Недекларированные возможности (НДВ) — что это, поиск, сертификация, защита

Недекларированные возможности (НДВ) — это функциональность программного обеспечения, которая не описана в документации на ПО, не соответствует заявленным функциям и может быть использована для нарушения конфиденциальности, целостности или доступности информации.

Термин НДВ часто используется как синоним «программной закладки» или «бэкдора» (backdoor), однако НДВ — более широкое понятие. Оно включает любые недокументированные функции, которые могут быть использованы как во вред, так и в легитимных целях. Например, скрытый API для отладки или недокументированная команда для диагностики — это тоже НДВ.

Основное отличие НДВ от уязвимости в том, что уязвимость — это случайный дефект (ошибка) в ПО, а НДВ — это намеренно внедрённая функция. Уязвимости могут быть устранены обновлением, НДВ — нет без изменения кода.

Недекларированные возможности классифицируются по различным признакам:

По способу активации:

• Постоянные — всегда активны, используют штатные функции системы
• Активируемые по событию — запускаются при определённых условиях (дата, команда, сетевой пакет, определённая последовательность действий)
• Ключезависимые — активируются специальной последовательностью данных (пароль, ключ, синхропосылка)

По цели:

• Несанкционированный доступ к данным (чтение, копирование)
• Модификация или уничтожение информации
• Скрытая передача данных (stealth-каналы, скрытые DNS-туннели)
• Вывод из строя ПО или оборудования (логические бомбы)
• Скрытое управление системой (удалённый доступ)

По месту нахождения:

• В операционной системе (скрытые процессы, службы)
• В прикладном ПО (документооборот, бухгалтерия)
• В микропрограммах (firmware — BIOS, UEFI, контроллеры)
• В драйверах устройств (наиболее опасны, работают на уровне ядра)

Контроль отсутствия НДВ является обязательным этапом сертификации ПО по требованиям ФСТЭК России. Основные методы:

1. Статический анализ кода (SAST)

Автоматизированная проверка исходного кода с использованием анализаторов. Позволяет выявить подозрительные конструкции и вызовы функций, неиспользуемый («мёртвый») код, небезопасные функции (strcpy, gets, system), скрытые каналы передачи данных, жёстко заданные пароли и ключи.

2. Динамический анализ (DAST, Fuzzing)

Анализ поведения ПО во время выполнения. Позволяет выявить незадокументированные функции, активируемые при определённых условиях, несанкционированные сетевые соединения, нестандартное поведение при обработке данных.

3. Реверс-инжиниринг (дизассемблирование)

Глубокий анализ исполняемого кода для выявления скрытых функций. Используется, когда исходный код недоступен. Включает дизассемблирование, декомпиляцию, анализ трассировки выполнения, анализ сетевого трафика.

АО «РНТ» имеет аккредитованные лаборатории для проведения исследований ПО на отсутствие НДВ в рамках сертификации. Подробнее: услуги по сертификации.

Порядок контроля отсутствия НДВ установлен Приказом ФСТЭК № 31 от 14.02.2020. Сертификация ПО на отсутствие НДВ включает следующие этапы:

1. Подача заявки в аккредитованный орган по сертификации
2. Анализ исходных текстов ПО — статический анализ кода с использованием сертифицированных инструментов
3. Динамическое тестирование — проверка поведения ПО в运行时 (runtime)
4. Проверка документации — анализ соответствия документации фактическому функционалу
5. Выдача сертификата соответствия — сроком до 3 лет с возможностью продления

Основные нормативные документы, регулирующие контроль НДВ в России:

• ГОСТ Р 56545-2015 — «Защита информации. Уязвимости информационных систем. Термины и определения». Устанавливает базовые понятия в области уязвимостей и НДВ
• Приказ ФСТЭК № 31 от 14.02.2020 — «Об утверждении требований к контролю отсутствия недекларированных возможностей». Определяет порядок проведения контроля
• ГОСТ Р ИСО/МЭК 15408 — «Общие критерии оценки безопасности информационных технологий». Международный стандарт, адаптированный в РФ
• Приказ ФСТЭК № 21 — общие требования к защите информации, включая требования к ПО

За использование ПО с выявленными НДВ на объектах КИИ и в госорганах предусмотрена административная и уголовная ответственность (ст. 273, 274.1 УК РФ).