5.3 Угрозы безопасности информации при выполнении конструирования и комплексирования программного обеспечения ГОСТ Р 58412-2019

5.3.1 Угроза внедрения уязвимостей программы в исходный код программы в ходе его разработки ГОСТ Р 58412-2019

Данная угроза заключается в преднамеренном или непреднамеренном внедрении в исходный код программы ошибок (недостатков), которые при условии их необнаружения или неисправления могут стать причиной появления уязвимостей программы. Реализация угрозы может быть связана:

  • с преднамеренными действиями нарушителя;
  • с принятием разработчиком ПО осознанного решения о неисправлении обнаруженных в исходном коде программы ошибок в силу различных причин, например для сокращения времени разработки программы;
  • с ошибками, внесенными в исходный код программы случайным образом либо вследствие неквалифицированных действий работников, например в случае игнорирования работником правил и рекомендаций, связанных с использованием известных уязвимых конструкций в исходном коде программы.

Уязвимости программы, появившиеся из–за ошибок в исходном коде программы, в дальнейшем могут быть использованы с целью выполнения компьютерных атак на информационные системы пользователей, применяющих ПО.

Реализация данной угрозы внутренним нарушителем может быть осуществлена путем внесения изменений в исходный код программы. Изменения могут быть внесены путем санкционированного или несанкционированного доступа к исходному коду программы.

Внешний нарушитель может реализовывать данную угрозу путем удаленного доступа (из внешних сетей связи общего пользования и (или) сетей международного информационного обмена) к исходному коду программы. Реализация данной угрозы внешним нарушителем возможна при условии подключения среды разработки ПО к внешним сетям связи общего пользования и (или) сетям международного информационного обмена.

Угроза обусловлена недостатками в реализованных разработчиком ПО мерах контроля доступа и контроля целостности, применяемых к объектам среды разработки ПО, и мерах по разработке безопасного ПО, в частности: некачественным или неполным проведением статического анализа или экспертизы исходного кода программы, неучетом при создании программы проекта архитектуры программы и (или) порядка оформления исходного кода программы, недостатками в мерах, связанных с управлением конфигурацией ПО, обучением работников разработчика ПО в области разработки безопасного ПО и проведением систематического поиска уязвимостей программы.

Примечание — В качестве примеров преднамеренных ошибок (недостатков) в исходном коде программы, которые могут стать причиной появления уязвимостей программы, можно привести: задание в исходном коде программы аутентификационных данных, внедрение программных закладок. В качестве примеров непреднамеренных ошибок (недостатков) в исходном коде программы, которые могут стать причиной появления уязвимостей программы, можно привести: недостатки, связанные с неконтролируемой форматной строкой, недостатки, связанные с переполнением буфера памяти, недостатки, связанные с неполнотой проверкой вводимых (входных) данных.

[из 5.3.1 Угроза внедрения уязвимостей программы в исходный код программы в ходе его разработки ГОСТ Р 58412–2019]

5.3.2 Угроза внедрения уязвимостей программы путем использования заимствованных у сторонних разработчиков программного обеспечения уязвимых компонентов ГОСТ Р 58412-2019

Данная угроза заключается в преднамеренном или непреднамеренном внедрении в разрабатываемую программу заимствованных у сторонних разработчиков ПО компонентов (программные модули, исходный код), содержащих уязвимости. Уязвимости программы, появившиеся из–за применения уязвимых компонентов, в дальнейшем могут быть использованы с целью выполнения компьютерных атак на информационные системы пользователей, применяющих ПО.

Реализация данной угрозы внутренним нарушителем может быть осуществлена путем использования при разработке программных модулей или исходного кода программ сторонних разработчиков, содержащих уязвимости, а также внесения изменений в программные модули или исходный код программ сторонних разработчиков ПО, используемые при разработке программы в среде разработки ПО или в процессе их передачи из среды разработки стороннего разработчика ПО.

Внешний нарушитель может реализовывать данную угрозу путем удаленного доступа (из внешних сетей связи общего пользования и (или) сетей международного информационного обмена) к программным модулям или исходному коду программ сторонних разработчиков ПО, используемым при разработке программы. Реализация данной угрозы внешним нарушителем возможна при условии подключения среды разработки ПО к внешним сетям связи общего пользования и (или) сетям международного информационного обмена.

