[发明专利]一种基于缺陷的软件安全性测试需求的获取与分级方法

权利要求书

1.一种基于缺陷的软件安全性测试需求的获取方法，其特征在于：所述方法获取包括如下步骤：

(1)确定软件所涉及数据的信息来源，对用户的访问类型进行分类；

(2)根据不同的访问类型确定用户风险等级；

(3)根据软件结构绘制第0层带有数据交互边界的数据流图；

(4)抽取出第0层数据流图中的数据交互路径列表；

(5)根据用户风险等级，确定可能存在缺陷的交互路径及其危险等级；

(6)对步骤(5)中确定的危险等级高的交互路径，对第0层基于数据交互边界的数据流图进行分解，抽取第1层基于数据交互边界的数据流图；

(7)对步骤(6)中得出的第1层基于数据交互边界的数据流图，基于典型软件安全性缺陷，确定穿越数据交互边界的数据流信息可能存在的缺陷；

(8)根据步骤(7)中确定的缺陷，确定软件安全性测试需求。

2.一种根据权利要求1所述方法获得的软件安全性测试需求，采用PDDAR模型实现对测试需求的分级的方法，其特征在于：所述分级方法包括如下步骤：

(1)确定缺陷的普遍性属性PE等级，为广泛、高、普通或者有限；

(2)确定缺陷的危害性属性DP等级，为关键、高、中等或者低；

(3)确定缺陷的可探测性属性DE等级，为容易、一般或者困难；

(4)确定缺陷的影响用户级别属性AU等级，为管理员、过个普通用户特殊配置用户或者Guest用户；

(5)确定缺陷的可靠性属性RE等级，为危险、一般、受限或者低；

(6)对步骤(1)、(2)、(3)、(4)和(5)确定的等级，按照下表设定缺陷不同属性的权值W＝(W_PE，W_DP，W_DE，W_AU，W_RE)：

(7)根据步骤(1)、(2)、(3)、(4)和(5)中，对每种属性的影响因素，并设定各影响因素的权值，确定影响因素集F：

F=PEDPDEAURE;]]>

(8)根据PRI_i＝W_DPPE_i+W_OPDP_i+W_RPDE_i+W_AUAU_i+W_RERE_i计算第i个软件安全性测试需求的安全性缺陷优先级PRI；

(9)比较各个安全性缺陷优先级PRI，计算数值越高的安全性测试需求等级越高。