基于損失量的軟件強安全性預(yù)測方法屬于軟件在特定使用環(huán)境下的可信性預(yù)測領(lǐng)域，其特征在于，以包括成本和利潤在內(nèi)的金錢損失量為尺度，以自軟件發(fā)布之日起到預(yù)測起始日間公布的損失、累計天數(shù)、累計損失為基礎(chǔ)的損失至少為一個損失量級的經(jīng)過編寫的軟件漏洞損失數(shù)據(jù)為基礎(chǔ)，在假定軟件漏洞在設(shè)定的預(yù)測時間步長內(nèi)按泊松分布的前提下，以1天為時間步長，再用最大似然估計的方法，通過計算預(yù)測間隔內(nèi)初始損失密度估計值和損失密度下降率的乘積來計算設(shè)定預(yù)測步長內(nèi)的損失量，從中安設(shè)定的軟件漏洞預(yù)測數(shù)據(jù)次數(shù)提取損失量至少為一個損失量級的軟件漏洞預(yù)測數(shù)據(jù)序列，按誤差在[-0.4,0.4]損失量級的標(biāo)準(zhǔn)與已公開的在相同預(yù)測次數(shù)范圍內(nèi)的數(shù)據(jù)相比，準(zhǔn)確率為70%。
【技術(shù)實現(xiàn)步驟摘要】
本專利技術(shù)屬于軟件可信性的分支一軟件安全性，具體涉及以損失量為基礎(chǔ)，通過概率理論度量安全性和預(yù)測損失的方法。
技術(shù)介紹
軟件安全性是軟件可信性的一個重要分支，國家標(biāo)準(zhǔn)GB/T 11457中對軟件安全性的定義為:通過對軟件系統(tǒng)進行防護，阻止針對軟件產(chǎn)品的惡意攻擊，使軟件系統(tǒng)免于受到惡意的或無意但有害的破壞。軟件的漏洞是軟件缺陷的一種，Schultz在Responding tocomputer security incidents中定義軟件漏洞為“一種缺陷,使得入侵者可以繞過安全機制”,Pfieeger在Security in computing中將漏洞定義為“安全系統(tǒng)中可被用來引起損失或危害白勺弱點”，Y.Shin 在 s complexity really the enemy of software security 中認為“軟件漏洞是軟件規(guī)格、開發(fā)或配置中缺陷的一個實例，它的運行違反潛在或外在的安全策略”。無論怎樣定義軟件漏洞，都離不開軟件、安全策略或措施、以及入侵者這三方面的參與。因為入侵者是自然人，所以軟件漏洞有了不同于軟件安全的其它方面一如可靠性一一的一些特性。同時，入侵者通常不是軟件的開發(fā)者，所以他們的存在有一定的隱蔽性，他們的活動有一定的隨機性，這些因素加大了漏洞預(yù)測的難度?，F(xiàn)有的實際漏洞庫給出的最基本的數(shù)據(jù)都是發(fā)現(xiàn)漏洞的個數(shù)、類型和嚴重程度等數(shù)據(jù)。雖然這些量在一定程度上可以反映軟件質(zhì)量的高低，但是，單純的統(tǒng)計漏洞數(shù)目意義不大，我們研究漏洞的目的是明確漏洞對軟件安全性乃至可信性等屬性的影響。學(xué)者們在這方面進行了許多探索，Alhazmi討論了軟件漏洞的度量、分析和預(yù)測等一系列問題的基本方面，Sridhara、Malaiya等討論了漏洞的量化問題，Yonghee ShiruChowdhury等討論了復(fù)雜度對漏洞以及安全性的影響，Caragea、William等提出了一些基于經(jīng)驗的漏洞預(yù)測方法，Jinyoo Kim等人研究了多版本軟件中的漏洞的特性。 