Ασφάλεια λογισμικού σε πρώιμα στάδια του κύκλου ζωής του

Abstract

Ο συνεχώς αυξανόμενος αριθμός επιθέσεων που βασίζονται σε ευπάθειες (vulnerabilities) στο λογισμικό, είχε ως αποτέλεσμα ο καινούριος κλάδος της ασφάλειας λογισμικού (software security) να αποκτήσει μεγάλη σημασία για όσους ασχολούνται με την ασφάλεια πληροφοριακών συστημάτων. Επιπλέον, έγινε ξεκάθαρη η ανάγκη της εισαγωγής της ασφάλειας σε όσο το δυνατόν πιο πρώιμα στάδια του κύκλου ζωής λογισμικού. Για την εισαγωγή της ασφάλειας στη φάση της σχεδίασης προτάθηκαν τα λεγόμενα πρότυπα ασφάλειας (security patterns). Στην παρούσα εργασία γίνεται μια ποιοτική αξιολόγηση των προτύπων ασφάλειας ως προς κριτήρια που σχετίζονται με ορισμένες κατευθυντήριες αρχές σχετικές με την ασφάλεια λογισμικού, οπές λογισμικού και κατηγορίες επιθέσεων. Επιπλέον, αναλύεται μια μεθοδολογία ασαφούς ανάλυσης κινδύνου (fuzzy risk analysis) για τον υπολογισμό του κινδύνου (risk) ενός αντικειμενοστρεφούς σχεδίου UML (Unified Modeling Language). Τέλος μελετάται μια μεθοδολογία αυτόματης μετάβασης από απαιτήσεις που περιέχουν περιπτώσεις κακής χρήσης (misuse cases) σε αντικειμενοστρεφή σχέδια που αξιολογούνται ως προς τον κίνδυνο και την απαιτούμενη προσπάθεια για την ανάπτυξή τους.

The constantly increasing number of attacks based on software vulnerabilities had as a consequence that the new area of software security got high importance for everybody involved in information systems security. Moreover, it became clear that there is a need to include security at the earliest stages of the software lifecycle possible. In order to introduce security at the design phase security patterns have been proposed. In the present thesis a qualitative analysis of security patterns based on guiding principles related to software security, software holes and categories of attacks. Addition-ally, a fuzzy risk analysis methodology is proposed in order to compute the risk of an object oriented design. Finally, a methodology to automatically move from requirements including misuse cases to object oriented UML (Unified Modeling Language) designs evaluated for risk and required development effort is studied.