Приложение А

Приложение А

Расширенные компоненты функциональных требований безопасности объекта оценки

Для ОО определены следующие компоненты функциональных требований безопасности, сформулированные в явном виде в стиле компонентов из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" (расширенные (специальные) компоненты).

А.1. Класс FDP "Защита данных пользователя"

А.1.1. Шифрование защищаемой информации приложения (FDP_DAR_EXT)

Характеристика семейства

Семейство FDP_DAR_EXT "Шифрование защищаемой информации приложения" определяет компоненты требований, направленные на обеспечение защиты защищаемой информации, которые хранятся и обрабатываются ОО.

Ранжирование компонентов

FDP_DAR_EXT.1 "Шифрование защищаемой информации приложения" предназначен для задания требований, связанных с тем, чтобы ОО выполнял конкретные процедуры для защиты защищаемой информации, находящиеся под контролем ОО.

Управление: FDP_DAR_EXT.1

Действия по управлению не определены.

Аудит: FDP_DAR_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FDP_DAR_EXT.1	Шифрование защищаемой информации приложения
Иерархический для:	нет подчиненных компонентов.
Зависимости:	отсутствуют.
FDP_DAR_EXT.1.1	ФБО должны [выбор: не хранить любую защищаемую информацию; усилить предоставленную платформой функциональность для шифрования защищаемой информации; реализовать функциональность для шифрования защищаемой информации; ] в энергонезависимой памяти.

А.2. Класс FIA "Идентификация и аутентификация"

А.2.1. Идентификация сессий веб-приложений (FIA_IWS_EXT)

Характеристика семейства

Семейство FIA_IWS_EXT "Идентификация сессий веб-приложений" определяет компоненты требований, направленные на предотвращение некорректного использования и раскрытия идентификаторов сессий веб-приложений.

Ранжирование компонентов

FIA_IWS_EXT.1 "Идентификация сессий веб-приложений" предназначен для задания требований, связанных с предотвращением некорректного использования и раскрытия идентификаторов сессий веб-приложений.

Управление: FIA_IWS_EXT.1

Действия по управлению не определены.

Аудит: FIA_IWS_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FIA_IWS_EXT.1	Идентификация сессий веб-приложений
Иерархический для:	нет подчиненных компонентов.
Зависимости:	отсутствуют.
FIA_IWS_EXT.1.1	ФБО должны [выбор: нет идентификации сессий веб-приложений; исключать использование предсказуемых идентификаторов сессий; исключать возможность повторного использования идентификатора сессии (в том числе использование одинаковых идентификаторов в нескольких сессиях одного пользователя, неизменность идентификатора сессии после повторной аутентификации пользователя); исключать возможность использования идентификатора сессии после ее завершения; исключать возможность раскрытия идентификаторов сессий, в том числе передачу идентификаторов в незашифрованном виде, а также включение идентификаторов в запись журналов регистрации событий, в сообщения об ошибках ].

А.3. Класс FMT "Управление безопасностью"

А.3.1. Конфигурация безопасности по умолчанию (FMT_CFG_EXT)

Характеристика семейства

Семейство FMT_CFG_EXT "Конфигурация безопасности по умолчанию" определяет компоненты требований, направленные на ограничение предоставления уполномоченным пользователям функциональности ОО при его конфигурировании по умолчанию.

Ранжирование компонентов

FMT_CFG_EXT.1 "Конфигурация безопасности по умолчанию" предназначен для задания требований, связанных с предоставлением уполномоченным пользователям только ограниченной функциональности ОО при его конфигурировании по умолчанию.

Управление: FMT_CFG_EXT.1

Действия по управлению не определены.

Аудит: FMT_CFG_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FMT_CFG_EXT.1	Конфигурация безопасности по умолчанию
Иерархический для:	нет подчиненных компонентов.
Зависимости:	FMT_SMF.1 Спецификация функций управления.
FMT_CFG_EXT.1.1	ФБО должны при установке новых учетных данных, когда конфигурируются с учетными данными по умолчанию или без учетных данных, предоставить [назначение: уполномоченные пользователи] только ограниченную функциональность.
FMT_CFG_EXT.1.2	ФБО должны запрещать создание технологических учетных записей со стандартными паролями и иными механизмами аутентификации, использующими стандартный секрет для аутентификации, задаваемыми автоматически при установке программного обеспечения.

А.3.2. Поддерживаемый механизм конфигурации (FMT_MEC_EXT)

Характеристика семейства

Семейство FMT_MEC_EXT "Поддерживаемый механизм конфигурации" определяет компоненты требований, направленные на защиту конфигурационной информации ОО.