現(xiàn)有的漏洞分類方法主要從兩方面入手，一是按照漏洞的出現(xiàn)原因或利用方式——如緩沖區(qū)溢出，SQL注入，會話劫持等——分類，二是按照漏洞對系統(tǒng)安全造成威脅的嚴重程度分類。第一種方法中，相同原因的兩個漏洞，如緩沖區(qū)溢出，對系統(tǒng)安全性造成的威脅可能差別很大，例如，兩個網(wǎng)銀軟件，可能各有一個漏洞，使得用戶的權(quán)限泄露。但是其中一個不會造成賬戶被黑客操作，只是泄露信息，用戶必須重置賬戶信息，銀行在此過程中只要支付一定的辦公開支；而另一個軟件系統(tǒng)則造成賬戶中的錢被取走或消費，銀行可能需要賠付客戶損失。這兩個漏洞即使被認定為屬于不同的種類，對嚴重程度的反映也并不直觀。而且在有些分類方法中，由于都屬于權(quán)限的泄露，這兩個漏洞可能被分為同一級。所以，從我們的目的出發(fā)，用第一種方法度量和預(yù)測漏洞價值不大。第二種方法看起來很有價值，但是當(dāng)我們把漏洞當(dāng)成可信的一個子屬性時，我們發(fā)現(xiàn)嚴重程度只是針對軟件系統(tǒng)本身而言的，沒有充分的反應(yīng)軟件的可信屬性，還是上面的例子，如果兩個漏洞對系統(tǒng)的威脅被認為有同樣的嚴重程度，但是一個給用戶造成比較大的損失，而另一個沒有，那么顯然后一個可信，但是漏洞的嚴重程度分類沒有顯現(xiàn)出這種差別。另一個問題是，為了度量不同軟件的可信屬性，我們有必要統(tǒng)一度量的量綱，而以上兩種分類方法中，第一種顯然做不到這一點，第二種勉強可以做到，但沒有充分的反應(yīng)軟件的可信屬性。為了使得漏洞的度量能直觀有效的反映軟件的可信屬性，我們有必要重新選擇度量的標(biāo)準(zhǔn)。我們發(fā)現(xiàn)，漏洞對軟件安全和軟件可信所造成威脅的實際嚴重程度，既不是與個數(shù)直接相關(guān)，也不一定和類型或等級掛鉤。那么，有沒有一個影響因子，即能比較客觀的反映出用戶對軟件系統(tǒng)安全性的信任，又能作為一個統(tǒng)一的量綱來度量軟件安全性乃至可信性呢？我們認為，漏洞所造成的經(jīng)濟損失量符合這個要求。首先，重大的軟件安全問題幾乎總是直接或間接地造成重大的經(jīng)濟損失，當(dāng)我們用損失量來描述這樣的事故時，問題的嚴重程度就一目了然了。其次，損失量——即錢數(shù)——本身就是個量化的值，而且是統(tǒng)一的。例如，兩個不同的漏洞各造成了 10000美元的損失，盡管這兩個漏洞可能有很大區(qū)別，但是10000美元和10000美元總是相等的。由于用戶的主管判斷對軟件的可信性有著至關(guān)重要的影響，而用戶通常不關(guān)心技術(shù)細節(jié)，而一般不會忽視損失，那么使用損失量度量軟件安全性乃至可信性可以讓用戶拋開細節(jié)，直接面對他們關(guān)心的方面，從而將軟件可信問題的主觀因素統(tǒng)一在度量中。設(shè)想一下，如果我們可以預(yù)測漏洞所造成的損失，那么軟件的開發(fā)者和用戶在這樣直觀的預(yù)測下，顯然會更重視安全問題，并采取措施避免或減小損失。同時，用戶在比較多個軟件系統(tǒng)的優(yōu)劣時，不需要再面對諸如漏洞個數(shù)、類型、嚴重程度等多個復(fù)合指標(biāo)，只需列出漏洞所造成的損失及其預(yù)測結(jié)果，就可以直觀地做出判斷。而在建立模型時，我們也不用再去量化本來很難表示的用戶主觀因素。
