软件安全性缺陷测试需求获取与定位

来源：计算机技术与发展杂志2019年第08期北京时间：

作者：彭会斌;费琪

摘要：近年来,软件安全性事件层出不穷,涉及的领域也越来越广,造成的危害也越来越大。 现有的缺陷数据库包含的安全性漏洞数量非常庞大,如果对其逐个进行针对性测试,则测试成本难以承受。 因此,文中首先从影响软件安全性的缺陷引入原因维、危险后果维以及可能导致缺陷被激活的操作方式维三个维度对安全性缺陷进行分类。 这种三维结构综合分类法,可以弥补单一分类法的不足,为测试人员分析安全性缺陷提供了更为准确细致的描述手段;其次,通过数据流图结合数据交互边界提出一种可行的基于数据交互边界的软件安全性缺陷确定技术;最后,通过对 DREAD 模型的改进,提出一种软件安全性缺陷优先级度量模型,从而解决了软件安全性缺陷定位问题和软件安全性缺陷优先级确定问题。

关键词：软件安全缺陷;安全缺陷需求获取;安全缺陷定位;优先级度量模型