[發明專利]一種基于缺陷檢測的軟件安全風險評估方法

有效

• 申請號: 201410174435.8
• 申請日: 2014-04-28
• 公開（公告）號: CN103984623B
• 公開（公告）日: 2017-01-25
• 發明（設計）人: 李曉紅;宋姣嬌;馮志勇;胡靜;朱明悅
• 申請（專利權）人: 天津大學
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 天津市北洋有限責任專利代理事務所12201
• 代理人: 李素蘭

1.一種基于缺陷檢測的軟件安全風險評估方法，其特征在于，該方法包括以下步驟：

步驟一、構建評估指標體系，所述指標體系包括整體層、模塊層、安全屬性層以及測試結果層共4個層次的指標；該步驟具體為安全屬性定義和建立安全缺陷相對于安全屬性的風險分析；其中安全屬性定義了保密性、完整性、可用性、訪問控制、可審計性和無安全隱患作為其子屬性；而建立安全缺陷相對于安全屬性的風險分析則包括軟件缺陷安全風險定性評價、安全屬性與技術損害間的間接對應關系構建、安全缺陷對安全屬性危害程度分析、安全缺陷被利用可能性分析、安全缺陷在安全屬性上的風險分析；在風險分析中還需要確定指標體系中模塊曾各模塊之間的權重和安全屬性層各安全屬性之間的權重和安全缺陷檢測工具權重；

步驟二、采用各種缺陷檢測工具對軟件進行安全缺陷檢測；

步驟三、根據軟件安全檢測報告進行缺陷風險值的初步融合，逐層計算軟件安全風險值，具體包括：安全缺陷類型歸一化、安全缺陷按模塊重組織和安全缺陷風險值計算，根據缺陷的組織結構，進行信任度計算：

先計算安全屬性層中每個安全屬性識別框架{嚴重，高，中，低，注意}的信任度：

m(A)=Σi=1n(SumiASumiALL*ωi)]]>

其中：

A是評估框架子集中的一個元素，A∈{注意，低，中，高，嚴重}；

m(A)是評估框架A的信任度；

i是所采用的缺陷檢測工具集合中一個元素；

Sum_iA是缺陷檢測工具i所檢測出的風險度為A的缺陷數量；

Sum_iALL是缺陷檢測工具i所檢測出的所有缺陷數量；

ω_i是缺陷檢測工具i所占的權重；

計算安全屬性層中每個安全屬性識別框架{不確定度}的信任度，公式如下

其中：

B是評估框架子集中的一個元素，B∈{不確定性}；

m(B)是評估框架B的信任度；

是評估框架子集A全部信任度之和；

然后進行折扣計算，最終得到評估指標中安全屬性層的識別框架信任度，計算如下：

m(A)=Σ∩Ai=A∏i=1n(1-∂i)mi(Ai)1-Σ∩Ai=Φ∏i=1m(1-∂i)mi(Ai)]]>

m(Θ)=(1-∂i)m(Θ)+∂i]]>

識別框架Θ上有多個置信函數，其基本置信函數為m_i，A_i表示各焦元，其權重為W＝(ω₁...ω_n)，則折扣率為函數m:2^θ→[0,1]：

步驟四、基于D-S證據理論的軟件安全風險進行量化評估。