常常被问到这么一个问题：如何评测一个软件系统到底有多安全？
 
一个回答是：我们不是有专门的软件安全评测标准和机构吗？没错，我们有专门的国际标准Common Criteria， ISO/IEC 15408，国家标准GB 18336。有专门的评测中心，如Common Criteria Lab，和中国信息安全产品测评认证中心。
 
似乎我们只要按照标准提供相应文档，把软件交给评测机构，不就行了？ 但是，事实上真的这么简单吗？举个例子，微软的Windows 2000系统得到了Common Criteria的EAL4+认证，但是还是有这么多软件安全补丁发布。问题到底出在什么地方？
 
我们先看一下Common Criteria是如何评估软件系统的安全的。首先要确定产品对应的Protection Profile （PP）。一个PP定义了一类产品的安全特性模板。例如数据库的PP，防火墙的PP等等。然后，根据PP再提出具体的安全功能需求（security functional requirement），如用户的身份认证是如何实现的。接下来，确定产品的安全对象（secure target），以及它是如何满足对应的安全功能需求的。
 
也就是说，Common Criteria主要集中在大方向上的软件设计上的安全。但是，对于具体的编码实现，和部署则没有涉及。而SD3，也就是安全设计（secure designed），安全开发（secure development）和安全部署（secure deployment）的三个环节，哪个出问题都不行。
 
另一方面，最终的用户关心的核心问题就是“这个软件安全吗”。一个由于设计导致的安全漏洞，和一个由于实现导致的安全漏洞，对用户的最终影响没有区别。Common Criteria在针对软件实现和部署上的评估上的不足，可以是说是CC面对的最大挑战。另外，Common Criteria要求的文档之多，评估的周期之长，也极大影响了它在评估面向企业和个人用户的软件安全性的有效程度。例如，一个产品的评估周期有时长达2-3年：等评测结果出来，老产品也要被新产品替代了。
评估（并提高）一个软件系统的安全程度，需要从设计，实现和部署三个环节同时着手。目前，微软的安全软件开发周期（SDL）提供了一个基于微软开发模型的参考解决方案。它并不是一个类似CC的评估测试标准。但是在如何有效的评估软件实现和部署环节的安全性上（例如FUZZ测试），大家可以借鉴一下。

如何评测软件系统的安全性相关推荐

  1. 软件系统安全性测试列表(Checklist)

    随着互联网应用的普及,软件安全性越来越重要,今天我整理了一个软件安全性测试的列表,请大家仔细看看,看看有没有漏项,多给力,给予补充,在此谢过! 主题 项目列表 系统安全性及其测试方法 ³  软件系统的 ...

  2. 【软考软件评测师】2013综合知识历年真题

    [软考软件评测师]2013综合知识历年真题 2013软件评测师综合知识历年真题 [软考软件评测师]2013综合知识历年真题 [2013年评测真题第01题:绿色] 01.在程序执行过程中,Cache与主 ...

  3. 【软考软件评测师】2014综合知识历年真题

    [软考软件评测师]2014综合知识历年真题 2014软件评测师综合知识历年真题 [软考软件评测师]2014综合知识历年真题 [2014年评测真题第01题:绿色] 01.三总线结构的计算机总线系统由( ...

  4. 鹅厂招人啦！限量内推码和面试直通卡！助你直拿Offer（内附岗位介绍）

    令人翘首以盼的鹅厂终于来招人啦!这次腾讯公司的领导们带来了超多岗位,可以说是非常有诚意了.无论你是哪个领域的人才,只要你有能力,这里就有你的一席之地. 当机会砸到你的头上,就一定要把握住哦!快点预约直 ...

  5. 软件项目测试的具体内容

    功能测试: 对指定业务所有功能进行测试,撰写测试用例,执行测试用例,出具测试报告和BUG列表,专用BUG管理工具进行测试管理. 根据产品特性.操作描述和用户方案,测试一个产品的特性和可操作行为以确定它 ...

  6. 【软件测试】测试经验：IT 软件测试技术系统化学习方法

    目录 一.IT 软件测试技术的介绍 (1)相关职称证书 ① 「中级」软件评测师 ②「高级」项目管理师 (2)背景 (3)作用 (4)行业应用 (5)技术概况 二.系统化学习的前置准备 (1)学习目标 ...

  7. 帮AI体检看病一条龙服务，阿里发布“AI安全诊断大师”

    如同一些出生免疫力就有缺陷的人一样,AI也存在免疫力缺陷.基于从源头打造安全免疫力的新一代安全架构理念,最近,阿里安全研究发布了一项核心技术"AI安全诊断大师",可对AI模型全面体 ...

  8. 中小型商业银行的软件安全测试之道

    随着移动应用.互联网+时代的到来,几乎每个银行的都已经把主要的业务搬到互联网和移动互联网上来.随之而给带来了两个重大的趋势: 一方面,软件外包开发空前的繁荣起来,银行除了要提供网上银行,电话银行的业务 ...

  9. java class对象创建时机_Java面向对象编程-类的声明周期

    第十章 类的生命周期 10.1 Java虚拟机及程序的生命周期 当通过java命令运行一个Java程序时,就启动了一个Java虚拟机进程.Java虚拟机进程从启动到终止的过程,称为Java虚拟机的生命 ...

最新文章

  1. linuxDNS服务器的部署
  2. 服务器相关命令整理[不断更新ing]
  3. ACM学习历程—Hihocoder 1290 Demo Day（动态规划）
  4. 转：自定义谷歌地图配色方案
  5. loj #6278. 数列分块入门 2
  6. Oracle收购Sun消化不良 Sun赢利困难 MySQL将何去何从
  7. SecureCRT session 的迁移
  8. 站长之家bbs.chinaz.com宣布将于2018年7月15日永久关站
  9. 拓端tecdat|基于出租车GPS轨迹数据的研究：出租车行程的数据分析
  10. RIDE指定log和report的输出目录
  11. 《薛兆丰的经济学课》课程总结5--需要协调
  12. 【转】央行首发27家企业第三方支付牌照
  13. 添加视频字幕后期制作Premiere Pro 2022中文
  14. Java将域名转换成IP
  15. 计算机打印状态错误,打印机出现错误状态是怎么回事,教您解决办法
  16. Hu矩的形状特征提取---matlab实现
  17. HDU-2189来生一起走
  18. 计算机杀病毒软件的应用有哪些,杀病毒软件的作用是什么？
  19. 输入电阻和输出电阻的意义
  20. ChatGPT辅导孩子作业有技巧

热门文章

  1. 利用PR将视频保存成一系列图片
  2. 【运维】第四节 Prometheus 配置完全手册
  3. 无线传感网学习笔记（8）—— DSDV路由协议 和 AODV路由协议
  4. 7-15 球队“食物链” (30 分)
  5. npm audit fix命令使用
  6. pb 修改数据窗口种指定字段位置_在PB中控制 数据窗口 列修改属性.doc
  7. 浏览器被强制修改成 桔梗网—Google, Firefox
  8. 中级认证宝典【全理论】
  9. 学习Spring框架有这一篇就够了
  10. 雷军：何以英雄背骂名！