技術(shù)實現(xiàn)思路
本專利技術(shù)的目的在于提供一種以金錢損失量為基礎(chǔ)的以損失等級來度量的軟件強安全性預(yù)測方法。本專利技術(shù)的特征在于軟件安全性預(yù)測是一種以資金或利潤損失分類而非以漏洞數(shù)或漏洞等級分類的軟件安全性度預(yù)測方法，是在計算機中依次按下述步驟實現(xiàn)的:步驟(I)計算機初始化，設(shè)定以下參數(shù):編號，是指從軟件發(fā)布之日起，把至少造成一個損失量級的軟件漏洞按發(fā)現(xiàn)的先后順序排列后對發(fā)現(xiàn)次數(shù)給出的序號，用η表示，其中的損失量級分為c級，c=4，每級損失相當(dāng)于設(shè)定的錢數(shù)，累計天數(shù)，指造成所述至少一個損失量級的軟件漏洞的發(fā)現(xiàn)日距軟件發(fā)布日間相差的天數(shù)，損失，在所述累計天數(shù)內(nèi)，對同一天內(nèi)金錢的總損失量計算均值后轉(zhuǎn)化成的損失量級數(shù)作為一天的損失程度，累計損失，自軟件發(fā)布日起，到指定的至少造成一個損失量級的軟件漏洞發(fā)現(xiàn)日止的損失總量，損失量級小于一級的不計入編號；步驟(2)計算機從中國國家信息安全漏洞庫中提取自軟件發(fā)布日起到最后一次發(fā)現(xiàn)造成至少一個損失量級的軟件漏洞所對應(yīng)的指定日止的至少一個損失量級的所有軟件漏洞數(shù)據(jù)，每次都形成一個數(shù)據(jù)組，其中包括:編號、損失、累計天數(shù)、累計損失；采樣時刻用一天即24小時作為單位，用τ表示，軟件發(fā)布日用^表示，所述指定日用τ η表示，中間的任一日用τ t表示，t=0, 1，2... …Τ-1, Δ τ t= τ t-τ H=I天，編號用η表示，至少造成一個損失量級的軟件漏洞的編號所對應(yīng)的漏洞發(fā)現(xiàn)日用表示，其中η=0, 1，2...η…N-Lnci表示軟件發(fā)布日Tci時的編號。nfO，I^1表示最后發(fā)現(xiàn)至少一個損失量級的編號，N為編號的總數(shù)，在數(shù)值上N=T ；累計損失用m表示，τ ^時Iiici=O, τ 時Ih=Iiit'中間任何一個編號η所對應(yīng)的累計損失為mn ；以所述每一個數(shù)據(jù)組為行，從而形成一個矩陣形式的用于表示從軟件發(fā)布日起到所述指定日止的至少造成一個損失量級的軟件漏洞數(shù)據(jù)組的序列，其中，各參數(shù)值時已知的；步驟(3)依次按以下步驟進行基于損失量的軟件強安全性預(yù)測:步驟(3.1)采用下表轉(zhuǎn)換的形式把最后一次發(fā)現(xiàn)至少一個損失量級的軟件漏洞發(fā)現(xiàn)日τ η，對應(yīng)的累計損失!V1以及對應(yīng)的編號N-1的都轉(zhuǎn)換為預(yù)測起始日的數(shù)據(jù):權(quán)利要求1.基于損失量的軟件強安全性預(yù)測方法，其特征在于本文檔來自技高網(wǎng)...
