Образец регламента динамического анализа кода и фаззинг-тестирования
Динамический анализ ищет ошибки, которые проявляются только при работе программы. Стандарт ГОСТ Р 56939-2024 требует регламент, инструменты динамического анализа и фаззинг-тестирования, перечень модулей для анализа, сценарии для каждого модуля, тестовые коллекции входных данных и устранение найденных ошибок (пункт 5.11). Для ПО значимых объектов КИИ фаззинг требует подпункт 29.3.2 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239, а динамический анализ — для объектов 1 категории.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 800 ₽.
Регламент динамического анализа кода и фаззинг-тестирования по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- перечень инструментов динамического анализа и фаззинга;
- перечень модулей для анализа — из перечня целей модели угроз;
- сценарии анализа для каждого модуля;
- требования к тестовым коллекциям входных данных;
- длительность прогонов и момент их проведения;
- порядок обработки срабатываний и аварийных завершений, повторного анализа.
Как оформить
- Возьмите цели из модели угроз и поверхности атаки.
- Для каждой цели подберите инструмент и соберите начальную коллекцию входных данных.
- Установите длительность прогонов: короткие — в конвейере, длительные — перед выпуском.
- Опишите, как аварийное завершение превращается в недостаток и регрессионный тест.
- Утвердите регламент.
Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.
Сформировать в ГрамотаИБЧастые вопросы
Чем динамический анализ отличается от фаззинга?
Фаззинг — один из методов динамического анализа: программе подают заведомо некорректные и изменённые входные данные. Динамический анализ шире — сюда относятся сканирование веб-интерфейсов, санитайзеры, профилирование и отладка (примечание к пункту 5.11.2.5 ГОСТ Р 56939-2024).
Сколько должен длиться фаззинг?
Стандарт срок не устанавливает. Его определяет регламент; отчёт по фаззингу должен содержать длительность, число аварийных завершений и число найденных путей выполнения (пункт 5.11.3.6 ГОСТ Р 56939-2024).
Документы того же комплекта
Входит в полный комплект
- Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Проверки кода по ГОСТ Р 56939-2024: статический и динамический анализ, фаззинг, тестирование».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.