基于威胁模型的软件安全性测试
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安 全 策 略 的威 胁 行 为 。
关键 词 ：安 全性测试 ；威胁 模型 ；测试用例 ；统一建模语言 ；顺序 图 Ｓｏ ｔ ｒ Ｓｅ ｕ ｉｙ ｆ ｗａ ｅ ｃ ｒｔ Ｔｅ ｔｎ Ｂａ ｅ ｏｎ ｓ ｉｇ ｓｄ Ｔｈ ｅ ｔ ｒ ａ Ｍｏ ｌ ｄｅ
Ｙ Ｎ ｕ ｎ －ｈａ Ｑ Ｘ ａ ，Ｓ ＩＹ －ｓｅｇ Ａ Ｇ Ｇ ａｇ ｕ ， ｕｎ Ｈ ｉ ｈｎ Ｊ ｎ
例生 成 的 自动 化程 度 ，也 有利 于评 价 测试结 果。常 用 的软
样 ，贯 穿 整个软 件开 发生 命周 期 。软件 安全性 测试 技 术
有着 与其 他 传统 测试 类型不 同的关注 重点 。传统 测试 类 型
强调软件 的肯 定需 求 （ｏｉｖ ｅ ｕｒｍｅ ｔ） Ｐ ｓ ｉｅ Ｒ ｑ ｉ ｔ ｅ ｎｓ ，强调软
件 应 当做 什 么 。安 全 性 测 试技 术 的重 点 在 于 软 件 的 否 定
件 测 试模 型 包括 ：有 限状 态机 、Ｕ Ｌ模型 、马 尔可 夫链 Ｍ
等 。
需求 （ ｅ ａｉｅ Ｒ ｑ ｉ ｍｅ ｔ） Ｎ ｇ ｔ ｅ ｕｒ ｎｓ ，安全性测试不但强调软 ｖ ｅ
未授 权用 户不能 访 问系统 数据 。
胁 行 为 轨 迹 。 程序 编码 完成 后 ， 对代 码 进 行 插 桩 以记 录程 序 运 行 时 的方 法 调 用 和 执 行 的 轨迹 。 设 计 测 试 用 例 ，执 行 插 桩后 的 程
序并记录程序运行 时的执行轨迹 ，将记 录的程序执行轨迹 与模型 中导 出的威胁 行为轨迹进行 比较 ，以确 定程序 中是否存 在违反
威 胁 ，来达 到对软 件 安全性 肯定 需求 和否 定需 求进行 测试
的 目的 。
在何 处 、采用何 种手 段违 反 了软 件 安全 策略 。安 全威胁 模
型可以在设计阶段使用建模语言进行建模。统一建模语言 １威胁模型
Ｕ ＭＬ （ ｎｆ ｄ Ｍｏ ｅｎ ａ ｇ ａ ｅ Ｕ ｉ ｅ ｄ ｌ ｇ Ｌ ｎ ｕ ｇ ）是一种 标 准化 的可 ｉ ｉ 软 件 安全威 胁是 指可 能破 坏软 件安 全 策略和 安全 属性
视化建 模 语言 ，用于对 软件 系统 架构 的 可视化 描述 和构 建 ， 的行 为 。安全 威胁 的主要 类 型有 窃取 、篡 改、伪造 、拒 绝 １
随件的 着技发 软术展
… …
，
ｓ ｃ ｒ ｙ ｔｓｉ ｅｕｉ ｔ ｅｔｎ ｇ； ｔ ｈ
ｔ ｓ ｃ ｓ ｓ Ｕ ｅ ｔ ａ ｅ ； ＭＬ
ｎ ｑ （ｎｉ Ｕｉｅ ｆｄ№曲ｉ Ｌ ｎ ｕ ｇ） ｅｕ ｇ ａ ｇ ａｅ；ｓ
安全 性作 … 件 … 的质量 属 为软 系统 一
在 … 学术界 和工 业 都广 泛用 … ～ 业界 于描述 … 求分析 和设 … 格说 ＇ 需 … 计规 说 一 一 明 ，事 实上 已经成 为 了面 向对象 的软 件 系统 建模 的工 业标
