计算机软件中安全漏洞检测技术及其应用思考

计算机软件中安全漏洞检测技术及其应用思考

发表时间：2017-06-19T10:07:11.270Z 来源：《基层建设》2017年6期作者：杨凯

[导读] 本文简单分析了漏洞检测技术，并回顾了模型学习这种技术的发展，同时探讨了一些检测技术的运用，仅供参考。

广西桂能软件有限公司

摘要：软件中的漏洞会给计算机带来极大的安全风险，安全漏洞检测技术应运而生，本文简单分析了漏洞检测技术，并回顾了模型学习这种技术的发展，同时探讨了一些检测技术的运用，仅供参考。

关键词：计算机软件；漏洞；检测；模型学习

引言

当前人们对计算机安全十分重视，但是基于计算机软件的特点，其十分容易遭受攻击，导致信息泄露或是计算机崩溃。而软件中安全漏洞是最主要的安全隐患，安全漏洞检测技术，可以有效控制漏洞，保证计算机软件的完全性，因而本文所探索的内容将具备一定的价值。

1概述

当前我国已将智慧城市纳入国家战略，要在十三五期间实现智慧城市2.0，云物大智移五大技术，给计算机网络安全提出了新的挑战，信息泄露风险大，生老病死、衣食住行每一个环节都可能遭遇信息泄露。计算机作为智慧城市当中主要的智能化设备，在硬件发展陷入瓶颈的今天，软件逐步成为发展的主要方向，而软件当中存在的漏洞实质上是十分正常的现象，但是这却会给黑客提供便利，方便黑客获取计算机的操作权限，进而导致信息泄露或是引发更严重的问题。计算机软件是由人编制的，难免会出现漏洞也就是软件在编制过程留存下来的缺陷，出现了漏洞必须要堵上，所以就有了安全漏洞检测技术。

2安全漏洞检测技术

2.1静态检测

所谓静态检测也就是软件工程师经常提到的静态测试，运用一些技术对软件的源代码进行分析。通常针对源代码中的语义、语法，根据最基本的逻辑检测和排除软件的漏洞。目前主要采用推断、约束分析或是数据流分析的方法。

2.2动态检测

所谓动态检测就是在软件运行过程中进行检测，具体而言就是软件在执行的情况下，提取特定时间域内的软件变量的数值变化进行分析。检测这种变化情况是否符合预定的变化轨道，从而判断软件在执行中哪个环节可能存在漏洞。一般可以收集软件数据信息或是对软件执行过程进行全记录然后匹配漏洞模式，从而找到漏洞。

2.3混合检测

混合检测是在上述两种检测技术的内容上衍生出来的一种新检测技术，具有上述两种技术的特点，但是明显不同于上述两种技术。它包括测试库技术、异常检测技术、源代码改变技术等，这些技术均是针对不同的需求和环境的检测技术。

2.4检测技术发展思考

在智能技术的支撑下，软件安全漏洞检测技术也在逐步智能化，未来也许会基于AI（人工智能）来对软件的安全漏洞进行检测。当前有一种更加智能化和高效的漏洞寻找技术在银行卡、网络协议、异常软件等领域获得应用。这种技术即模型学习——通过提供输入和观察输出来构建软件和硬件系统的黑箱状态图模型。基于模型学习的检测技术，业界早在1956年就开始了研究，在国外学者的研究下，逐步完善，形成MAT框架，而MAT框架可以用来学习软硬件组件的黑箱模型，即假设一个组件，为系统学习SUL，它的行为可以由未知的Mearly 机（M）来描述。进一步假设，SUL总是可以回归初始状态，那么结合SUL的初始状态，通过输入序列得到输出结果，实现会员查询，如图1。

后来经过进一步探索，模型学习不断完善，在图1的流程中发展出中间性抽象的数学模型，如图2，并在当前发展出更加先进的学习模型。

3技术的运用

计算机软件安全漏洞检测技术出现的目的主要就是为漏洞修复与更新服务，而漏洞修复和更新是一个比较广泛的概念，包括软件升级、打补丁、安装防火墙、杀毒软件以及调整软件关键部位的口令。微软公司最早提出了对计算机软件漏洞进行补丁修复，有效管理补丁全生命周期内的识别、部署和评估才能保证不会再次出现同类漏洞。

3.1漏洞修复与更新

其一，微软作为世界上的计算机系统寡头，其补丁管理模型已经成为行业标准，其补丁管理先从识别漏洞开始，此时就是漏洞检测技术的运用，然后经过计划和测试，最终向用户发布补丁。整个过程通过识别和评估计算机软件漏洞的威胁等级，通过完善的计划拿出补丁，并在系统中进行全方位的测试最终发布。

其二，CNCERT/CC补丁管理，这是在我国计算机网络应急技术处理协调中心产生的，并作为一种特殊的工程管理而存在，与微软的补丁管理很相似。

3.2模型学习的运用实例

Chalupar等国外学者使用模型学习来反向工程e.dentifier2，这是一种用于网上银行的智能卡阅读器，他们构建了一个Raspberry Pi控制的乐高机器人，操作读取器的键盘。从笔记本电脑进行控制后，就可以使用learnLib学习e.dentifier2模型，通过一个版本的四态mealy机学习，揭示了存在的一个安全缺陷，并且表明该缺陷不再存在于新版本设备的三态模型中。

结语

计算机软件是人为编制的必然会存在漏洞，漏洞检测技术可以说与计算机软件的出现是相伴而生的。随着不断的研究，漏洞检测技术也在不断的完善并且逐步智能化，本文对该技术的分析，可能存在不足，但能起抛砖引玉的作用，希望可以同业内同仁一起探讨进步。

参考文献

[1]陈国栋. 计算机软件中安全漏洞检测技术研究[J]. 无线互联科技,2015,(22):79-81.

[2]齐燕. 浅谈计算机软件中安全漏洞检测技术的应用[J]. 信息与电脑(理论版),2010,(10):14.

[3]陈楷. 计算机软件中安全漏洞检测技术的应用[J]. 数字技术与应用,2010,(07):90.