[发明专利]基于软件缺陷的软件可信性定量评估方法

摘要

本发明属于软件安全领域，涉及一种基于软件缺陷的软件可信性定量评估方法，该方法包括：根据可信的定义，将每个缺陷归类；确定各个缺陷可能存在的攻击模式；通过对所涉及的攻击模式所造成的危害程度的分析，按照危害程度的高低，确定各个攻击模式相应的威胁程度等级；对于每个缺陷，在可能存在的各个攻击模式中，选取相应的威胁程度量化数值最大的，作为该缺陷的缺陷危害程度；根据每个缺陷对软件的影响程度，确定各个缺陷对软件整体的影响因子的等级；对于某一类缺陷，根据可信性度量公式确定该类缺陷的可信性度量值。采用本发明提出的方法，可使开发人员更清楚的了解到其软件产品面临的安全问题，并重新改进其薄弱之处，直至达到满意的效果。

主权项

一种基于软件缺陷的软件可信性定量评估方法，包括下列步骤：(1)通过对UML图分析，得到该软件可能存在的缺陷；(2)根据可信的定义，将每个缺陷归属到安全攸关类、隐私安全攸关类及容错攸关类缺陷中的一类；(3)确定各个缺陷可能存在的攻击模式；(4)通过对所涉及的攻击模式所造成的危害程度的分析，按照危害程度的高低，确定各个攻击模式相应的威胁程度Damage等级，并对各个威胁程度Damage等级进行量化，危害程度越高，量化数值越高；(5)对于每个缺陷，在可能存在的各个攻击模式中，选取相应的威胁程度Damage量化数值最大的，作为该缺陷的缺陷危害程度DW；(6)根据每个缺陷对软件的影响程度，确定各个缺陷对软件整体的影响因子EfC的等级及其量化数值，影响程度越大，量化数值越高；(7)对于某一类缺陷，设属于该类的各个缺陷的陷威胁程度分别为DW1，DW2，……DWn，相应缺陷的影响因子分别为EfC1，EfC2，……EfCn，根据可信性度量公式Trustworthy＝10*Exp[-∑(DWi*EfCi)/10]+1，确定该类缺陷的可信性度量值Trustworthy。