Ранжирование компонентов

FMT_MEC_EXT.1 "Поддерживаемый механизм конфигурации" предназначен для задания требований, связанных с тем, чтобы ОО обеспечивал соответствующими механизмами защиту параметров конфигурации (настроек) от несанкционированной модификации и использование для их хранения и установки механизмов, рекомендованных производителем платформы.

Управление: FMT_MEC_EXT.1

Действия по управлению не определены.

Аудит: FMT_MEC_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FMT_MEC_EXT.1	Поддерживаемый механизм конфигурации
Иерархический для:	нет подчиненных компонентов.
Зависимости:	FMT_SMF.1 Спецификация функций управления.
FMT_MEC_EXT.1.1	ФБО должны защищать хранилища параметров конфигурации (настроек) ОО от несанкционированного доступа.
FMT_MEC_EXT.1.2	ФБО должны обеспечить возможность экспорта параметров конфигурации ОО в формат, пригодный для анализа пользователем.
FMT_MEC_EXT.1.3	ФБО должны использовать для хранения и установки параметров конфигурации ОО механизмы, предусмотренные платформой.

А.4. Класс FPR "Приватность"

А.4.1. Согласие пользователей на обработку персональных данных (идентификационной информации) (FPR_ANO_EXT)

Характеристика семейства

Семейство FPR_ANO_EXT "Согласие пользователей на обработку персональных данных (идентификационной информации)" определяет компоненты требований, направленные на защиту и предотвращение злоупотребления персональными данными пользователей.

Ранжирование компонентов

FPR_ANO_EXT.1 "Согласие пользователей на обработку персональных данных (идентификационной информации)" предназначен для задания требований, связанных с тем, чтобы обработка персональных данных пользователя осуществлялась только после получения его согласия на их использование.

Управление: FPR_ANO_EXT.1

Действия по управлению не определены.

Аудит: FPR_ANO_EXT.1:

Действия или события, подвергаемые аудиту, не определены.

FPR_ANO_EXT.1	Согласие пользователей на обработку персональных данных (идентификационной информации)
Иерархический для:	нет подчиненных компонентов.
Зависимости:	отсутствуют.
FPR_ANO_EXT.1.1	ФБО должны: [выбор: не обрабатывать персональную идентификационную информацию; запрашивать согласие пользователя на обработку его персональной идентификационной информации ], защита которой требуется в соответствии с законодательством.

А.5. Класс FPT "Защита ФБО"

А.5.1. Противодействие использованию уязвимостей безопасности (FPT_AEX_EXT)

Характеристика семейства

Семейство FPT_AEX_EXT "Противодействие использованию уязвимостей безопасности" определяет компоненты требований, направленные на обеспечение противодействия возможности использования нарушителем потенциальных уязвимостей ОО.

Ранжирование компонентов

FPT_AEX_EXT.1 "Противодействие использованию уязвимостей безопасности" предназначен для задания требований, связанных с применением средств и процедур, с помощью которых ОО может противостоять действиям нарушителя по использованию потенциальных уязвимостей.

Управление: FPT_AEX_EXT.1

Действия по управлению не определены.

Аудит: FPT_AEX_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FPT_AEX_EXT.1	Противодействие использованию уязвимостей безопасности
Иерархический для:	нет подчиненных компонентов.
Зависимости:	отсутствуют.
FPT_AEX_EXT.1.1	ФБО не должны требовать отображения памяти с явными адресами, за исключением [назначение: список явных исключений].
FPT_AEX_EXT.1.2	ФБО должны [выбор: не выделять никакую область памяти с разрешениями писать и выполнять; выделять области памяти с разрешениями писать и выполнять только для [назначение: список функций, выполняющих компиляцию just-in-time] ].
FPT_AEX_EXT.1.3	ФБО должны [выбор: запрещать запись пользовательской информации в системные директории; разрешать запись пользовательской информации [назначение: список системных директорий] ].
FPT_AEX_EXT.1.4	ФБО не должны использовать элементы управления в графическом интерфейсе пользователя ППО, предназначенные для выполнения операций, права на выполнение которых у пользователя отсутствуют.
FPT_AEX_EXT.1.5	ФБО должны быть совместимы со средствами защиты, предоставляемыми поставщиком платформы.
FPT_AEX_EXT.1.6	ФБО не должны записывать модифицируемые пользователем файлы в директории, которые содержат исполняемые файлы, если делать так явно не предписано разработчиком.
FPT_AEX_EXT.1.7	ФБО должны позволять смену пароля пользователем или иного используемого параметра аутентификации только после предварительной аутентификации.
FPT_AEX_EXT.1.8	ФБО должны обеспечивать предварительную инициализацию переменных и структур данных при выделении оперативной памяти.
FPT_AEX_EXT.1.9	ФБО должны исключать возможность просмотра содержимого каталогов веб-сайта в случаях, когда такой просмотр не является необходимым.
FPT_AEX_EXT.1.10	ФБО не должны использовать при обработке данных в формате XML внешние сущности (External Entity), внешние параметры сущностей (External Parameter Entity) и внешние описания типа документа (External Doctype).
FPT_AEX_EXT.1.11	ОО не должен требовать для своего выполнения прав администратора операционной системы, за исключением случаев, когда такие права технически необходимы для корректного функционирования ОО.