Угроза обусловлена недостатками в реализованных разработчиком ПО мерах контроля доступа и контроля целостности, применяемых к объектам среды разработки ПО, и мерах по разработке безопасного ПО, в частности: некачественным или неполным анализом уязвимостей в компонентах, заимствованных у сторонних разработчиков ПО, недостатками в мерах, связанных с управлением конфигурацией ПО, обучением работников разработчика ПО в области разработки безопасного ПО и проведением систематического поиска уязвимостей программы [из 5.3.2 Угроза внедрения уязвимостей программы путем использования заимствованных у сторонних разработчиков программного обеспечения уязвимых компонентов ГОСТ Р 58412–2019]

5.3.3 Угроза внедрения уязвимостей программы из-за неверного использования инструментальных средств при разработке программного обеспечения ГОСТ Р 58412-2019

Данная угроза заключается в непреднамеренном внесении в программу недостатков из–за ошибок, допущенных при использовании инструментальных средств разработки ПО, или преднамеренной модификации инструментальных средств и объектов среды разработки ПО, содержащих информацию о применяемых при создании программы параметрах инструментальных средств, которые при условии их необнаружения или неисправления могут стать причиной появления уязвимостей программы. Использование в процессе разработки программы модифицированных инструментальных средств, содержащих программные закладки, или неверной информации, связанной с параметрами инструментальных средств, может привести к внедрению в программу уязвимостей. Уязвимости программы, появившиеся из–за ошибок при использовании инструментальных средств или использования модифицированных инструментальных средств или их неверных настроек, в дальнейшем могут быть использованы с целью выполнения компьютерных атак на информационные системы пользователей, применяющих ПО.

Реализация данной угрозы внутренним нарушителем может осуществляться путем:

  • использования инструментальных средств способами, не соответствующими порядку их эксплуатации (например, из–за использования ошибочной настройки), вследствие использования инструментальных средств, применение которых не предусмотрено при разработке ПО, или путем внесения изменений в любые объекты среды разработки ПО, содержащие применяемые при создании программы параметры инструментальных средств;
  • модификации или замены инструментальных средств или внесения изменений в любые объекты среды разработки ПО, содержащие информацию о применяемых при создании программы параметрах инструментальных средств.

Изменения могут быть внесены путем санкционированного или несанкционированного доступа к указанным объектам или инструментальным средствам.

Внешний нарушитель может реализовывать данную угрозу путем удаленного доступа (из внешних сетей связи общего пользования и (или) сетей международного информационного обмена) к инструментальным средствам или объектам среды разработки ПО, содержащим информацию о применяемых при создании программы параметрах инструментальных средств. Реализация данной угрозы внешним нарушителем возможна при условии подключения среды разработки ПО к внешним сетям связи общего пользования и (или) сетям международного информационного обмена.

Угроза обусловлена недостатками в реализованных разработчиком ПО мерах контроля доступа и контроля целостности, применяемых к объектам среды разработки ПО, и мерах по разработке безопасного ПО, в частности: некачественной или неполной идентификацией инструментальных средств разработки ПО и их параметров, недостатками в мерах, связанных с управлением конфигурацией ПО, обучением работников разработчика ПО в области разработки безопасного ПО и проведением систематического поиска уязвимостей программы.

Примечание — К инструментальным средствам относятся, например, трансляторы, компиляторы, редакторы исходного кода программ, отладчики, интегрированные среды разработки.

[из 5.3.3 Угроза внедрения уязвимостей программы из–за неверного использования инструментальных средств при разработке программного обеспечения ГОСТ Р 58412–2019]

5.3.4 Угроза появления уязвимостей программы вследствие ошибок, допущенных в эксплуатационных документах в ходе осуществления их разработки и хранения ГОСТ Р 58412-2019

Данная угроза заключается в преднамеренном или непреднамеренном внесении ошибок в эксплуатационные документы, которые при условии их необнаружения или неисправления могут стать причиной появления уязвимостей программы, связанных с определением ее конфигурации (параметров настройки) и (или) с определением конфигурации ее среды функционирования. Реализация угрозы может быть связана:

  • с принятием разработчиком ПО осознанного решения о неисправлении обнаруженных в эксплуатационных документах ошибок в силу различных причин, например, для сокращения времени разработки программы.
  • с некорректным, неточным или неполным изложением описания конфигурации (параметров настройки) программы и (или) ее среды функционирования, либо неисправлением обнаруженных ошибок в данных описаниях, вследствие случайных неверных действий или неквалифицированных действий.

