Формирование подхода к автоматизации тестирования СЗИ, функционирующих в ОС, в конструктив которых входит флеш-память

Статья посвящена определению особенностей ручного и автоматизированного тестирования средств защиты информации (СЗИ), в конструктив которых входит флеш-память, функционирующих в ОС. Формируется и описывается подход к автоматизации тестирования рассматриваемых СЗИ.

Тестирование СЗИ, автоматизированное тестирование, подходы к автоматизации, СЗИ, в конструктив которых входит флеш-память, перекрестное функциональное тестирование, USB-прерыватель питания.

Formation of the approach for testing automation of DST with flash memory that operate in OS

The article is devoted to the singularities of manual and automated testing of data security tools (DST) with flash memory that operate in OS environment. Authors describe the approach for testing automation of such DST.

DST testing, automated testing, testing automation approaches, DST with flash memory, functional cross-testing, USB circuit-breaker.

Требования к средствам защиты информации (СЗИ) постоянно меняются. В связи с этим компаниям-производителям СЗИ, чтобы идти в ногу со временем, необходимо совершенствовать выпускаемые ими продукты, изменяя их под требования заказчиков. При этом разработчики должны обязательно учитывать, что добавление новых возможностей не должно повлиять в худшую сторону на уже существующие. Поэтому при совершенствовании уже существующего продукта, точно также как и при выпуске нового, обязательным этапом разработки должно являться его тестирование.

Как известно, тестирование любого продукта, в том числе и СЗИ, может быть ручным, автоматизированным и полуавтоматизированным. В случае ручного тестирования используется заранее подготовленная программа и методика испытаний (ПМИ), составленная на основании требований, предъявляемых к продукту. Если ПМИ составлена грамотно, то она служит хорошим помощником для тестировщика, описывая четкую последовательность его действий. После выполнения всех пунктов ПМИ на основании полученных результатов можно сделать вывод о соответствии СЗИ заявленным требованиям, а также оценить найденные ошибки, их критичность и возможность выпуска продукта. Однако, как правило, тестирование вручную занимает слишком много времени, и зачастую, не «успевает» за скоростью внесения изменений в продукт. Поэтому целесообразно внедрять и использовать автоматизированное тестирование, так как, по сравнению с ручным, оно имеет ряд достоинств, которые помогают успевать за быстро изменяемыми требованиями: высокая скорость выполнения тестирования, более быстрый анализ его результатов, а также тестировщик не должен постоянно присутствовать при выполнении теста и следить за данным процессом. Полуавтоматизированное тестирование тоже обладает указанными преимуществами, связанными со временем, однако все же требует постоянного участия тестировщика, который бы выполнял ряд действий при выполнении автоматизированных тестов.

Возможность автоматизации тестирования того или иного СЗИ очень сильно связана с тем, о каком именно средстве защиты идет речь. СЗИ могут быть программными или программно-аппаратными. И те и другие, в свою очередь, могут функционировать до момента загрузки ОС или непосредственно в самой ОС.

В случае с программными СЗИ, работающими в среде ОС, особой сложности в автоматизации их тестирования нет — достаточно разработать автоматизированные тесты, воспользовавшись программой и методикой испытаний, построенной на основании требований к продукту. В случае же с автоматизацией тестирования программно-аппаратных СЗИ обоих видов, существует ряд проблем, связанных с наличием аппаратной составляющей, которые затрудняют применение стандартного подхода к автоматизации. Если говорить о СЗИ (как программных, так и программно-аппаратных), начинающих свою работу до момента старта ОС, то автоматизация тестирования затруднена за счет невозможности использования средств автоматизированного тестирования до загрузки ОС. Поэтому данный вопрос вынесем за рамки статьи, и рассмотрим автоматизацию тестирования СЗИ, используемых для защиты данных в среде ОС. При этом рассмотрим те СЗИ, функционирующие в ОС, в конструктив которых входит флеш-память (далее — СЗИ с флеш-памятью), как наиболее сложный случай. Сложность их в том, что они представляют собой комплекс программного обеспечения (ПО) и составного аппаратного устройства, включающего в себя:

• компоненты, непосредственно реализующие функции по защите информации (микропроцессор, внутреннее ПО, ПО в ОС и т. п.);
• прочие компоненты, не реализующие функции защиты на прямую, в данном случае — это флеш-память.

