论文部分内容阅读
对软件进行有效的安全风险评估，可以指导开发者平衡“开发成本”和“安全级别”的关系，对软件开发有着重要作用。而随着缺陷检测技术的发展，缺陷检测工具能够在软件中识别出大量的潜在安全缺陷，这些工具的检测结果可以作为评估软件安全风险的重要依据。因此基于缺陷检测结果来评估软件的安全风险成为软件安全评估的重要方法。为此，本文设计并实现了基于缺陷检测的软件安全风险评估工具。首先，基于软件安全属性，给出了CWE (Common Weakness Enumeration)缺陷与安全属性之间的映射关系；其次，建立了基于D-S证据理论的安全风险评估模型，提出了考虑缺陷检测结果的软件安全风险评估方法。在风险评估模型中融合风险信息，计算出软件整体风险值的可信度分配函数，将其定性为相应的安全风险等级，并通过一个应用实例阐述本文方法的有效性；最后，设计和实现了基于缺陷检测的软件安全风险评估工具。本文提出的方法和平台工具可以有效的辅助安全评估人员依据缺陷检测工具的检测结果进行软件安全风险评估，提高了评估结果的全面性、准确性和效率，从而对于提高软件的安全性起到很好的帮助作用。