигурационной информации ОО.
Ранжирование компонентов
FMT_MEC_EXT.1 "Поддерживаемый механизм конфигурации" предназначен для задания требований, связанных с тем, чтобы ОО обеспечивал соответствующими механизмами защиту параметров конфигурации (настроек) от несанкционированной модификации и использование для их хранения и установки механизмов, рекомендованных производителем платформы.
Управление: FMT_MEC_EXT.1
Действия по управлению не определены.
Аудит: FMT_MEC_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FMT_MEC_EXT.1
|
Поддерживаемый механизм конфигурации
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
FMT_SMF.1 Спецификация функций управления.
|
|
FMT_MEC_EXT.1.1
|
ФБО должны защищать хранилища параметров конфигурации (настроек) ОО от несанкционированного доступа.
|
|
FMT_MEC_EXT.1.2
|
ФБО должны обеспечить возможность экспорта параметров конфигурации ОО в формат, пригодный для анализа пользователем.
|
|
FMT_MEC_EXT.1.3
|
ФБО должны использовать для хранения и установки параметров конфигурации ОО механизмы, предусмотренные платформой.
|
А.4. Класс FPR "Приватность"
А.4.1. Согласие пользователей на обработку персональных данных (идентификационной информации) (FPR_ANO_EXT)
Характеристика семейства
Семейство FPR_ANO_EXT "Согласие пользователей на обработку персональных данных (идентификационной информации)" определяет компоненты требований, направленные на защиту и предотвращение злоупотребления персональными данными пользователей.
Ранжирование компонентов
FPR_ANO_EXT.1 "Согласие пользователей на обработку персональных данных (идентификационной информации)" предназначен для задания требований, связанных с тем, чтобы обработка персональных данных пользователя осуществлялась только после получения его согласия на их использование.
Управление: FPR_ANO_EXT.1
Действия по управлению не определены.
Аудит: FPR_ANO_EXT.1:
Действия или события, подвергаемые аудиту, не определены.
|
FPR_ANO_EXT.1
|
Согласие пользователей на обработку персональных данных (идентификационной информации)
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
отсутствуют.
|
|
FPR_ANO_EXT.1.1
|
ФБО должны: [выбор:
не обрабатывать персональную идентификационную информацию;
запрашивать согласие пользователя на обработку его персональной идентификационной информации
], защита которой требуется в соответствии с законодательством.
|
А.5. Класс FPT "Защита ФБО"
А.5.1. Противодействие использованию уязвимостей безопасности (FPT_AEX_EXT)
Характеристика семейства
Семейство FPT_AEX_EXT "Противодействие использованию уязвимостей безопасности" определяет компоненты требований, направленные на обеспечение противодействия возможности использования нарушителем потенциальных уязвимостей ОО.
Ранжирование компонентов
FPT_AEX_EXT.1 "Противодействие использованию уязвимостей безопасности" предназначен для задания требований, связанных с применением средств и процедур, с помощью которых ОО может противостоять действиям нарушителя по использованию потенциальных уязвимостей.
Управление: FPT_AEX_EXT.1
Действия по управлению не определены.
Аудит: FPT_AEX_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FPT_AEX_EXT.1
|
Противодействие использованию уязвимостей безопасности
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
отсутствуют.
|
|
FPT_AEX_EXT.1.1
|
ФБО не должны требовать отображения памяти с явными адресами, за исключением [назначение: список явных исключений].
|
|
FPT_AEX_EXT.1.2
|
ФБО должны [выбор:
не выделять никакую область памяти с разрешениями писать и выполнять;
выделять области памяти с разрешениями писать и выполнять только для [назначение: список функций, выполняющих компиляцию just-in-time]
].
|
|
FPT_AEX_EXT.1.3
|
ФБО должны [выбор:
запрещать запись пользовательской информации в системные директории;
разрешать запись пользовательской информации [назначение: список системных директорий]
].
|
|
FPT_AEX_EXT.1.4
|
ФБО не должны использовать элементы управления в графическом интерфейсе пользователя ППО, предназначенные для выполнения операций, права на выполнение которых у пользователя отсутствуют.
|
|
FPT_AEX_EXT.1.5
|
ФБО должны быть совместимы со средствами защиты, предоставляемыми поставщиком платформы.
|
|
FPT_AEX_EXT.1.6
|
ФБО не должны записывать модифицируемые пользователем файлы в директории, которые содержат исполняемые файлы, если делать так явно не предписано разработчиком.
|
|
FPT_AEX_EXT.1.7
|
ФБО должны позволять смену пароля пользователем или иного используемого параметра аутентификации только после предварительной аутентификации.
|
|
FPT_AEX_EXT.1.8
|
ФБО должны обеспечивать предварительную инициализацию переменных и структур данных при выделении оперативной памяти.
|
|
FPT_AEX_EXT.1.9
|
ФБО должны исключать возможность просмотра содержимого каталогов веб-сайта в случаях, когда такой просмотр не является необходимым.
