基于靜態(tài)分析的軟件安全性評(píng)估方法研究.pdf

1、在軟件安全領(lǐng)域存在兩個(gè)需要解決的問題：軟件漏洞的檢測(cè)和軟件漏洞潛在危害的評(píng)估。軟件漏洞檢測(cè)技術(shù)主要包括靜態(tài)檢測(cè)和動(dòng)態(tài)檢測(cè)。靜態(tài)分析與動(dòng)態(tài)分析相比具有時(shí)間消耗少和漏報(bào)率低等優(yōu)點(diǎn)。然而，現(xiàn)存的大部分軟件漏洞靜態(tài)檢測(cè)工具都是針對(duì)某一類漏洞，無(wú)法靈活的針對(duì)新出現(xiàn)的漏洞進(jìn)行檢測(cè)。漏洞危害程度評(píng)估方法主要分為定性評(píng)估法、定量評(píng)估法和定性與定量相結(jié)合的評(píng)估法三類。目前，有很多成熟的、標(biāo)準(zhǔn)化的評(píng)估系統(tǒng)，但是，大部分僅僅針對(duì)單個(gè)漏洞評(píng)估，無(wú)法考慮多步攻擊

2、帶來的影響。
　　基于靜態(tài)分析的軟件安全性評(píng)估方法主要分為漏洞檢測(cè)和系統(tǒng)評(píng)估兩個(gè)步驟。漏洞檢測(cè)方法采用基于模式匹配的漏洞檢測(cè)技術(shù)。首先，對(duì)待測(cè)程序源碼進(jìn)行解析，將其轉(zhuǎn)化為中間表示存放在自定義的數(shù)據(jù)結(jié)構(gòu)中。然后，用安全規(guī)則語(yǔ)言描述漏洞并解析安全規(guī)則，將其轉(zhuǎn)換成對(duì)應(yīng)的自動(dòng)機(jī)模型存放在內(nèi)存中。最后，將源代碼中間表示與安全規(guī)則進(jìn)行模式匹配，并對(duì)自動(dòng)機(jī)進(jìn)行狀態(tài)轉(zhuǎn)化，根據(jù)自動(dòng)機(jī)狀態(tài)向用戶提交漏洞報(bào)告。考慮到聯(lián)合利用多個(gè)漏洞對(duì)系統(tǒng)造成的潛在危害

3、，提出了關(guān)聯(lián)漏洞的概念。首先，從關(guān)聯(lián)漏洞模式庫(kù)中提取出關(guān)聯(lián)特征。然后，掃描漏洞報(bào)告列表，將符合某一種關(guān)聯(lián)漏洞模式的漏洞作為一個(gè)集合存放在關(guān)聯(lián)漏洞列表中，通過多次掃描可以將漏洞報(bào)告列表劃分為多個(gè)關(guān)聯(lián)漏洞集合和一個(gè)非關(guān)聯(lián)漏洞集合。最后，以CVSS評(píng)估體系為基礎(chǔ)，計(jì)算每組關(guān)聯(lián)漏洞的權(quán)重因子，再根據(jù)權(quán)重因子以及對(duì)漏洞報(bào)告列表的劃分對(duì)系統(tǒng)做出綜合評(píng)估。
　　實(shí)驗(yàn)結(jié)果表明，安全規(guī)則描述語(yǔ)言能夠描述多種形式的漏洞，漏報(bào)率低、擴(kuò)展性好、時(shí)間消耗少