[計(jì)算機(jī)]避免沙堆建樓做好軟件安全測試(編輯修改稿)
2025-09-13 04:29 本頁面
【文章內(nèi)容簡介】 行建模?！ 、趯ふ液蛼呙枞肭贮c(diǎn)。檢查威脅模型里的哪些缺陷可能在本軟件中發(fā)生，再將可能發(fā)生的威脅納入入侵點(diǎn)矩陣進(jìn)行管理。如果有成熟的漏洞掃描工具，那么直接使用漏洞掃描工具進(jìn)行掃描，然后將發(fā)現(xiàn)的可疑問題納入入侵點(diǎn)矩陣進(jìn)行管理。 ?、廴肭志仃嚨尿?yàn)證測試。創(chuàng)建好入侵矩陣后，就可以針對入侵矩陣的具體條目設(shè)計(jì)對應(yīng)的測試用例，然后進(jìn)行測試驗(yàn)證?！ 。?）正向安全性測試過程 為了規(guī)避反向設(shè)計(jì)原則所帶來的測試不完備性，需要一種正向的測試方法來對軟件進(jìn)行比較完備的測試，使測試過的軟件能夠預(yù)防未知的攻擊手段和方法。 ?、傧葮?biāo)識(shí)測試空間。對測試空間的所有的可變數(shù)據(jù)進(jìn)行標(biāo)識(shí)，由于進(jìn)行安全性測試的代價(jià)高昂，其中要重點(diǎn)對外部輸入層進(jìn)行標(biāo)識(shí)。例如，需求分析、概要設(shè)計(jì)、詳細(xì)設(shè)計(jì)、編碼這幾個(gè)階段都要對測試空間進(jìn)行標(biāo)識(shí)，并建立測試空間跟蹤矩陣。 ?、诰_定義設(shè)計(jì)空間。重點(diǎn)審查需求中對設(shè)計(jì)空間是否有明確定義，和需求牽涉到的數(shù)據(jù)是否都標(biāo)識(shí)出了它的合法取值范圍。在這個(gè)步驟中，最需要注意的是精確二字，要嚴(yán)格按照安全性原則來對設(shè)計(jì)空間做精確的定義。 ?、蹣?biāo)識(shí)安全隱患。根據(jù)找出的測試空間和設(shè)計(jì)空間以及它們之間的轉(zhuǎn)換規(guī)則，標(biāo)識(shí)出哪些測試空間和哪些轉(zhuǎn)換規(guī)則可能存在安全隱患。例如，測試空間愈復(fù)雜，即測試空間劃分越復(fù)雜或可變數(shù)據(jù)組合關(guān)系越多也越不安全。還有轉(zhuǎn)換規(guī)則愈復(fù)雜，則出問題的可能性也愈大，這些都屬于安全隱患?！ 、芙⒑万?yàn)證入侵矩陣。安全隱患標(biāo)識(shí)完成后，就可以根據(jù)標(biāo)識(shí)出來的安全隱患建立入侵矩陣。列出潛在安全隱患，標(biāo)識(shí)出存在潛在安全隱患的可變數(shù)據(jù)，和標(biāo)識(shí)出安全隱患的等級(jí)。其中對于那些安全隱患等級(jí)高的可變數(shù)據(jù)，必須進(jìn)行詳盡的測試用例設(shè)計(jì)。 ?。?）正向和反向測試的區(qū)別 正向測試過程是以測試空間為依據(jù)尋找缺陷和漏洞，反向測試過程則是以已知的缺陷空間為依據(jù)去尋找軟件中是否會(huì)發(fā)生同樣的缺陷和漏洞，兩者各有其優(yōu)缺點(diǎn)。反向測試過程主要的一個(gè)優(yōu)點(diǎn)是成本較低，只要驗(yàn)證已知的可能發(fā)生的缺陷即可，但缺點(diǎn)是測試不完善，無法將測試空間覆蓋完整，無法發(fā)現(xiàn)未知的攻擊手段。正向測試過程的優(yōu)點(diǎn)是測試比較充分，但工作量相對來說較大。因此，對安全性要求較低的軟件，一般按反向測試過程來測試即可，對于安全性要求
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1