基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法
【專利摘要】本發(fā)明公開了一種基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，該方法包括以下步驟：將軟件體系結(jié)構(gòu)建模，包括組件功能描述；進(jìn)行軟件體系結(jié)構(gòu)的安全性計算，包括組件權(quán)值計算、組件安全值計算以及軟件體系姐歐股安全值計算；根據(jù)組件權(quán)值，得知整個軟件體系結(jié)構(gòu)安全需求最高的組件；根據(jù)安全值得知軟件體系結(jié)構(gòu)設(shè)計方案中組件的安全程度；綜合比較組件的權(quán)值和安全值，得知軟件體系結(jié)構(gòu)設(shè)計缺陷，實現(xiàn)安全性總結(jié)以及得到評估報告，作為軟件體系結(jié)構(gòu)設(shè)計的修改依據(jù)。在軟件設(shè)計階段提出了基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，以期盡早的系統(tǒng)地考慮軟件系統(tǒng)中安全功能問題，降低軟件漏洞出現(xiàn)的可能性，從而提高軟件的安全性。
【專利說明】基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及可信計算領(lǐng)域，特別涉及一種軟件體系結(jié)構(gòu)評估流程及半自動化工具。
【背景技術(shù)】
[0002]據(jù)統(tǒng)計數(shù)據(jù)顯示，相當(dāng)比例的軟件安全問題出現(xiàn)在軟件設(shè)計階段，并且隨著軟件開發(fā)過程的進(jìn)行解決安全問題所花費(fèi)的代價也將越來越大。安全問題應(yīng)該在軟件開發(fā)生命周期中被盡早考慮，這已經(jīng)成為安全軟件開發(fā)的共識。根據(jù)“缺陷放大模型”以及業(yè)界大量的統(tǒng)計數(shù)據(jù)表明:修正軟件缺陷的成本隨著發(fā)現(xiàn)該缺陷的時間的推遲而增長，而50%-75%的缺陷是設(shè)計階段注入。而軟件體系結(jié)構(gòu)的設(shè)計以及安全性分析是軟件設(shè)計階段的重中之重。
[0003]目前，近年來軟件體系結(jié)構(gòu)評估技術(shù)取得了許多有益的進(jìn)展，軟件體系結(jié)構(gòu)的評估技術(shù)不斷出現(xiàn)，一些方法已經(jīng)比較成熟并得到了應(yīng)用和驗證?，F(xiàn)有評估技術(shù)大致可分為三類，第一類方法是基于場景的評估方法，如軟件體系結(jié)構(gòu)分析方法——SAAM、軟件體系結(jié)構(gòu)折中分析方法——ATAM、軟件體系結(jié)構(gòu)層次可維護(hù)性預(yù)測方法——ALMA等；第二類方法是基于模型檢測技術(shù)和度量技術(shù)的評估方法，如SAEM，EDICT等；第三類方法是基于特定體系結(jié)構(gòu)描述語言的評估方法，如特定領(lǐng)域軟件體系結(jié)構(gòu)分析方法(DSSA)，Rapide方法等。
[0004]然而，上述評估技術(shù)存在兩個主要不足:1)現(xiàn)有評估技術(shù)多是用于評估軟件體系結(jié)構(gòu)的功能屬性，沒有針對非功能屬性(例如安全性)進(jìn)行評估，不能有效解決體系結(jié)構(gòu)中的安全問題。2)這些方法大都是定性評價，無法給出關(guān)于體系結(jié)構(gòu)安全性的量化信息；并且，有些方法是針對特定領(lǐng)域的體系結(jié)構(gòu)進(jìn)行分析，不具備通用性。這些不足就極大的限制了軟件體系結(jié)構(gòu)評估的效果，這無疑會影響設(shè)計人員和評估人員對軟件體系結(jié)構(gòu)安全問題的認(rèn)識和改進(jìn)。

【發(fā)明內(nèi)容】

[0005]為了克服上述現(xiàn)有技術(shù)存在的問題，本發(fā)明提出一種基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，從組件安全措施的角度評估體系結(jié)構(gòu)設(shè)計的安全保障力度，建立起一套完整的軟件體系結(jié)構(gòu)安全性評估的工程方法，以減少軟件開發(fā)初期的安全漏洞。
[0006]本發(fā)明提出的一種基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，該方法包括穩(wěn)以下步驟:
[0007]步驟一、將軟件體系結(jié)構(gòu)劃分為表示層、業(yè)務(wù)層、數(shù)據(jù)訪問層和資源層四個層次進(jìn)行模式框架的建立，對其中各組件功能選擇組件所屬層次和組件類別實現(xiàn)描述；
[0008]步驟二、進(jìn)行軟件體系結(jié)構(gòu)的安全性計算，包括組件權(quán)值計算、組件安全值計算以及軟件體系姐歐股安全值計算；