А.5.2. Использование поддерживаемых сервисов и прикладных программных интерфейсов (FPT_API_ЕХT)

Характеристика семейства

Семейство FPT_API_ЕХT "Использование поддерживаемых сервисов и прикладных программных интерфейсов" определяет компоненты требований, направленные на обеспечение применения сервисов и прикладных программных интерфейсов, разрешенных производителем платформы.

Ранжирование компонентов

FPT_API_ЕХT.1 "Использование поддерживаемых сервисов и прикладных программных интерфейсов" предназначен для задания требований, связанных с обеспечением применения в ОО только задокументированных разработчиком платформы сервисов и прикладных программных интерфейсов.

Управление: FPT_API_ЕХT.1

Действия по управлению не определены.

Аудит: FPT_API_ЕХT.1

Действия или события, подвергаемые аудиту, не определены.

FPT_API_ЕХT.1	Использование поддерживаемых сервисов и прикладных программных интерфейсов
Иерархический для:	нет подчиненных компонентов.
Зависимости:	отсутствуют.
FPT_API_EXT.1.1	ФБО должны использовать в программном продукте только задокументированные производителем сервисы и прикладные программные интерфейсы платформы.
FPT_API_EXT.1.2	ФБО должны использовать механизмы, предоставляемые архитектурой процессора, операционной системой и средствами компиляции кода (например, защиты от переполнения буфера, защиты от нарушения обработки исключений, защиты от исполнения кода в сегментах стека и данных, случайного размещения сегментов в адресном пространстве);
FPT_API_EXT.1.3	ФБО не должны использовать функции стандартных библиотек, уязвимых к атакам переполнения буфера, при наличии аналогичных функций со встроенной защитой.

А.5.3. Использование сторонних библиотек (FPT_LIB_EXT)

Характеристика семейства

Семейство FPT_LIB_EXT "Использование сторонних библиотек" определяет компоненты требований, направленные на ограничение использования в ОО сторонних библиотек только разрешенными к применению.

Ранжирование компонентов

FPT_LIB_EXT.1 "Использование сторонних библиотек" предназначен для задания требований, связанных с обеспечением возможности применения в ОО только разрешенных сторонних библиотек.

Управление: FPT_LIB_EXT.1

Действия по управлению не определены.

Аудит: FPT_LIB_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FPT_LIB_EXT.1	Использование сторонних библиотек
Иерархический для:	нет подчиненных компонентов.
Зависимости:	отсутствуют.
FPT_LIB_EXT.1.1	ФБО должны использовать только [назначение: список разрешенных сторонних библиотек].

А.5.4. Целостность при установке и обновлении (FPT_TUD_EXT)

Характеристика семейства

Семейство FPT_TUD_EXT "Целостность при установке и обновлении" определяет компоненты требований, направленные на обеспечение целостности компонентов ОО при его установке и обновлении.

Ранжирование компонентов

FPT_TUD_EXT.1 "Целостность при установке и обновлении" предназначен для задания требований, связанных с обеспечением наличия в объекте оценки механизмов, обеспечивающих поддержание доверия к безопасности ОО при его установке и обновлении.

Управление: FPT_TUD_EXT.1

Действия по управлению не определены.

Аудит: FPT_TUD_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FPT_TUD_EXT.1	Целостность при установке и обновлении
Иерархический для:	нет подчиненных компонентов.
Зависимости:	отсутствуют.
FPT_TUD_EXT.1.1	ФБО должны [выбор: предоставлять возможность; эффективно использовать платформу ], чтобы проверить обновление и установку патчей для ОО.
FPT_TUD_EXT.1.2	Программное обеспечение ОО должно распространяться с использованием формата, поддерживаемого платформой диспетчера пакетов.
FPT_TUD_EXT.1.3	Программное обеспечение ОО должно быть упаковано таким образом, чтобы его удаление приводило к удалению всех его следов, за исключением параметров конфигурации, выходных файлов и контрольных/ регистрационных событий.
FPT_TUD_EXT.1.4	Программное обеспечение ОО не должно загружать, изменять, заменять или обновлять его собственный двоичный код.
FPT_TUD_EXT.1.5	Программное обеспечение ОО должно [выбор: предоставлять возможность, эффективно использовать платформу ], чтобы выяснить текущую версию прикладного программного обеспечения.