Академия Информационных систем предлагает услуги по анализу уязвимостей прикладного программного обеспечения АС и приложений для финансовых организаций, а также для организаций-разработчиков ПО.
Работы по анализу уязвимостей включают следующие этапы:
1.Оценка полноты предоставленной документации. При необходимости разработка и доработка документации, необходимой для тестирования с целью соответствия требованиям ГОСТ Р ИСО/МЭК 15408-3-2013;
2. Поиск информации в общедоступных источниках с целью идентификации потенциальных уязвимостей в объекте оценке (ОО). Поиск осуществляется в таких источниках как:
- база данных уязвимостей в составе банка данных угроз безопасности информации ФСТЭК России (www.bdu.fstec.ru);
- уведомления Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Банка России («ФинЦЕРТ» Банка России);
- уведомления, публикуемые центрами реагирования на компьютерные инциденты (например, уведомления CERT), платежными системами (например, уведомления платежной системы VISA), производителями технических и программных средств;
- уведомления, публикуемые в общедоступных базах данных уязвимостей, а также распространяемые по подписке (например, www.cve.mitre.org);
- сообщения об уязвимостях в ППО, направляемые сторонними специалистами в адрес организации БС Российской Федерации или публикуемые ими в общедоступных источниках.
3. Независимый методический анализ уязвимостей ОО с использованием документации, руководств, функциональной спецификации, проекта ОО, описания архитектуры безопасности и представления реализации, с целью идентифицикации потенциальных уязвимостей в ОО. Анализ включает выявление типовых ошибок программирования и иных дефектов, приводящих к возникновению уязвимостей. При этом выявлению подлежат уязвимости кода и уязвимости конфигурации ОО.
4. Тестирование на проникновение, основанное на идентифицированных уязвимостях, с целью формирования заключения о том, что ОО является стойким к нападениям, выполняемым нарушителем, обладающим высоким потенциалом нападения. При тестировании на проникновение исполнитель осуществляет поиск уязвимостей ОО, воспроизводя действия злоумышленника.
Результатами работ являются:
1. Протокол анализа уязвимостей.
2. Отчет о тестировании на проникновение.
3. Заключение по итогам анализа уязвимостей о подтверждении соответствия прикладного ПО системы требованиям к оценочному уровню доверия не ниже чем ОУД 4, в соответствии с требованиями ГОСТ Р ИСО/МЭК 15408-3-2013.
Срок оказания услуги - от 60 рабочих дней.