CN102799816A

CN102799816A - 基于cc标准的软件安全功能组件管理方法

Info

Publication number: CN102799816A
Application number: CN2012102236772A
Authority: CN
Inventors: 李晓红; 韩卓兵; 胡静; 许光全; 杜志杰; 朱明悦
Original assignee: Tianjin University
Current assignee: Tianjin University
Priority date: 2012-06-29
Filing date: 2012-06-29
Publication date: 2012-11-28

Abstract

本发明公开了一种基于CC标准的软件安全功能组件管理方法，在软件工程的需求分析阶段，基于CC标准，实现安全功能组件的推荐和调整，该方法包括以下步骤：将基于CC标准体系下各领域中的评估文档中对威胁信息的描述加以抽象分析并进行归纳，建立威胁知识库；为前一步骤威胁知识库中的每一个威胁知识推荐相应的安全功能组件集合，建立基于规范语义的威胁知识与安全功能组件之间的对应关系；针对每一个安全功能组件类建立安全功能组件代价评定表，根据表的内容进行组件调整。与现有技术相比，本发明在软件需求分析阶段提出了基于CC标准的安全功能组件推荐及调整方法，以达到在软件系统开发的初期考虑软件安全问题，减少安全漏洞出现的可能性，提高软件的安全性。

Description

基于CC标准的软件安全功能组件管理方法

技术领域

本发明涉及软件安全技术领域；特别是涉及可信计算领域中基于CC标准的安全功能组件推荐及调整方法。

背景技术

随着互联网的迅速发展和计算机应用普及，人们对IT产品的可信需求越来越高，与此同时，软件的安全问题也日益突出和复杂化。怎样保证应用软件的安全性已成为人们普遍关注的焦点，过去，对于软件安全的研究多数集中在软件的实现过程中，大多数为修补系统或应用软件中的漏洞。然而，软件安全问题并没有得到很好的解决，据统计数据显示，相当比例的软件安全问题出现在软件需求分析阶段，而且在软件开发领域中越早解决安全问题所花费的代价也将越小，于是将安全问题提升到软件开发初期进行考虑的做法被广泛认可。

目前业界已经普遍认可了需求工程对于大型软件项目开发是否成功起到决定性的作用。但是在大多数需求分析文档中软件安全需求及安全机制的建立仅仅是简单地被提到，并未进行具体的分析；另外也有部分需求文档中虽然能够进行安全需求分析，但是安全需求分析过程与功能需求没有联系起来，这将导致安全需求最终实现的保护形同虚设。这些问题的存在体现了软件开发过程中对安全的需求分析的轻视，所以需要系统的具体的安全需求分析方法来帮助人们明确安全需求。

近年来在软件安全需求分析领域取得了许多有益的进展，研究主要集中在软件安全需求工程方法流程和安全需求抽取技术上。其中，软件安全需求工程方法流程研究与安全需求抽取技术是相互结合的，流程方法基于软件安全需求功能框架，而抽取技术属于实现技术，各种需求抽取技术在不同的流程方法中被使用。目前，在CC标准（信息技术安全评估通用准则The Common Criteria for Information Technology SecurityEvaluation）下定义安全需求已逐渐成为一种趋势和共识。它综合了之前已有的信息安全的准则和标准，形成了一个更全面的标准框架。CC标准作为国际化的安全评估标准，已被广泛的应用于软件产品的开发中，结合CC标准开发出的安全软件受到了用户的信赖。由于CC标准的丰富的安全知识经验内容和其权威性，准确的选取CC标准中的安全功能组件来分析软件安全功能需求具有重要意义，这也是解决安全功能需求问题的好方法。

然而目前利用CC进行软件安全需求分析的过程中存在这样的问题：整个过程需要安全专家的参与，在安全功能选取过程中，较大程度上依赖于专家的经验，没有可以量化的标准，组件选取的准确程度将会影响需求的分析，因此导致了普通用户难以进行使用，并且组件选取的好坏由专家水平决定，具有一定的主观偏差。

