CN112015373B

CN112015373B - 一种基于形式化方法的内生安全应用软件形式建模方法

Info

Publication number: CN112015373B
Application number: CN202010735834.2A
Authority: CN
Inventors: 赵涌鑫; 刘知昊; 蒲戈光; 刘虹
Original assignee: Shanghai Industrial Control Safety Innovation Technology Co ltd; East China Normal University
Current assignee: Shanghai Industrial Control Safety Innovation Technology Co ltd; East China Normal University
Priority date: 2020-07-28
Filing date: 2020-07-28
Publication date: 2022-02-11
Anticipated expiration: 2040-07-28
Also published as: CN112015373A

Abstract

本发明公开了一种基于形式化方法的内生安全应用软件形式建模方法，所述建模部分包括如下部分：应用软件功能建模，以支持对***功能进行描述，包括***结构建模和***行为建模两部分。***结构建模是对***架构建模，使用类图对***中所涉及的属性和方法进行描述，***行为建模采用状态图和序列图对整个***的行为进行建模，其中状态图描述进程的控制逻辑，序列图描述进程之间的交互过程；应用软件信息安全威胁和策略建模，以支持对***安全威胁和安全策略进行描述。信息安全威胁建模使用攻击树来对***各个模块在各个方面的脆弱性关联起来进行深入地分析，发现威胁网络安全的攻击路径并以树的方式呈现出来。

Description

一种基于形式化方法的内生安全应用软件形式建模方法

技术领域

本发明属于软件技术领域，涉及一种基于形式化方法的内生安全应用软件形式建模方法，形成内生安全的应用软件集成开发***。

背景技术

内生安全是网络安全未来发展的方向与进化目标，从前分散的、独立的安全能力需要依靠协同、聚合和融入信息化***和业务应用，从而构建不断从信息化***内生长出的安全能力，具备自适应、自主和自成长的特点，这样的防护能力才能伴随***的增长而提升，时刻保证***安全。当前应用软件具有分布性、异构性、并发性和实时性等特征，同时存在安全缺陷多、纠错难度大等问题，在内生安全应用软件建模技术中，对应用软件的架构、行为、控制逻辑等方面进行建模，构建能对软件的功能安全和信息安全性质协同建模的工具，从而得到内生安全应用软件安全模型。这种方法需要对软件架构、软件行为、安全威胁和策略进行建模。结合状态机和序列图相融合的应用软件形式化建模技术和开放网络环境下应用软件安全威胁和安全策略建模技术，实现从不同角度对并发/分布式***的行为的融合建模与分析缓解安全攻击威胁能力。

发明内容

本发明的主要目的在于提出一种基于形式化方法的内生安全应用软件形式建模方法，为内生安全的应用软件提供建模跨平台桌面应用工具(sbid-ava，以下简称工具)。

为实现上述的目的，本发明提供了一种基于形式化方法内生安全应用软件形式建模的方法，所述基于形式化方法的内生安全应用软件形式建模方法包括以下步骤：

a)利用类图、拓扑图对应用软件的架构进行建模；

b)根据确定的应用软件架构模型，通过融合状态机和序列图来对并发分布式的行为进行建模；

c)根据软件架构模型和行为模型，利用攻击树对软件的信息安全威胁建模，在安全威胁模型上，推荐安全缓解策略以支持策略建模。

本发明提供的基于形式化方法的内生安全应用软件形式建模方法，通过利用类图、拓扑图对应用软件的架构进行建模，首先能够找到应用软件全局属性与参与实体，将全局属性抽象为类图数据类型和参与实体抽象为模型进程，使得模型基本要素清晰明了；其次，对模型的拓扑图建模使得抽象进程的角色实例化，具体在其上的属性，可以保证工具对应用软件通信过程的抽象，在此基础上在进行通信代价估计，可以提供极大的准确性。

