軟件安全漏洞自動化識別原理評析-最新年文檔

精選優(yōu)質文檔-----傾情為你奉上精選優(yōu)質文檔-----傾情為你奉上專心---專注---專業(yè)專心---專注---專業(yè)精選優(yōu)質文檔-----傾情為你奉上專心---專注---專業(yè)軟件安全漏洞自動化識別原理評析隨著社會信息化的發(fā)展，大型社會服務部門對外信息服務多已建立了信息系統(tǒng)，也正是隨著各種公眾信息服務軟件的應用，軟件信息安全事件也不斷沖擊著公眾的管感點，因軟件安全問題引起服務中斷的事情屢見報端，究其原因，很大成分是在軟件規(guī)模的演變中，原來軟件定位多服務于小型區(qū)域和內部使用，對軟件安全的要求自然比較低，在軟件功能定位已發(fā)生明顯變化，服務于公眾客戶，承載規(guī)模越來越大的時候，軟件安全的建設未隨之提升，而且隨著軟件規(guī)模的增大，依賴人工進行軟件安全漏洞風險的難度也日益增加，一點僥幸和一點為難，為軟件安全隱患打開了方便之門，這種問題演變出來的影響如今不得不令人痛心決心予以考慮，這也正是軟件代碼安全漏洞工具用武之地。1.軟件代碼安全檢查工具功能評析隨著計算機軟件編譯技術的發(fā)展和市場的需求，目前有多種開源的和商業(yè)的靜態(tài)源代碼分析工具可以幫助開發(fā)人員和軟件安全人員在編碼階段快速掃描出軟件代碼所潛在的安全隱患，這些技術在我們日常的開發(fā)過程中很普遍，只是我們平時沒有注意到而已。通過源代碼分析工具對代碼掃描后的結果，開發(fā)人員和安全代碼審查人員可以對結果再次復查，極大地提高了代碼安全審查的效率，這些分析工具或者技術主要包括如下的功能：1.1類型檢查類型檢查是靜態(tài)分析使用得最為廣泛的形式，也是程序員最為熟悉的方式，很多程序員并沒有在類型檢查方面太多的思考，畢竟類型檢查的規(guī)則被編程語言事先定義好了，并被編譯器強制執(zhí)行，因此關于類型檢查的分析器是如何執(zhí)行的，程序員一般都了解得很少。類型檢查能夠幫助開發(fā)人員全面地排除編碼類型方面的錯誤，比如把一個整型的值賦給一個對象的變量;在編譯時捕獲錯誤;也在一定程度上預防運行時的錯誤。1.2代碼編寫風格檢查Stylecheckers是一個專門的代碼風格檢查的靜態(tài)分析工具，這種工具在類型檢查之外強制一些其它的編碼格式的規(guī)則，比如空格檢查、命名規(guī)范、不推崇函數的使用、注釋、程序結構等.被stylechecker檢查的錯誤通常是那些影響代碼的可靠性和可維護性方面的缺陷，這些缺陷在程序運行時并不一定是一個特定的錯誤。1.3程序理解程序理解工具幫助用戶理解代碼量大的程序，幫助用戶理解代碼，集成開發(fā)環(huán)境（IDE）也總是包含一些程序理解功能，比如：“findallusesofthismethod”and“findthedeclarationofthisglobalvariable.”“一些高級的分析可以支持自動程序重構的特性，比如把單個的復雜的函數，裂解成多個更為簡單的函數。”高級的程序理解工具也盡量幫助程序員去獲取程序是按哪種方式工作的，有些工具盡量使用逆向工程了解代碼的設計.因此會給程序員一個圖形化的視圖，這對程序員去理解代碼量大的程序非常有用，尤其是這些代碼不是程序員自己寫的時候，1.4程序確認程序確認工具接受一組規(guī)格要求和代碼，并企圖為代碼提供證明：“代碼的實現是滿足規(guī)格要求的”，如果規(guī)格是程序應當作的每一件事情的完整描述，程序確認工具就能夠執(zhí)行一個等同的檢查，以確保代碼和規(guī)格是一致的。1.5屬性檢查屬性檢查工具關注臨時安全的屬性上面，臨時安全的屬性按順序列出一些不允許發(fā)生事件的清單，。