发明内容

基于上述现有技术存在的问题，本发明提出了一种基于CC标准的安全功能组件管理方法，通过在安全软件工程的需求分析阶段利用CC标准和等级驱动的安全需求分析方法基于推荐度指标进行安全功能组件的选取和调整，以更准确的进行安全需求分析，减少软件开发初期的安全漏洞。

本发明提出了一种基于CC标准的软件安全功能组件管理方法，在软件工程的需求分析阶段，基于CC标准，实现安全功能组件的推荐和调整，其特征在于，该方法包括以下步骤：

步骤一、将基于CC标准体系下各领域中的评估文档中对威胁信息的描述加以抽象分析并进行归纳，建立威胁知识库；

步骤二，为步骤一中威胁知识库中的每一个威胁知识推荐相应的安全功能组件集合，建立基于规范语义的威胁知识与安全功能组件之间的对应关系；推荐依据分为根据安全等级初步推荐安全功能组件和根据推荐度对安全功能组件进一步筛选，其中，安全等级为预先输入的有关安全等级的一套标准化的定义，在该定义中同时建立了与CC标准中提供的安全功能组件之间的对应关系，推荐度为一个级别对使用某个安全功能组件的支持程度；

步骤三、针对每一个安全功能组件类建立安全功能组件代价评定表，根据表的内容进行组件调整；代价评定表中的评定依据关于安全功能组件实现所用到技术的代价评定。

所述对威胁信息的描述加以抽象分析的步骤，根据威胁的前置条件、发生领域、造成后果的严重程度抽象出22个威胁类别。

所述安全功能组件的总数为251个，威胁知识与安全功能组件的对应关系是一对多关系。

所述根据安全等级初步推荐安全功能组件和根据推荐度对安全功能组件进一步筛选，该步骤根据阈值筛选，包括以下处理：

在基于CC标准的已有的ST文档中找到类似的文档，则将这个文档选为主参考文档；若不存在类似文档，根据词串相似度公式计算系统的名称字符串和已有ST文档的系统名称的相似度，选取其中最大的一个或者几个作为主参考ST文档；

设定主参考文档的权值α，则其余文档的参考权值为β=1-α，即主参考文档的参考权值Vm为0或者1，其他文档的参考值Vo由统计得出，则最终的的参考权值V=α×Vm+β×Vo；

设定筛选阈值γ，当V大于等于γ时选择该安全功能组件，否则剔除；

其中α、β为经验权重值，γ为经验阈值。

所述在基于CC标准的已有的ST文档中找到类似的文档的步骤之前，还包括对ST的进行分类或建立本体的步骤。

与现有技术相比，本发明以软件安全性为出发点，在软件开发生命周期的初期即需求分析阶段提出了基于CC标准的安全功能组件推荐及调整方法，以达到在软件系统开发的初期考虑软件安全功能问题，减少安全漏洞出现的可能性，提高软件的安全性。该方法预期达到以下有益效果：

1、解决了安全需求分析初期用户缺乏安全性衡量指标，尤其是对安全功能分析时没有可参照的量化指标，导致的对安全需求重视程度不够，无法在需求阶段排除安全隐患，尽早发现漏洞的问题。

2、对CC标准提供的安全需求分析方法进行改进，使得大多数不具有专业系统安全分析知识的开发人员及用户都能够方便的使用CC标准对系统进行安全性评估，降低了对专业知识的依赖程度，使得CC国际标准能够得到广泛应用。