另外，本发明提供的基于形式化方法的内生安全应用软件形式建模方法还可以具有如下附加技术特征：

优选地，所述利用类图、拓扑图对应用软件的架构进行建模，包括：

a1)利用类图对进程/计算节点的属性、方法建模；

a2)利用拓扑图对网络拓扑结构进行建模。

优选地，所述a1)利用类图对进程/计算节点的属性、方法建模，包括：

a11)根据数据类图，确定数据类型；

a12)根据进程类图，确定进程内容；

a13)根据信道类图，确定信道关系；

a14)根据公理类图，确定公理函数；

a15)根据初始知识类图，确定知识可见性。

优选地，所述a2)利用拓扑图对网络拓扑结构进行建模，包括：

根据实例化类图的拓扑结点与网络关系，确定拓扑图的链路。

优选地，所述根据确定的应用软件架构模型，通过融合状态机和序列图来对并发分布式的行为进行建模，包括：

b1)利用状态机来描述进程/计算结点的内部控制逻辑；

b2)利用序列图来描述进程/计算结点之间的交互过程。

优选地，所述b1)利用状态机来描述进程/计算结点的内部控制逻辑，包括：

b11)根据进程内容，确定对应的状态机；

b12)根据确定的状态机，确定状态结点内容(初始状态、中间状态、转移状态、可接受状态)；

b13)根据状态结点，确定精化状态。

优选地，所述b2)利用序列图来描述进程/计算结点之间的交互过程，包括：

b21)根据进程类图，确定对象-生命线；

b22)根据进程模版上的通信消息，确定通信方法。

优选地，所述根据软件架构模型和行为模型，利用攻击树对软件的信息安全威胁建模，在安全威胁模型上，推荐安全缓解策略以支持策略建模，包括：

c1)根据攻击树，确定软件***的脆弱性；

c2)根据***脆弱性，确定软件安全缓解策略。

本发明的附加方面和优点能够在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

本发明公开了一种基于形式化方法的内生安全应用软件形式建模方法，所述建模部分包括如下部分：应用软件功能建模，以支持对***功能进行描述，包括***结构建模和***行为建模两部分。***结构建模是对***架构建模，使用类图对***中所涉及的属性和方法进行描述，***行为建模采用状态图和序列图对整个***的行为进行建模，其中状态图描述进程的控制逻辑，序列图描述进程之间的交互过程；应用软件信息安全威胁和策略建模，以支持对***安全威胁和安全策略进行描述。信息安全威胁建模使用攻击树来对***各个模块在各个方面的脆弱性关联起来进行深入地分析，发现威胁网络安全的攻击路径并以树的方式呈现出来。在使用攻击树对信息安全威胁建模的技术上，对可能的信息安全缓解策略或措施进行建议和推荐。攻击者行为建模在安全威胁建模的基础上，对攻击者的可能行为进行分析总结，使用状态图来对其行为进行具体描述。本发明中，通过使用工具对应用软件进行形式化建模，不仅可以通过图形建模来保证协议的功能性，而且为集成后端工具中可进行模型验证和代码生成提供***模型和威胁模型，能够保证应用软件架构、控制逻辑与安全策略的建模相统一。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1为本发明实施例提供的一种基于形式化方法的内生安全应用软件形式建模方法的流程示意图；

图2为本发明实施例提供的基于形式化方法内生安全应用软件形式建模工具窗口示意图；

图3为本发明实施例提供的应用软件架构建模类图属性示意图；

图4为本发明实施例提供的应用软件架构建模类图进程示意图；

图5为本发明实施例提供的应用软件架构建模类图信道示意图；

图6为本发明实施例提供的应用软件架构建模类图公理示意图；

图7为本发明实施例提供的应用软件架构建模类图初始知识示意图；

图8为本发明实施例提供的应用软件架构建模类图拓扑图示意图；

图9为本发明实施例提供的应用软件行为建模状态机图示意图；

图10为本发明实施例提供的应用软件行为建模序列图示意图；

图11为本发明实施例提供的应用软件安全威胁和策略建模攻击树示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施方式。虽然附图中显示了本公开的示例性实施方式，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1为本发明实施例提供的一种基于形式化方法的内生安全应用软件形式建模方法的流程示意图；如图1所示，所述方法包括以下步骤：

步骤一：利用类图对应用软件的架构进行建模：

具体的，根据形式化方法内生安全应用软件形式建模方法，抽象应用软件的全局数据类型、应用软件模型的进程，进程间的信道，模型的公理与初始知识。

图3数据类图描述应用软件模型属性与自定义方法。内置的数据类型包括：int(整形)、bool(布尔)、number(自然数)、byte(字节)，复合数据类型包括:ByteVec(字节序列)、Timer(时钟)。

属性表示为数据类型与标识符：

attr≡TypeIdentifier|Type[]Identifier

方法表示为数据类型、标识符与参数：

method≡TypeIdentifier(parameters)

图4进程类图描述应用软件模型抽象进程的内容，包括属性、方法和通信方法。进程属性与方法与数据类图定义一致，内置方法有四种包含特定算法的加解密方法，对称加密、对称解密、签名和验证。对称加解密提供AES、DES算法，签名验证方法提供RSA、ECC、MD5、SHA1、SHA256算法。

进程类图还提供通信方法，用于描述进程模版所抽象的进程与其他进程通信的手段。通信方法定义如下：

method_{communication}≡Identifier(parameters)[IN/OUT][CommType]

其中，IN与OUT表示通信方法是用于接受或者发送；通信方式CommType有NativeEthernetFrame与UDP两种，分别表示为原生以太网帧与UDP通信。

图5信道类图用于描述进程类图的通信方法的发送与接收关系。通常涉及两个进程和进程上的发送接收通信方法，同时表示该信道是公共的还是私有的，定义如下：

channel≡Process1.method_{communication}-(public/private)-Process2.method_{communication}

