Продолжим про "Методику тестирования обновлений безопасности программных, программно-аппаратных средств" от ФСТЭК. Часть 2. На чём тестировать и чем тестировать.
Похоже исследователь может выбирать на чём тестировать обновления. Хоть на проде! 🙂
"Тестирование обновлений безопасности проводится в следующих средах:
а) исследовательском стенде, специально созданном для тестирования обновлений безопасности или иных целей;
б) тестовой зоне информационной системы («песочнице»);
в) информационной системе, функционирующей в штатном режиме.
Выбор среды тестирования обновлений безопасности осуществляет исследователь, исходя из его технических возможностей и угроз нарушения функционирования информационной системы."
Требования к инструментами для тестирования есть, но довольно общие и странновато сформулированные:
"При проведении тестирования обновлений безопасности в соответствии с настоящей Методикой должны применяться инструментальные средства анализа и контроля, функциональные возможности которых обеспечивают реализацию положений настоящей Методики,
имеющие техническую поддержку и возможность адаптации (доработки) под особенности проводимых тестирований,
свободно распространяемые в исходных кодах
или
средства тестирования собственной разработки."
Насколько я понял это 3 опции для средств: гибкие коммерческие на поддержке, опенсурс, самописное. Про готовые комплексные решения для таких задач я не слышал, но возможно они теперь появятся.
@avleonovrus #ФСТЭК #Методика #Patch #PatchTesting #Tools
Похоже исследователь может выбирать на чём тестировать обновления. Хоть на проде! 🙂
"Тестирование обновлений безопасности проводится в следующих средах:
а) исследовательском стенде, специально созданном для тестирования обновлений безопасности или иных целей;
б) тестовой зоне информационной системы («песочнице»);
в) информационной системе, функционирующей в штатном режиме.
Выбор среды тестирования обновлений безопасности осуществляет исследователь, исходя из его технических возможностей и угроз нарушения функционирования информационной системы."
Требования к инструментами для тестирования есть, но довольно общие и странновато сформулированные:
"При проведении тестирования обновлений безопасности в соответствии с настоящей Методикой должны применяться инструментальные средства анализа и контроля, функциональные возможности которых обеспечивают реализацию положений настоящей Методики,
имеющие техническую поддержку и возможность адаптации (доработки) под особенности проводимых тестирований,
свободно распространяемые в исходных кодах
или
средства тестирования собственной разработки."
Насколько я понял это 3 опции для средств: гибкие коммерческие на поддержке, опенсурс, самописное. Про готовые комплексные решения для таких задач я не слышал, но возможно они теперь появятся.
@avleonovrus #ФСТЭК #Методика #Patch #PatchTesting #Tools