一
性受 到越来 越 多的重 视 。软件 安全性 测试 是 确定软 件 的安
全特性 实现 是否 与预 期设计 一致 的过 程 ，验证 软件 系统 是 否具 有一定 程度 的保 护机制 ，防止 系统或 数据 受到 非法 侵 入的能 力 。在传统 的 测试 中 ，安 全性 测试通 常 是在软 件 开 发完 成之后 才开 始进 行 。安 全性 测试 需要 和其 他 测试类 型
件 应 当做什 么 ，而且 更加 强调 软件 不 应该 做什 么 …。例如 ， 威 胁 进行 建模 ，采用 基于 规范 的方法 从威 胁模 型 中导 出威
性 测试也 要求 测试人 员能 够转 换思 维 ，从验 证者 的角 度转
换为 攻击者 的 角度来 测试 软件 。安全 威胁 用于 说 明攻击 者
一
准 。随着 面 向对象软 件 开发技 术 的广泛 应用 和软件 测试 自 动化 的要 求 ，基于 模型 的软件 测试 逐渐 得到 重视 。基 于模 型 的测试 方法 是对软 件 的行 为和结 构进 行建 模 ，生成 测试 模型 ，由测试 模型 生成 测试 用例 ，驱动 软件 测试 。基于 模 型的 软件 测试 方法可 以有效地 提高 测试 效率 ，提高 测试 用
哟ｍ ｎｔｕ／ ｏ ｙ ｔ Ｅｇ ｅｒｆ ｇ Ｏ ｇ ０ １ １ ｅ ａ ｇ Ｉ ｌ ｔ＃ ｆＳ ｓｅ ｎ＆ ｅ￣ ， ｅ； １ ０ ０ ． 鳓 ｓ￣ ｏ ｍ ｎ
ｔｓｎ ａｅ ｏ ｔ ｅｔｍｄｌｓｆ ｍ ｔｅａ ｅｓ ｙ ｅｓ ｃｉ ．Ｔｒ ｔ ｔ ｓ ｕｔ ｏ ｉ ｐ ｍｄｌ ｉ Ｍ （ ｉ ｄＭ ｄｉ ａｇａｅ ｅ ｉ ｂｓ ｎ ｈ ａ ｏｅ ｉ ｒ ｈ ｄ ｒ ｒ’ｓｐｒ ｅ ｖ ｔｇ ｄ ｒ ｏ ｖ ａ ｐ ｔ ｅ ｈ ａｓ ｏ ｅ ｒｙ ｐｌｅ ａ ｏｅｄｗｔ Ｕ Ｌ Ｕ ｆ ｏｅ ｇ Ｌｎｕｇ） ｅ ｃｉ ｉｓ ｅ ｃ ｅ ｈ ｎｉ ｅ ｌ ｎ
当前 ，在软 件安 全工 程 的研 究 和实 践 中均提 倡从 攻击 者 的角度 考虑软 件安 全威 胁 ，促进 软件 安全 性设 计 。安全
基于威胁模型的安全性测试采用 ＵＭＬ顺序图对安全
胁 行为 轨迹 ，采 用插桩 的 方法 在源程 序 中加入 不影 响软件
功 能 的监 测代码 以记 录程 序的 执行轨 迹 ，通过 比较程 序 的 执 行轨 迹和 威胁 行为 轨迹检 测程 序 中是否 存在 相应 的安全
基于威胁 模型的软件 安全性测试
Leabharlann Baidu杨 广 华 ， 齐 璇 ，施 寅生
（ 京系统 工程 研究 所 ，北京 １０ Ｏ） 北 ０１１
摘 要 ：相对 于传统测试主 要关注软件的肯定需求 ，安 全性测试则主要 关注软件 的否定 需求 。基 于威胁模 型 的软件安 全性测试 是从攻击者的角度对软件进行测试 。使 用 Ｕ Ｌ顺序 图对安全威胁进行建模 ，从威胁模型 中导 出消息序 列 ，从 消息序列 中导 出威 Ｍ