3、威胁知识库是可信需求标准体系的重要组成部分，为可信需求分析的研究奠定了基础。

4、实现了半自动化的、较为准确的安全功能组件选取，对安全需求分析具有重要意义。

附图说明

图1为安全功能组件选取流程示意图。

具体实施方式

以下结合附图及较佳实施例，对依据本发明提供的具体实施方式、结构、特征及其功效，详细说明如下。

下面结合附图对本发明中的编码实现和验证效果进行详述。

本发明的安全功能组件选取流程如图1所示，包括三个过程，首先是安全威胁知识库的建立，包括威胁信息抽象和建立威胁与组件之间的推荐关系，这一过程完成以后可以作为经验知识在具体的每次具体开发中应用。然后是在针对某些特定的系统，用户有安全等级要求的情况下，根据等级推荐度，在第一个过程推荐的组件基础上进一步推荐相关的安全功能组件。最后为了满足用户或投资方对实际系统的安全性的具体要求给用户推荐调整所选组件的方案，再由安全需求分析人员考虑具体技术和安全策略，将最终选定的安全功能组件描述成安全概要规范。下面具体介绍这三个过程：

1、第一个过程是威胁知识库的建立，该过程包括以下两个具体步骤：

1）威胁知识抽象

威胁知识的抽象方法是使用CC标准体系下各领域中的评估文档（包括保护轮廓文档PP、安全目标文档ST）中对威胁信息的描述加以抽象总结，分析威胁信息的前置条件、造成结果等多方面因素，进行归纳，建立威胁信息知识库。

2）威胁知识与安全功能组件对应关系的建立

通过对抽象出的威胁信息的总结和对安全组件的描述及适用条件的理解，为前一步骤中所抽象出的每一个威胁知识提出相应的推荐安全功能组件集合。

这一过程在整个安全需求分析的过程中只需要进行一次，当威胁知识和安全功能组件对应关系完善以后，可以作为经验知识来使用，可定期进行威胁知识更新或补充，而不必在每一次安全需求分析过程中都执行。通过对已经完成的安全评估文档的分析，建立级别和安全功能组件之间的映射关系，其中引入推荐度的概念，这些知识能够有效地降低分析安全功能需求的难度。

2、第二个过程是具体的安全功能组件的推荐流程：

1）根据安全等级初步推荐安全功能组件

对安全等级建立了一套标准化的定义，并建立了它们与CC标准中提供的安全功能组件之间的对应关系。根据安全等级（安全等级是作为输入在本方法中使用的，具体的等级的划分，以及等级驱动的分析方法已经由相关工作予以解决，不是本专利的讨论范围）所对应的安全功能组件。

2）根据推荐度对安全功能组件进一步筛选

对安全需求所作的分析，结果的好坏在很大程度上取决于等级推荐组件表的准确程度。在实际系统中有些情形下一些安全功能组件的使用级别并不能确定，但是等级与组件映射的方法使得等级与组件之间对应是严格的固定的，导致了安全需求分析的准确性的下降和灵活性的损失。

为了解决这个问题，提高安全需求等级推荐方法的准确度和合理性，继续改进映射机制，可以引入推荐度的概念。推荐度表征了一个级别对使用某个安全功能组件的支持程度，引入推荐度能使选择组件的过程中加入更多的合理选择。

3.第三个过程是安全功能组件的调整：

由于以上方法具有通用性，所推荐的安全功能组件并不一定满足用户或投资方对实际系统的安全性或者经费方面的具体要求，为了增加系统的准确性和灵活性，需要给用户调整所选取组件的权利。为决策者提供每个安全功能组件的实施代价值以及可能的实现技术困难，能够有效的帮助决策者做出更好的判断和调整，更合理的分配用于安全软件工程的资源。针对每一个安全功能类建立安全功能组件代价评定表，用户可以根据表的内容进行组件调整。

以下为本发明技术方案的具体实施例：

一、威胁知识的抽象

参照CC标准体系下各领域中的评估文档（包括保护轮廓文档PP、安全目标文档ST）中的威胁知识，根据威胁的前置条件、发生领域、造成后果的严重程度，初步抽象出22个威胁类别。见附表1。

表1威胁信息抽象总结

二、建立威胁与安全功能组件对应关系

安全功能组件的总数为251个，因此威胁与安全功能组件的对应关系是一对多。如下附表2所示，展现了等级与11个安全功能类的对应关系。根据该等级可能出现的威胁可以选取出对应的安全功能组件。