К таким средствам защиты относятся ПСКЗИ ШИПКА на базе ШИПКА-2.0 в составе программно-аппаратного комплекса (ПАК) «Центр-Т» и служебные носители (СН) Секрет из программно-аппаратных комплексов семейства «Секрет»: ПАК «Личный Секрет», ПАК «Секрет Фирмы» и ПАК «Секрет Особого Назначения».

При тестировании (как ручном, так и автоматизированном) таких СЗИ необходимо проверять корректность работы обеих его составляющих. Поэтому в программу и методику испытаний включается тестирование как компонент, реализующих защитные функции, так и флеш-памяти. Естественно, что при автоматизации тестирования таких СЗИ необходимо обращать внимание на обе части.

В общем случае тестирование принято разделять на функциональное (тестирование реализуемого функционала продукта, включая взаимодействие его компонент) и нефункциональное (нагрузочное, стрессовое тестирование, тестирование удобства использования и т. п.). При тестировании СЗИ, работающих в среде ОС, в конструктив которых входит флеш-память, аналогично имеют место оба вида тестирования.

Функциональное тестирование в рассматриваемом случае включает в себя тестирование как компонент, реализующих защитные функции, так и флеш-памяти. Для ручного проведения такого тестирования достаточно воспользоваться разработанной программой и методикой испытаний (ПМИ), включающей описание пунктов проверок обеих перечисленных частей СЗИ. При автоматизации этих проверок, достаточно воспользоваться данной ПМИ, на основании которой разработать автоматизированные тесты. Единственным нюансом, который может возникнуть из-за наличия аппаратной составляющей в программно-аппаратном СЗИ, является присутствие в ПМИ требования переподключения этой составляющей в процессе работы теста. Для решения возникшей проблемы разрабатываются специальные USB-прерыватели, позволяющие, при организации автоматизированного тестирования, выполнять отключение питания на шине USB, без физического отключения устройства. Использование такого прерывателя позволяет с легкостью автоматизировать тестирование программно-аппаратных СЗИ, работающих в среде ОС, имеющих интерфейс USB, аналогично тому, как это делается для программных средств защиты, осуществляющих защиту информации в ОС.

Также не стоит забывать о том, что существует необходимость перекрестного функционального тестирования составляющих программно-аппаратного СЗИ (компонент, реализующих защиту информации и флеш-памяти), то есть тестирование их взаимодействия. Для этого необходимо проводить одновременное тестирование флеш-памяти и интерфейса управления. В этом случае автоматизация процесса возможна с использованием скорее специальных утилит, разработанных программистами, нежели чем с использованием тестов, разработанных тестировщиками при помощи средств автоматизированного тестирования. Это связно с тем, что, как правило, используемые вызовы реализованы на более «низком» уровне, чем это доступно тестировщику.

Нефункциональное (стрессовое или нагрузочное) тестирование программно-аппаратных СЗИ, работающих в среде ОС, и имеющих фреш-память, также должно проверять корректность работы и компонент, реализующих защитные функции и флеш-памяти. При автоматизации тестирования в первом случае необходима разработка нагрузочных и стрессовых тестов на основании специально подготовленной ПМИ. Здесь действуют все те же правила, что и при описанном выше функциональном тестировании. Во втором же случае, когда тестируется флеш-память, нет необходимости разрабатывать собственные автоматизированные тесты, так как в настоящее время существует множество утилит, позволяющих провести данное тестирование и упрощающих жизнь тестировщику (например, CheckFlash).

На основе вышесказанного можно сделать вывод, что тестирование СЗИ, фукнционирующих в ОС, в конструктив которых входит флеш-память, аналогично тестированию СЗИ, работающих в среде ОС, без нее, за исключением тестирования взаимодействия составляющих его компонент. Также хотелось бы подчеркнуть, что описанный в статье подход будет корректен не только для СЗИ, приведенных в виде примера в данной статье, но и для других средств защиты, работающих в среде ОС, в состав которых входит флеш-память.

Авторы: Каннер(Борисова) Т. М.; Куваева К. А.

Дата публикации: 01.01.2014

Библиографическая ссылка: Каннер (Борисова) Т. М., Куваева К. А. Формирование подхода к автоматизации тестирования СЗИ, функционирующих в ОС, в конструктив которых входит флеш-память // Вопросы защиты информации: Научно-практический журнал. М.: ФГУП «ВИМИ», 2014. Вып. 4 (107). С. 52–54.

---