【技術(shù)保護點】
基于損失量的軟件強安全性預(yù)測方法，其特征在于，軟件安全性預(yù)測是一種以資金或利潤損失分類而非以漏洞數(shù)或漏洞等級分類的軟件安全性度預(yù)測方法，是在計算機中依次按下述步驟實現(xiàn)的：步驟（1）計算機初始化，設(shè)定以下參數(shù)：編號，是指從軟件發(fā)布之日起，把至少造成一個損失量級的軟件漏洞按發(fā)現(xiàn)的先后順序排列后對發(fā)現(xiàn)次數(shù)給出的序號，用n表示，其中的損失量級分為c級，c=4，每級損失相當(dāng)于設(shè)定的錢數(shù)，累計天數(shù)，指造成所述至少一個損失量級的軟件漏洞的發(fā)現(xiàn)日距軟件發(fā)布日間相差的天數(shù)，損失，在所述累計天數(shù)內(nèi)，對同一天內(nèi)金錢的總損失量計算均值后轉(zhuǎn)化成的損失量級數(shù)作為一天的損失程度，累計損失，自軟件發(fā)布日起，到指定的至少造成一個損失量級的軟件漏洞發(fā)現(xiàn)日止的損失總量，損失量級小于一級的不計入編號；步驟（2）計算機從中國國家信息安全漏洞庫中提取自軟件發(fā)布日起到最后一次發(fā)現(xiàn)造成至少一個損失量級的軟件漏洞所對應(yīng)的指定日止的至少一個損失量級的所有軟件漏洞數(shù)據(jù)，每次都形成一個數(shù)據(jù)組，其中包括：編號、損失、累計天數(shù)、累計損失；采樣時刻用一天即24小時作為單位，用τ表示，軟件發(fā)布日用τ0表示，所述指定日用τT?1表示，中間的任一日用τt表示，t=0,1,2…t…T?1，Δτt=τt?τt?1=1天，編號用n表示，至少造成一個損失量級的軟件漏洞的編號所對應(yīng)的漏洞發(fā)現(xiàn)日用表示，其中n=0,1,2…n…N?1，n0表示軟件發(fā)布日τ0時的編號。n0=0,nN?1表示最后發(fā)現(xiàn)至少一個損失量級的編號，N為編號的總數(shù)，在數(shù)值上N=T；累計損失用m表示，τ0時m0=0，τT?1時m=mT?1，中間任何一個編號n所對應(yīng)的累計損失為mn；以所述每一個數(shù)據(jù)組為行，從而形成一個矩陣形式的用于表示從軟件發(fā)布日起到所述指定日止的至少造成一個損失量級的軟件漏洞數(shù)據(jù)組的序列，其中，各參數(shù)值時已知的；步驟（3）依次按以下步驟進行基于損失量的軟件強安全性預(yù)測：步驟（3.1）采用下表轉(zhuǎn)換的形式把最后一次發(fā)現(xiàn)至少一個損失量級的軟件漏洞發(fā)現(xiàn)日τT?1,對應(yīng)的累計損失mT?1以及對應(yīng)的編號N?1的都轉(zhuǎn)換為預(yù)測起始日的數(shù)據(jù)：令t0′＝T?1,t′=t0′,t1′，…,tT′，n′0＝N?1,n′=n0′,n1′，…,n′N′,mt0′=mT-1,其中，t′下標(biāo)是預(yù)測時刻τ′的編號，預(yù)測起始日n′下標(biāo)是至少造成一級損失量級的軟件漏洞發(fā)現(xiàn)次數(shù)的序號，N′是設(shè)定的總發(fā)現(xiàn)次數(shù)，其對應(yīng)的發(fā)現(xiàn)日下標(biāo)為T′，預(yù)測起始日的編號為n0′，是預(yù)測起始日的累計損失，已知；步驟（3.2）從預(yù)測初始值開始，按下式計算下一個預(yù)測時間步長時的累計損失；步驟（3.2.1）按下式計算和ω：mt0′φ^-{Στt0′′τt1′′τt0′′+ω(τt1′′-τt0′′)φ^[τt0′′+ω(τt1′′-τt0′′)]+1}-{mt0′[τT-2+ω(τT-1-ΔτT-1)]{φ^[τT-2+ω(τT-1-ΔτT-1)]+1}ln{φ^[τT-1+ω(τT-1-ΔτT-1)]+1}}=0,{-Στt0′′τt1′′φ^ω(τt1′′-τt0′′)φ^[τt0′′+ω(τt1′′-τt0′′)]}-{mt0′φ^ω(τT-1-ΔτT-1){φ^[τT-2+ω(τT-1-ΔτT-1)]+1}ln{φ^[τT-1+ω(τT-1-ΔτT-1)]+1}}=0ΔτT?1=τT?1?τT?2,ω為相關(guān)系數(shù)，待求，相關(guān)是指自軟件發(fā)布之日起相鄰兩次...
【技術(shù)特征摘要】
【專利技術(shù)屬性】
技術(shù)研發(fā)人員：吳世忠，趙向輝，姚堯，羅平，劉暉，易錦，黃雅芳，劉彥釗，張磊，吳潤浦，李娟，姚原崗，
申請(專利權(quán))人：中國信息安全測評中心，
類型：發(fā)明
國別省市：
還沒有人留言評論。發(fā)表了對其他瀏覽者有用的留言會獲得科技券。