表2威胁与安全功能类对应关系表

接着，介绍技术方案中的第二个过程：

根据用户对等级的要求以及相关工作已经完成的等级与安全功能组件对应关系。可以选出某一等级下的安全功能组件，但是等级与组件映射的方法使得等级与组件之间对应是严格的固定的，导致了安全需求分析的准确性的下降和灵活性的损失。引入推荐度的概念提高安全需求等级推荐方法的准确度和合理性。推荐度表征了一个级别对使用某个安全功能组件的支持程度如附表3所示：

表3等级-安全功能组件推荐度

	Level 1	Level 2	Level 3	Level 4
					FPT_RCV.1	0.5	1	1	1
FPT_ITA.1	0	0.75	1	1

表中的数值是采用概率统计的办法计算出来的，统计的对象是CC标准协会给出的ST文档（包括部分PP文档）。例如表中的0.75表示组件出现在4个需求等级可以被划为Level 2的PP或者ST文档中，其中有3个采用了该组件，1个未使用该组件，统计概率的到0.75。采用概率方法是基于概率方法的简便性和组件选取的计算模型难以建立这两点考虑的。

统计方法得到了推荐度，需要筛选算法来决定符合什么样的安全需求组件会被选择，筛选算法的基本思想是根据阈值筛选，描述原理描述如下：

1、如果待开发的系统能够在已有的ST文档中找到类似的文档，则将这个文档选为主参考文档；否则，根据词串相似度公式计算系统的名称字符串和已有ST文档的系统名称的相似度，选取其中最大的一个（或者几个）作为主参考ST文档；

2、设定主参考文档的权值α，则其余文档的参考权值为β=1-α。一般来说认为主参考文档提供的意见更有参考价值，主参考文档中对组件的推荐是确定的，相当于只有0和1的取值，即主参考文档取值Vm为0或者1。其他文档的参考值Vo由统计得出。则最终的的参考权值V=α×Vm+β×Vo；

3、设定筛选阈值γ。当V大于等于γ时选择该安全功能组件，否则剔除。

其中α、β为经验权重值，γ为经验阈值。算法中如果能够对ST的进行分类或建立本体，所得到的准确度还能够得到继续改进。

三、最后，介绍技术方案中的第三个过程

附表4安全功能组件代价评定表

表中的数值与安全需求等级类似，也是顺序尺度的测量值，表征了安全的相对程度。原因是安全功能组件是处于需求层次的，是比较抽象的，直观的代价并不容易判断和难以量化的。因此要判断组件实施的代价，必须了解在具体的实现中采用了什么技术，使用这样的技术会带来多大的额外代价。安全实施技术的革新将改变安全功能组件的实施代价。

在实际使用中，如果用户对等级驱动筛选的结果调整的依据就是安全功能组件实施可能需要的代价。例如一个安全需求等级为Level 2的系统经过筛选没有选中FIA_UAU.4组件，但是该组件“要求鉴别机制使用一次性的鉴别数据”，但是系统中部分功能涉及金融交易，适合采用随机化键盘的方法保护密码验证过程，可以根据实际需要增加该组件。又例如一个安全需求等级为Level 3的系统经过组件筛选后选择了FIA_UAU.5组件，该组件“要求提供和使用不同的鉴别机制，为特定的事件鉴别用户的身份”。由于不同鉴别机制导致了使用的复杂和潜在的技术困难，同时用户或者投资者又对其中一种验证技术要求较高，可以根据实际情况删除该安全需求功能组件。