[0009]步驟三、根據(jù)組件權(quán)值，得知整個軟件體系結(jié)構(gòu)安全需求最高的組件；根據(jù)安全值得知軟件體系結(jié)構(gòu)設(shè)計方案中組件的安全程度；綜合比較組件的權(quán)值和安全值，得知軟件體系結(jié)構(gòu)設(shè)計缺陷，實現(xiàn)安全性總結(jié)以及得到評估報告，作為軟件體系結(jié)構(gòu)設(shè)計的修改依據(jù)。
[0010]所述步驟二的組件權(quán)值計算包括以下步驟:
[0011]分析軟件體系結(jié)構(gòu)設(shè)計中的各組件Cl、C2、C3、…、Cn的功能；
[0012]基于各組件的功能以及對整個軟件體系結(jié)構(gòu)的作用，兩兩比較各組件的重要性，得到nXn矩陣；
[0013]計算該矩陣最大特征值對應(yīng)的特征向量，并對矩陣進(jìn)行一致性檢驗；
[0014]將特征向量歸一化為各組件對應(yīng)的權(quán)值向量W。。
[0015]所述步驟二的組件安全值計算包括以下步驟:
[0016]I)給出評價對象集I = U1, i2,..., ij ;本步驟以指標(biāo)層為例，評價對象集I表示安全措施中的m項評估指標(biāo)；
[0017]2)確定評價集 E = {e” e2,..., ej ；
[0018]評價集E是指劃分評價對象的等級，評價集為:
[0019]E= {極差,差,一般，好，極好} = {1，3，5，7，9}。
[0020]3)獲取模糊信息，建立模糊評價矩陣Ri,并計算模糊評價向量Vi ;
[0021]依據(jù)評價對象集和評價集，模糊評價矩陣的格式為:
[0022]
【權(quán)利要求】
1.一種基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，其特征在于，該方法包括以下步驟: 步驟一、將軟件體系結(jié)構(gòu)劃分為表示層、業(yè)務(wù)層、數(shù)據(jù)訪問層和資源層四個層次進(jìn)行模式框架的建立，對其中各組件功能選擇組件所屬層次和組件類別實現(xiàn)描述； 步驟二、進(jìn)行軟件體系結(jié)構(gòu)的安全性計算，包括組件權(quán)值計算、組件安全值計算以及軟件體系姐歐股安全值計算； 步驟三、根據(jù)組件權(quán)值，得知整個軟件體系結(jié)構(gòu)安全需求最高的組件；根據(jù)安全值得知軟件體系結(jié)構(gòu)設(shè)計方案中組件的安全程度；綜合比較組件的權(quán)值和安全值，得知軟件體系結(jié)構(gòu)設(shè)計缺陷，實現(xiàn)安全性總結(jié)以及得到評估報告，作為軟件體系結(jié)構(gòu)設(shè)計的修改依據(jù)。
2.如權(quán)利要求1所述的基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，其特征在于，所述步驟二的組件權(quán)值計算包括以下步驟: 分析軟件體系結(jié)構(gòu)設(shè)計中的各組件Cp C2、C3、…、Cn的功能； 基于各組件的功能以及對整個軟件體系結(jié)構(gòu)的作用，兩兩比較各組件的重要性，得到nXn矩陣； 計算該矩陣最大特征值對應(yīng)的特征向量，并對矩陣進(jìn)行一致性檢驗； 將特征向量歸一化為各組件對應(yīng)的權(quán)值向量W。。
3.如權(quán)利要求1所述的基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，其特征在于，所述步驟二的組件安全值計算包括以下步驟: 1)給出評價對象集I= U1, i2,..., im};本步驟以指標(biāo)層為例，評價對象集I表示安全措施中的m項評估指標(biāo)；
2)確定評價集E = {e1; e2,..., ej ； 評價集E是指劃分評價對象的等級，評價集為:
E = {極差，差，一般，好，極好} = {I, 3, 5, 7, 9} ο 3)獲取模糊信息，建立模糊評價矩陣Ri,并計算模糊評價向量Vi； 依據(jù)評價對象集和評價集，模糊評價矩陣的格式為:
4.如權(quán)利要求1所述的基于組件安全屬性的軟件體系結(jié)構(gòu)安全性評估方法，其特征在于，所述步驟二的軟件體系結(jié)構(gòu)安全值計算，是由各組件安全值向量S。和組件權(quán)值向量W。相乘得出，計算公式為:
Sa = Wc.SCT 根據(jù)上述公式可計算出軟件體系結(jié)構(gòu)的安全值，該分值表示軟件體系結(jié)構(gòu)設(shè)計方案的總體安全程度。
【文檔編號】G06F11/36GK103970651SQ201410157964
【公開日】2014年8月6日 申請日期:2014年4月18日 優(yōu)先權(quán)日:2014年4月18日
【發(fā)明者】李曉紅, 耿韶光, 孫達(dá)志, 許光全, 杜長肖 申請人:天津大學(xué)