[發明專利]基于形式化建模的軟件安全需求獲取方法

有效

• 申請號: 201510219729.2
• 申請日: 2015-04-30
• 公開（公告）號: CN104881606B
• 公開（公告）日: 2017-12-26
• 發明（設計）人: 李曉紅;李洪波;吳曉菲;孫達志;張蕾
• 申請（專利權）人: 天津大學
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 天津市北洋有限責任專利代理事務所12201
• 代理人: 李素蘭

1.一種基于形式化建模的軟件安全需求獲取方法，其特征在于，以國際安全標準ISO/IEC 15408/CC標準為指導，參照包括通用缺陷列表CWE、攻擊模式枚舉與分類CAPEC在內的多種國際通用漏洞、威脅信息庫，采用形式化語言對系統資產、行為和缺陷進行描述，建立了一套完整的安全知識庫，然后以此安全知識為基礎，建立了一套軟件安全需求自動獲取方法，該方法包括以下步驟：

首先在資產庫中選取所涉及到的資產；

以資產為起點構建系統行為序列，行為序列中的行為從行為庫中選取；

進行安全環境分析，包括缺陷匹配、威脅確認、組織安全策略和安全假設；所述缺陷匹配的處理具體包括將構建好的行為隊列與各缺陷的匹配要求進行匹配，若匹配成功則驗證該缺陷的安全約束即是否存在此類缺陷；所述威脅確認的處理具體包括根據缺陷與威脅的映射關系自動獲取到系統中存在的威脅，并進一步對這些威脅進行確認；所述組織安全策略的處理具體包括從安全策略庫中選取安全策略；所述安全假設的處理具體包括從安全假設庫中選取安全假設；

進行安全目的分析，包括導出安全目的、安全需求等級和安全保證等級；所述導出安全目的的處理具體包括根據上一步驟得到的系統中存在的威脅、組織安全策略、安全假設，通過這三者與安全目的的關聯關系，獲取系統安全目的；所述安全需求等級的處理具體包括根據系統的性質選定系統種類，并根據系統對安全性的要求評定系統安全需求等級，根據三維安全需求等級規則表獲得該系統在各安全特性下的安全需求等級；所述安全保證等級的處理具體包括確定系統安全保證等級；

進行安全要求導出，包括功能組件確認和保證組件確認；所述功能組件確認的處理具體包括根據安全目的、安全假設和組織安全策略三者與安全功能組件的映射關系獲得該系統所需的安全功能組件，再驗證這些篩選到的組件是否符合系統各安全特性的等級，將不符合的組件去除，從而得到該系統所需的安全功能組件；所述保證組件確認的處理具體包括根據安全目的與安全保證組件，安全保證等級與安全保證組件的關系，篩選得到該系統所需的安全保證組件；

生成系統安全需求文檔，該文檔至少包含系統資產、行為序列、缺陷、威脅、安全策略、安全假設、安全目的、安全需求等級、安全保證等級、安全功能組件和安全保證組件的信息。