下面以Security Target for Cisco IOS/IPSEC所评估的是思科公司的实现了IPSec协议功能的路由器网际操作系统为例说明基于CC标准的安全功能组件推荐及调整方法。IPSec是ITFE开发的一种开放标准的框架结构，通过使用加密的安全服务以确保在Internet协议(IP协议)网络上进行保密而安全的通讯。IPSec能够在IP层保护数据的安全性，IPSec的工作原理是：在IP数据包通过不被信任的网络的时候，路由器将对数据包进行加密，并在加密的数据包头部加上额外的标签，该标签可以被认为是IPSec的隧道标签。这样IPSec就可以需要保护的IP包通过未知网络。IPSec协议的另一个要点是网络密钥交换，由于使用IPSec协议时，不可信网络的是被事先标记的，与之相邻的路由器都拥有证书以证明它们支持IPSec协议，通过这个证书路由之间可以认定身份和进行密钥交换。

按照基于CC标准的安全功能组件推荐及调整方法流程，首先按照实验的方案，选择Security Target for Cisco IOS/IPSEC这个ST中分析过的威胁作为输入威胁，该ST中的威胁只有两个如下：

T.Attack：攻击者获得系统权限并修改系统的配置；

T.Untrusted-Path：攻击者可能通过不可信的网络对路由的数据流进行泄露、修改或者插入数据包的攻击行为。

在这里需要对该ST中的威胁做一下预处理，原因是ST中所分析的出的威胁描述不符合威胁知识库中的威胁命名和定义。处理后威胁被拆分和组合如下：

T.Information Leakage：数据流中的数据包被泄露；

T.Replay：重放攻击，即攻击者利用中间人的攻击手段监听或修改数据流；

T.UnauthorizedAccess：攻击者获取系统权限并修改系统的配置。

T.Unauthorized Data Change：数据流中的数据包被篡改或者插入数据。

然后根据上面调整过的威胁和威胁与安全功能组件的对应关系，将威胁输入系统可以初步的选出安全功能组件集合。

然后选择安全需求等级，如果对等级的描述不够熟悉可以到等级知识展示页面查看等级的具体描述。在本实验中，根据IPSec路由器的使用环境，从安全需求的角度出发，选择Level 3作为选择的安全需求等级。

进而根据这些安全功能组件和给定的等级Level 3，并设定筛选算法中的各个参数值，从而可以得到推荐出来的安全组件集合附表5。

附表5实例中等级推荐的安全功能组件集合

编号	组件	编号	组件
				1	FCS_CKM.1	10	FIA_UAU.4
2	FCS_CKM.2	11	FIA_UAU.5
				3	FCS_COP.1	12	FIA_UAU.6
4	FTP_ITC.1	13	FIA_UAU.7
				5	FCO_NRO.2	14	FCS_CKM.4
6	FDP_UIT.1	15	FDP_UCT.1
				7	FIA_UID.2	16	FDP_IFC.1
8	FIA_UAU.2	17	FDP_IFF.1
				9	FIA_SOS.1	18	FPT_TST.1

Claims

1.一种基于CC标准的软件安全功能组件管理方法，在软件工程的需求分析阶段，基于CC标准，实现安全功能组件的推荐和调整，其特征在于，该方法包括以下步骤：

步骤三、针对每一个安全功能组件类建立安全功能组件代价评定表，根据该表的内容进行组件调整；代价评定表中的评定依据关于安全功能组件实现所用到技术的代价评定。

2.如权利要求1所述的基于CC标准的软件安全功能组件管理方法，其特征在于，所述对威胁信息的描述加以抽象分析的步骤，根据威胁的前置条件、发生领域、造成后果的严重程度抽象出22个威胁类别。

3.如权利要求1所述的基于CC标准的软件安全功能组件管理方法，其特征在于，所述安全功能组件的总数为251个，威胁知识与安全功能组件的对应关系是一对多关系。

4.如权利要求1所述的基于CC标准的软件安全功能组件管理方法，其特征在于，所述根据安全等级初步推荐安全功能组件和根据推荐度对安全功能组件进一步筛选，该步骤根据阈值筛选，包括以下处理：

其中α、β为经验权重值，γ为经验阈值。

5.如权利要求4所述的基于CC标准的软件安全功能组件管理方法，其特征在于，所述在基于CC标准的已有的ST文档中找到类似的文档的步骤之前，还包括对ST的进行分类或建立本体的步骤。