关键 词 ：安 全性测试 ；威胁 模型 ；测试用例 ；统一建模语言 ；顺序 图 Ｓｏ ｔ ｒ Ｓｅ ｕ ｉｙ ｆ ｗａ ｅ ｃ ｒｔ Ｔｅ ｔｎ Ｂａ ｅ ｏｎ ｓ ｉｇ ｓｄ Ｔｈ ｅ ｔ ｒ ａ Ｍｏ ｌ ｄｅ
Ｙ Ｎ ｕ ｎ －ｈａ Ｑ Ｘ ａ ，Ｓ ＩＹ －ｓｅｇ Ａ Ｇ Ｇ ａｇ ｕ ， ｕｎ Ｈ ｉ ｈｎ Ｊ ｎ
例生 成 的 自动 化程 度 ，也 有利 于评 价 测试结 果。常 用 的软
样 ，贯 穿 整个软 件开 发生 命周 期 。软件 安全性 测试 技 术
有着 与其 他 传统 测试 类型不 同的关注 重点 。传统 测试 类 型
强调软件 的肯 定需 求 （ｏｉｖ ｅ ｕｒｍｅ ｔ） Ｐ ｓ ｉｅ Ｒ ｑ ｉ ｔ ｅ ｎｓ ，强调软
件 应 当做 什 么 。安 全 性 测 试技 术 的重 点 在 于 软 件 的 否 定
件 测 试模 型 包括 ：有 限状 态机 、Ｕ Ｌ模型 、马 尔可 夫链 Ｍ
等 。
需求 （ ｅ ａｉｅ Ｒ ｑ ｉ ｍｅ ｔ） Ｎ ｇ ｔ ｅ ｕｒ ｎｓ ，安全性测试不但强调软 ｖ ｅ
未授 权用 户不能 访 问系统 数据 。
胁 行 为 轨 迹 。 程序 编码 完成 后 ， 对代 码 进 行 插 桩 以记 录程 序 运 行 时 的方 法 调 用 和 执 行 的 轨迹 。 设 计 测 试 用 例 ，执 行 插 桩后 的 程
序并记录程序运行 时的执行轨迹 ，将记 录的程序执行轨迹 与模型 中导 出的威胁 行为轨迹进行 比较 ，以确 定程序 中是否存 在违反
威 胁 ，来达 到对软 件 安全性 肯定 需求 和否 定需 求进行 测试
的 目的 。
在何 处 、采用何 种手 段违 反 了软 件 安全 策略 。安 全威胁 模
型可以在设计阶段使用建模语言进行建模。统一建模语言 １威胁模型
Ｕ ＭＬ （ ｎｆ ｄ Ｍｏ ｅｎ ａ ｇ ａ ｅ Ｕ ｉ ｅ ｄ ｌ ｇ Ｌ ｎ ｕ ｇ ）是一种 标 准化 的可 ｉ ｉ 软 件 安全威 胁是 指可 能破 坏软 件安 全 策略和 安全 属性
视化建 模 语言 ，用于对 软件 系统 架构 的 可视化 描述 和构 建 ， 的行 为 。安全 威胁 的主要 类 型有 窃取 、篡 改、伪造 、拒 绝 １
随件的 着技发 软术展
… …
，
ｓ ｃ ｒ ｙ ｔｓｉ ｅｕｉ ｔ ｅｔｎ ｇ； ｔ ｈ
ｔ ｓ ｃ ｓ ｓ Ｕ ｅ ｔ ａ ｅ ； ＭＬ
ｎ ｑ （ｎｉ Ｕｉｅ ｆｄ№曲ｉ Ｌ ｎ ｕ ｇ） ｅｕ ｇ ａ ｇ ａｅ；ｓ
安全 性作 … 件 … 的质量 属 为软 系统 一
在 … 学术界 和工 业 都广 泛用 … ～ 业界 于描述 … 求分析 和设 … 格说 ＇ 需 … 计规 说 一 一 明 ，事 实上 已经成 为 了面 向对象 的软 件 系统 建模 的工 业标
一