|
|
FPT_AEX_EXT.1.10
|
ФБО не должны использовать при обработке данных в формате XML внешние сущности (External Entity), внешние параметры сущностей (External Parameter Entity) и внешние описания типа документа (External Doctype).
|
|
FPT_AEX_EXT.1.11
|
ОО не должен требовать для своего выполнения прав администратора операционной системы, за исключением случаев, когда такие права технически необходимы для корректного функционирования ОО.
|
А.5.2. Использование поддерживаемых сервисов и прикладных программных интерфейсов (FPT_API_EXT)
Характеристика семейства
Семейство FPT_API_EXT "Использование поддерживаемых сервисов и прикладных программных интерфейсов" определяет компоненты требований, направленные на обеспечение применения сервисов и прикладных программных интерфейсов, разрешенных производителем платформы.
Ранжирование компонентов
FPT_API_EXT.1 "Использование поддерживаемых сервисов и прикладных программных интерфейсов" предназначен для задания требований, связанных с обеспечением применения в ОО только задокументированных разработчиком платформы сервисов и прикладных программных интерфейсов.
Управление: FPT_API_EXT.1
Действия по управлению не определены.
Аудит: FPT_API_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FPT_API_EXT.1
|
Использование поддерживаемых сервисов и прикладных программных интерфейсов
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
отсутствуют.
|
|
FPT_API_EXT.1.1
|
ФБО должны использовать в программном продукте только задокументированные производителем сервисы и прикладные программные интерфейсы платформы.
|
|
FPT_API_EXT.1.2
|
ФБО должны использовать механизмы, предоставляемые архитектурой процессора, операционной системой и средствами компиляции кода (например, защиты от переполнения буфера, защиты от нарушения обработки исключений, защиты от исполнения кода в сегментах стека и данных, случайного размещения сегментов в адресном пространстве);
|
|
FPT_API_EXT.1.3
|
ФБО не должны использовать функции стандартных библиотек, уязвимых к атакам переполнения буфера, при наличии аналогичных функций со встроенной защитой.
|
А.5.3. Использование сторонних библиотек (FPT_LIB_EXT)
Характеристика семейства
Семейство FPT_LIB_EXT "Использование сторонних библиотек" определяет компоненты требований, направленные на ограничение использования в ОО сторонних библиотек только разрешенными к применению.
Ранжирование компонентов
FPT_LIB_EXT.1 "Использование сторонних библиотек" предназначен для задания требований, связанных с обеспечением возможности применения в ОО только разрешенных сторонних библиотек.
Управление: FPT_LIB_EXT.1
Действия по управлению не определены.
Аудит: FPT_LIB_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FPT_LIB_EXT.1
|
Использование сторонних библиотек
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
отсутствуют.
|
|
FPT_LIB_EXT.1.1
|
ФБО должны использовать только [назначение: список разрешенных сторонних библиотек].
|
А.5.4. Целостность при установке и обновлении (FPT_TUD_EXT)
Характеристика семейства
Семейство FPT_TUD_EXT "Целостность при установке и обновлении" определяет компоненты требований, направленные на обеспечение целостности компонентов ОО при его установке и обновлении.
Ранжирование компонентов
FPT_TUD_EXT.1 "Целостность при установке и обновлении" предназначен для задания требований, связанных с обеспечением наличия в объекте оценки механизмов, обеспечивающих поддержание доверия к безопасности ОО при его установке и обновлении.
Управление: FPT_TUD_EXT.1
Действия по управлению не определены.
Аудит: FPT_TUD_EXT.1
Действия или события, подвергаемые аудиту, не определены.
|
FPT_TUD_EXT.1
|
Целостность при установке и обновлении
|
|
Иерархический для: нет подчиненных компонентов.
|
|
|
Зависимости:
|
отсутствуют.
|
|
FPT_TUD_EXT.1.1
|
ФБО должны [выбор:
предоставлять возможность;
эффективно использовать платформу
], чтобы проверить обновление и установку патчей для ОО.
|
|
FPT_TUD_EXT.1.2
|
Программное обеспечение ОО должно распространяться с использованием формата, поддерживаемого платформой диспетчера пакетов.
|
|
FPT_TUD_EXT.1.3
|
Программное обеспечение ОО должно быть упаковано таким образом, чтобы его удаление приводило к удалению всех его следов, за исключением параметров конфигурации, выходных файлов и контрольных/регистрационных событий.
|
|
FPT_TUD_EXT.1.4
|
Программное обеспечение ОО не должно загружать, изменять, заменять или обновлять его собственный двоичный код.
|
|
FPT_TUD_EXT.1.5
|
Программное обеспечение ОО должно [выбор:
предоставлять возможность,
эффективно использовать платформу
], чтобы выяснить текущую версию прикладного программного обеспечения.
|
