论文网
关于软件开发论文范文参考文献,与软件安全性检测技术综述相关论文答辩
本论文是一篇关于软件开发论文答辩,关于软件安全性检测技术综述相关毕业论文的格式范文。免费优秀的关于软件开发及测试及数据库方面论文范文资料,适合软件开发论文写作的大学硕士及本科毕业论文开题报告范文和学术职称论文参考文献下载。
340;辅助下重复上述过程,完成测试过程.该方法的不足之处在于有限的样本尺寸限制了代码覆盖率.
1.7基于风险的安全性测试
风险即错误发生的可能性以及造成的危害程度.基于风险的安全测试的出发点和依据是软件安全风险,把风险分析与管理、安全测试以及软件开发过程系统化.该方法具有在软件开发的各个阶段可以把有风险的安全漏洞考虑在内,将安全测试与软件开发同步进行的优点[14].
BradArkin、GaryMcGraw等人[15]研究了基于风险的安全测试方法,在软件开发的各个阶段进行异常场景、误用模式、风险分析以及渗透测试等,其实质是将安全测试相关过程集成到软件开发的整个生命周期中.
1.8基于故障树的安全性测试
基于故障树的安全测试技术[16-20]是利用故障分析树和故障树来生成安全性测试用例的方法,故障树（威胁树）[21]实际上是一种将系统故障（威胁）形成原因由上到下柱层细化的过程.
HuangSong[22,23]等选择了CERT/CC的TOP10瑕疵用来建立威胁树以生成测试序列.
1.8.1威胁树
威胁树由威胁节点构成,根节点为待检测瑕疵,将其向下分解,生成子节点（即须要实现父节点的必要步骤）,子节点继续向下分解直到无可分解）.节点分与节点和或节点两种,如图2所示.
图2节点类型
以SQL注入为例,其威胁树和测试序列生成方法如下：
1.8.2威胁树生成方法
A.选择一种典型瑕疵（待测瑕疵）作为根节点；
B.分析该节点,并将其作为父节点,将其所对应的所有情况作为子节点；标记父节点位与节点或者或节点；
C.分解子节点；
D.重复A-C,直到无可分解.
1.8.3生成测试序列
图3为SQL的注入威胁树,其中SQLinjection为与节点,其五个子节点为与关系,其中第四个节点为或节点,则其子节点为或关系.其测试序列为：a-b-c-e-d和a-b-c-f-d.
本文地址:http://www.sxsky.net/benkelunwen/06036712.html
目前该方法还是手动进行的,工作量较大,需要设计自动化的方法才有更大的应用价值.
1.9基于渗透的安全性测试
这是一种评估网络安全性和主机系统的模拟攻击过程,安全工程师可以通过这种方式深入探测目标的安全性.渗透测试分两类：被动攻击和主动攻击,被动攻击不直接进入目标系统,而主动攻击则要直接侵入目标系统.渗透测试步骤[24]如下所示：
ShuXiao[25]等设计了一种用于网络协议安全测试的解决方案,建立了一套完整的协议代码健壮性评估环境.该环境的核心测试系统包括多功能测试引擎和PDU（协议数据单元）生成工具两部分.
其中测试引擎工作流程为,首先由预定义资源或者命令行参数来决定内部功能模块的属性,这些内部功能模块包括发送接收模块、反馈模块、测试样本库模块；然后,发送模块从测试样本库获取一个测试样本,发送给指定的后处理单元（TCP/UDP或IP套接字）,数据被封装；之后封装的数据传递给虚拟网络接口,由它发送给特定的目的单元.与此同时,发送模块还会通知接收单元接收同步响应消息,并将其放入响应池,然后接收模块调用反馈模块分析返回包,根据其做出相应的修正,来决定下一个测试样本.如此循环,如图3所示.PDU（协议数据单元）生成工具由Perl编写,可以由PDU模版获取规则,由此而生成所有的测试样本.该系统在发现一般软件漏洞以及对于网络协议漏洞引起的问题的异常处理是十分有效的.适用于现代网络产业环境中的自动检测.该系统也支持同步接口错误注入.作为一种非传统测试方法,有助于生产更安全的软件产品.
该方法具有较大的局限性,仅对TCP/IP协议漏洞检测有效,对于其他的协议和网络通讯软件的测试还无能为力.
CsabaNagy[26]等提出的基于输入相关错误的静态安全性分析方法是基于这样一个思想：输入数据是沿着一定的路径传递的,而错误可以出现在任何地方,但是当错误出现在该路径上,它就会成为一个安全漏洞.该方法的步骤如下：
A.找到数据输入点
B.得到程序中的输入点集
C.列出危险（输入相关函数）函数列表
D.自动检测
该方法技术上采用了程序依存图和系统依存图来进行分析,通过输入覆盖指标和输入距离指标来衡量数据距离原始输入的距离以及输入相关函数得到输入的位置,这两个指标可以告诉我们哪些函数是和用户输入相关的.得到这些函数后就可以进行自动错误检测了.
1.10其他分类方法
此外,根据测试对象的不同,软件安全测试还可分为应用程序安全测试、操作系统安全测试、数据库安全测试、IIS服务器安全测试、网络环境安全测试.具体如表3所示：
2总结
软件安全测试的实现有诸多的困难,需要测试工程师拥有高效的工具,丰富的经验、全面的技能,这是一个相互联系的整体.丰富的经验包括对软件安全漏洞,以及各种黑客攻击手段的充分了解；全面的技能包括掌握编程、网络、数据库等知识；在此基础上方能开发出高效的软件安全测试工具.
参考文献：
[1]魏怀鉴,鲍皖苏.形式化方法和测试技术及其在安全中的应用[J].微计算机信息,2006,22（11）：55-57.
[2]ChenH,WagnerD.MOPS：aninfrastructureforexaminingsecuritypropertiesofsoftware[C]//Proceedingsofthe9thACMconferenceonComputerandmunicationssecurity.ACM,2002：235-244.
[3]LodderstedtT,BasinD,DoserJ.SecureUML：AUML-basedmodelinglanguageformodel-drivensecurity[M]//UML2002―TheUnifiedModelingLanguage.SpringerBerlinHeidelberg,2002：426-441.
[4]ShengQZ,BenatallahB.ContextUML：aUML-basedmodelinglanguageformodel-drivendevelopmentofcontext-awarewebservices[C]//MobileBusiness,2005.ICMB2005.InternationalConferenceon.IEEE,2005：206-212.
[5]ShahmehriN,MammarA,MontesdeOcaE,etal.Anadvancedapproachform
关于软件开发论文范文参考文献
[6]BlackburnM,BusserR,NaumanA,etal.Model-basedapproachtosecuritytestautomation[J].ProccedingsofQualityWeek2001,2001.
[7]GodefroidP,KiezunA,LevinMY.Grammar-basedwhiteboxfuzzing[C]//ACMSIGPLANNotices.ACM,2008,43（6）：206-215.
[8]TalO,KnightS,DeanT.Syntax-basedVulnerabilityTestingofFrame-basedNetworkProtocols[C]//PST.2004：155-160.
[9]GodefroidP,KiezunA,LevinMY.Grammar-basedwhiteboxfuzzing[C]//ACMSIGPLANNotices.ACM,2008,43（6）：206-215.
[10]QuB,HuangY,XieX,etal.ADevelopedDynamicEnvironmentFaultInjectionToolforComponentSecurityTesting
关于软件开发论文范文参考文献,与软件安全性检测技术综述相关论文答辩参考文献资料：