比如不能去訪問已經釋放了的內存塊的地址，大多數屬性檢查工具允許程序員寫自己的規(guī)則去檢測特定程序的屬性。1.6缺陷發(fā)現缺陷發(fā)現工具的目的并不像stylechecker那樣去抱怨代碼的格式問題，也不去對程序代碼和規(guī)格做比較。它僅僅指出在程序在哪兒，它的行為將不是程序員本身的意圖，大多數程序缺陷工具是易于使用的，因為它們是與一組特定的缺陷規(guī)則相關，這些規(guī)則描述了一些特定的代碼模式，這些代碼模式將通常指示代碼缺陷。2.軟件代碼安全的審查路徑關注于安全的靜態(tài)掃描工具使用了多種其它靜態(tài)分析工具的技術，但它更關注識別安全問題這個目標，這就意味著它們應用這些技術的不同，它檢查潛在的不安全的庫函數的調用;檢測邊界錯誤和類型轉換錯誤;使用控制流檢測操作順序不合理所帶來的隱患;使用數據流跟蹤技術去跟蹤不安全的數據的引入及其不安全的操作…。同時也提供自定義安全規(guī)則的接口，以滿足用戶特定安全目的的需求，以下是數據流和控制流的例子。數據流跟蹤來自網絡的數據，該數據最后在一塊給定的內存執(zhí)行操作，對來自網絡的數據沒有做大小控制，會導致緩沖區(qū)溢出?？刂屏鞣治鏊械牟僮髀窂剑l(fā)現在特定的邏輯下，程序執(zhí)行不安全的操作，比如下面的對同一內存塊釋放了兩次，導致內存管理紊亂。靜態(tài)源代碼安全掃描工具器的潛在價值：●減少成本。靜態(tài)安全掃描工具主要用于開發(fā)階段去識別潛在的安全風險，在研發(fā)早期就識別出安全問題，修復問題早，修復的成本低?！窠逃_發(fā)人員進行安全編程。大多數開發(fā)人員沒有培訓如何安全編程，好的安全掃描工具不僅僅發(fā)現問題，也解釋問題的根源，并推薦怎樣去修復問題。這提供給開發(fā)人員第一手的資料，作為他們如何去改善編程實踐的參考?！裰匦聶z測老的代碼。即使老的代碼在開發(fā)的時候考慮到安全的，當這些代碼被開發(fā)出來以后，新的類別安全漏洞也可能使得原有的系統(tǒng)不安全，安全掃描器能夠幫助找出這些問題。●作為安全度量的米尺。盡管因為安全掃描工具的誤報和漏報的原因，我們無法確定軟件的安全有多好，但安全掃描分析器能夠幫助測量軟件安全到底有多么壞。●自動重復源代碼安全審計方面單調乏味的工作，解放人工的安全分析去跟蹤更多更困難的問題。●以安全的觀點去檢測好的編程風格。如果沒有定制安全規(guī)則，分析器將以它自己定義的編程風格去確定編碼風格的好壞，定制規(guī)則幫助開發(fā)團隊固化好的編程風格，這使得從安全的角度去提高編碼的風格。當然定制規(guī)則是需要一定的時間和一定經驗的。3.軟件代碼安全檢測工具功能限定靜態(tài)安全掃描器并不是設計去發(fā)現架構方面的問題，或者說設計方面的缺陷，也不適合去發(fā)現集成方面的BUG，安全掃描器也有一些局限，特別是讓它去分析一些大的系統(tǒng)，這些系統(tǒng)包含多種可執(zhí)行的組件，或者不同的結構層次。應當強調的是：就像人工審計一樣，安全掃描器并不能發(fā)現軟件系統(tǒng)的所有代碼的安全缺陷，它們也只能發(fā)現一些，畢竟安全掃描器它自己也是一個軟件，這剩下的未被發(fā)現的問題仍然需要人工去把他們找出來。因此，不要僅僅單一依賴安全的掃描器去確保整個系統(tǒng)代碼的安全。開發(fā)人員需要學會避免安全掃描器指出的問題，這是好的事情，但并不意味著能夠避免那些安全掃描器沒能發(fā)現的問題。安全掃描的結果不能作為僅有的判斷軟件質量的唯一方式。否則，軟件可能從表面上看起來已經得到改善和提高了，但實際上仍然在有些方面很糟糕。4.總結源代碼安全掃描器綜合了多