面向安全性分析的嵌入式软件测试方法研究.docVIP

面向安全性分析的嵌入式软件测试方法研究 　　摘 要： 在软件开发的整个周期内，软件测试对项目的正常运行起着关键作用，计算机软件安全性测试是软件测试的一部分，但又有其特别的测试技术和测试方法。嵌入式软件的安全性测试可以分为功能性安全测试和漏洞性安全测试，功能性安全测试通常与普通的功能性测试一起进行，其测试技术和测试方法也基本相同。在此重点挖掘一些嵌入式软件安全测试的共性部分，主要研究安全测试在软件开发周期中的各种方法策略和技术。并借鉴一般应用软件安全测试的管理规范，结合嵌入式软件的具体特点分析改进，试图形成针对嵌入式软件较为通用的、工程化的安全测试解决方案。 　　关键词： 嵌入式软件测试； 漏洞挖掘； 安全性测试； 测试策略 　　中图分类号： TN919?34； TM417 文献标识码： A 文章编号： 1004?373X（2016）13?0080?04 　　Abstract： Software testing in the whole period of software development plays an important role to ensure the normal operation of the project. The computer software security testing is a part of software testing， but has special testing technology and tes?ting method. The security testing of the embedded software is composed of functional security testing and vulnerability security testing. The functional security testing is often carried on with normal functional testing， and its testing techniques and testing methods are basic the same. The common part of the embedded software security testing is mined emphatically. Various strategies and techniques of security testing in software development period are mainly studied. Referring to the management practices of the general application software security testing， and in combination with the specific characteristics of the embedded software， the universal and engineering security testing solution for the embedded software attempts to form through the analysis and improvement. 　　Keywords： embedded software testing； vulnerability mining； security testing； test strategy 　　0 引 言 　　计算机软件安全性测试是嵌入式软件测试的重要组成部分，它的作用是至关重要的。嵌入式软件安全性测试不仅要对安全需求中的功能性安全需求进行验证，还要从嵌入式软件的设计和实现代码中挖掘未知的漏洞，并对这些未知的安全缺陷进行管理。通过嵌入式软件安全测试，可以挖掘程序自身存在的安全隐患，并能够检查在遭遇攻击时的防范能力，根据不同的安全需求其安全测试策略会相应的不同[1]。通常情景下，安全性测试都是基于风险分析，即首先需要在测试前进行嵌入式软件的风险分析，然后再通过具体的安全测试进行验证[2]。 　　通过有效的嵌入式软件安全测试可以发现大部分的安全缺陷，在此基础上对安全漏洞进行修补可以避免灾难性的安全性问题的发生，这使得人们对安全测试的重视程度越来越高。软件安全测试优于其他软件安全过程（诸如安全编码或设计审计等）之处在于，计算机安全测试可以展示出真实的攻击状态，因此展示出客观的、可量化的结果，得出真实的漏洞利用情况[3]。在软件开发周期后期对软件进行改动以消除漏洞，不仅存在很大的安全风险，而且伴随着高昂的开销。对漏洞被利用带来