Уязвимости программы, связанные с определением ее конфигурации (параметров настройки) и (или) конфигурации ее среды функционирования, в дальнейшем могут быть использованы с целью выполнения компьютерных атак на информационные системы пользователей, применяющих ПО.

Реализация данной угрозы внутренним нарушителем может быть осуществлена путем влияния на формирование описаний конфигурации (параметров настройки) программы и (или) ее среды функционирования в процессе разработки эксплуатационных документов или внесения изменений в любые объекты среды разработки ПО, создаваемые или используемые при разработке эксплуатационных документов. Изменения могут быть внесены путем санкционированного или несанкционированного доступа к объектам среды разработки ПО.

Примечание — В качестве примеров объектов среды разработки можно привести: документы, разрабатываемые по требованиям ГОСТ Р 56939 (например, описание применения, руководство оператора), постановки задач, иные документы, в том числе электронные, создаваемые или используемые при разработке эксплуатационных документов. При выполнении анализа данной угрозы безопасности информации следует учитывать, что объекты среды разработки ПО, создаваемые или используемые при разработке эксплуатационных документов, могут не являться элементами конфигурации, контролируемыми системой управления конфигурацией ПО.

Внешний нарушитель может реализовывать данную угрозу путем удаленного доступа (из внешних сетей связи общего пользования и (или) сетей международного информационного обмена) к объектам среды разработки ПО, создаваемым или используемым при разработке эксплуатационных документов. Реализация данной угрозы внешним нарушителем возможна при условии подключения среды разработки ПО к внешним сетям связи общего пользования и (или) сетям международного информационного обмена.

Угроза обусловлена недостатками в реализованных разработчиком ПО мерах контроля доступа и контроля целостности, применяемых к объектам среды разработки ПО, и мерах ло разработке безопасного ПО, в частности: в мерах, связанных с управлением конфигурацией ПО, определением в эксплуатационных документах конфигурации (параметров настройки) программы или ее среды функционирования. обучением работников разработчика ПО в области разработки безопасного ПО и проведением систематического поиска уязвимостей программы.

Примечание — В качестве примеров ошибок, которые могут стать причиной появления уязвимостей программы, связанных с определением ее конфигурации (параметров настройки) и (или) с определением конфигурации ее среды функционирования можно привести: ошибки в инструкциях по первоначальной настройке программы (например, отсутствие требования к смене пароля администратора, который был задан разработчиком программы), ошибки в инструкциях по безопасному конфигурированию программы в процессе эксплуатации (например, отсутствие требований о запрете использования словарных паролей), ошибки в инструкциях по безопасному конфигурированию среды функционирования программы (например, отсутствие требования к обязательному применению актуальных обновлений ПО среды функционирования).

[из 5.3.4 Угроза появления уязвимостей программы вследствие ошибок, допущенных в эксплуатационных документах в ходе осуществления их разработки и хранения ГОСТ Р 58412–2019]

5.3.5 Угроза выявления уязвимостей программы вследствие раскрытия исходного кода программы ГОСТ Р 58412-2019

Данная угроза заключается в преднамеренном или непреднамеренном раскрытии исходного кода программы. Нарушение конфиденциальности данной информации может способствовать выявлению недостатков ПО и уязвимостей программы, которые в дальнейшем могут быть использованы с целью выполнения компьютерных атак на информационные системы пользователей, применяющих ПО.

Реализация данной угрозы внутренним нарушителем может быть осуществена путем раскрытия исходного кода программы вследствие санкционированного или несанкционированного доступа.

Внешний нарушитель может реализовывать данную угрозу путем удаленного доступа (из внешних сетей связи общего пользования и (или) сетей международного информационного обмена) к исходному коду программы. Реализация данной угрозы внешним нарушителем возможна при условии подключения среды разработки ПО к внешним сетям связи общего пользования и (или) сетям международного информационного обмена.

Угроза обусловлена:

[из 5.3.5 Угроза выявления уязвимостей программы вследствие раскрытия исходного кода программы ГОСТ Р 58412–2019]