性受 到越来 越 多的重 视 。软件 安全性 测试 是 确定软 件 的安
全特性 实现 是否 与预 期设计 一致 的过 程 ，验证 软件 系统 是 否具 有一定 程度 的保 护机制 ，防止 系统或 数据 受到 非法 侵 入的能 力 。在传统 的 测试 中 ，安 全性 测试通 常 是在软 件 开 发完 成之后 才开 始进 行 。安 全性 测试 需要 和其 他 测试类 型
件 应 当做什 么 ，而且 更加 强调 软件 不 应该 做什 么 …。例如 ， 威 胁 进行 建模 ，采用 基于 规范 的方法 从威 胁模 型 中导 出威
性 测试也 要求 测试人 员能 够转 换思 维 ，从验 证者 的角 度转
换为 攻击者 的 角度来 测试 软件 。安全 威胁 用于 说 明攻击 者
一
准 。随着 面 向对象软 件 开发技 术 的广泛 应用 和软件 测试 自 动化 的要 求 ，基于 模型 的软件 测试 逐渐 得到 重视 。基 于模 型 的测试 方法 是对软 件 的行 为和结 构进 行建 模 ，生成 测试 模型 ，由测试 模型 生成 测试 用例 ，驱动 软件 测试 。基于 模 型的 软件 测试 方法可 以有效地 提高 测试 效率 ，提高 测试 用
哟ｍ ｎｔｕ／ ｏ ｙ ｔ Ｅｇ ｅｒｆ ｇ Ｏ ｇ ０ １ １ ｅ ａ ｇ Ｉ ｌ ｔ＃ ｆＳ ｓｅ ｎ＆ ｅ￣ ， ｅ； １ ０ ０ ． 鳓 ｓ￣ ｏ ｍ ｎ
ｔｓｎ ａｅ ｏ ｔ ｅｔｍｄｌｓｆ ｍ ｔｅａ ｅｓ ｙ ｅｓ ｃｉ ．Ｔｒ ｔ ｔ ｓ ｕｔ ｏ ｉ ｐ ｍｄｌ ｉ Ｍ （ ｉ ｄＭ ｄｉ ａｇａｅ ｅ ｉ ｂｓ ｎ ｈ ａ ｏｅ ｉ ｒ ｈ ｄ ｒ ｒ’ｓｐｒ ｅ ｖ ｔｇ ｄ ｒ ｏ ｖ ａ ｐ ｔ ｅ ｈ ａｓ ｏ ｅ ｒｙ ｐｌｅ ａ ｏｅｄｗｔ Ｕ Ｌ Ｕ ｆ ｏｅ ｇ Ｌｎｕｇ） ｅ ｃｉ ｉｓ ｅ ｃ ｅ ｈ ｎｉ ｅ ｌ ｎ
当前 ，在软 件安 全工 程 的研 究 和实 践 中均提 倡从 攻击 者 的角度 考虑软 件安 全威 胁 ，促进 软件 安全 性设 计 。安全
基于威胁模型的安全性测试采用 ＵＭＬ顺序图对安全
胁 行为 轨迹 ，采 用插桩 的 方法 在源程 序 中加入 不影 响软件
功 能 的监 测代码 以记 录程 序的 执行轨 迹 ，通过 比较程 序 的 执 行轨 迹和 威胁 行为 轨迹检 测程 序 中是否 存在 相应 的安全
基于威胁 模型的软件 安全性测试
Leabharlann Baidu杨 广 华 ， 齐 璇 ，施 寅生
（ 京系统 工程 研究 所 ，北京 １０ Ｏ） 北 ０１１
摘 要 ：相对 于传统测试主 要关注软件的肯定需求 ，安 全性测试则主要 关注软件 的否定 需求 。基 于威胁模 型 的软件安 全性测试 是从攻击者的角度对软件进行测试 。使 用 Ｕ Ｌ顺序 图对安全威胁进行建模 ，从威胁模型 中导 出消息序 列 ，从 消息序列 中导 出威 Ｍ