其中，Process1与Process2为两个进程，public与private代表公共信道与私有信道。

图6公理类图用以描述应用软件模型中的公理，工具内置了两条公理，为

SymDec(SymEnc(m,k),k)＝m

Verify(Sign(m,sk),pk)＝True

表示为内置函数的加密解密配对与私钥签名和公钥验证。

图7初始知识类图用以描述应用软件模型的初始知识，单知识定义进程类图属性的可见性，可以用于明确定义各进程已知信息的范畴。而公私钥对定义公钥私钥配对关系。

单知识表示初始知识包含了该属性：

Knowledgement_single≡Process.Process_attr

公私钥对定义为：

Process.Process_attr|Process.Process_attr

其中，表示非对称加密与非对称解密或者签名验证配对。

步骤二：利用拓扑图对应用软件的架构进行建模：

具体的，根据形式化方法内生安全应用软件形式建模方法，拓扑图中的每个结点表示网络环境中应用了某一进程类图的具体角色，对进程类图所有属性进行实例化。实例中，展开所有复合类型(其继承的祖先类型的属性将实化)，遇到数组时，将作变长数组处理。每个元素单独展开，直到遇到基本类型时将作为叶结点直接设置值处理。拓扑图的结点之间可以连接有向边，表示从一方到另一方的单工通信，边上可以设置通信方法序对和通信代价。可选的通信方法序对一定是在信道类图中定义的符合发送、接收方进程类图的项。

图8拓扑图边定义为：

其中，表示为两个进程与进程上的通信方法，公共信道或者私有信道。

步骤三：根据确定的应用软件架构模型，通过融合状态机和序列图来对并发分布式的行为进行建模。

具体的，***行为建模采用状态图和序列图对整个***的行为进行建模。状态机对各个进程的控制逻辑进行描述，而序列图则对进程之间的交互过程进行描述。

图9状态机图来描述进程/计算结点的内部控制逻辑。当在类图中创建进程类图时，会自动在状态机选项卡下创建与之对应的状态机面板。当状态机面板创建时，会提供一个唯一且不可更改的初始状态(图中黑色实心圆)，连接一个初始的普通状态。用户可以在面板上通过右键菜单传创建若干普通状态或终止状态(图中双圈)。在每个状态结点上提供一些锚点，可以点击锚点进行状态连线，表示状态的迁移。在状态的迁移边上可以设置卫条件和若干的转移动作，以完成状态机的行为建模。

其中，卫条件是一条类C语言的逻辑表达式，可以通过求值判定真假的表达式(默认为true)。逻辑表达式可通过二元运算符&&和||连接，以支持更复杂的卫条件。

转移动作是一条类C语言的赋值声明语句或方法调用。

StateMachine_action≡TypeIdentifier|TypeIdentifier∶＝Expression|

Identifier：＝Expression|Identifier(parameters)

其中，前两条为声明语句，第三条为赋值语句，最后为方法调用。

图10序列图来描述进程/计算结点之间的交互过程。在序列图面板中，可以添加若干的对象-生命线，其中可以组织一个进程模板，然后在它们之间连接各类消息，其中包括同步消息、异步消息、返回消息。在消息连线上可以选择从该进程模板出发的向外通信方法。

步骤四：根据软件架构模型和行为模型，利用攻击树对软件的信息安全威胁建模，在安全威胁模型上，推荐安全缓解策略以支持策略建模。

图11使用攻击树来对应用软件的信息安全威胁建模进行建模，使用攻击树来对***各个模块在各个方面的脆弱性关联起来进行深入地分析，发现威胁网络安全的攻击路径并以树的方式呈现出来。而且，在使用攻击树对信息安全威胁进行建模的技术上，收集整理了一个可能的信息安全缓解策略库，并根据攻击树中的攻击方法来推荐相应的安全缓解策略。

在使用攻击树对安全威胁进行建模的基础上，对攻击者行为进行分析总结，并且使用状态机来对攻击者行为进行具体描述。在攻击者考虑进来之后，分布式***中每个进程的行为将对应于进程功能状态机和攻击者状态机同步之后得到的新状态机。

由此，通过对应用软件进行形式化建模，即使用形式化方法内生安全应用软件形式建模方法对应用软件进行建模。该过程中，一方面，对应用软件基于形式化方法内生安全应用软件形式建模，有助于刻画应用软件模型架构、内部状态变化过程细节和通信过程。另一方面，***性地对软件***的架构、设计和部署进行分析，找出其可能面临的潜在威胁，从整体上提升软件***的安全性。指导研发人员编写出安全的代码，辅助渗透测试人员开展安全测试，识别威胁，消减威胁和规避风险。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件来实现。本发明体用基于.Net Core 3.0的Avalonia跨平台桌面应用工具，基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims

1.一种基于形式化方法的内生安全应用软件形式建模方法，其特征在于，包括:

利用类图、拓扑图对应用软件的架构进行建模；包括以下子步骤：

a1）利用类图对进程/计算节点的属性、方法建模；包括以下子步骤：

a11）根据数据类图，确定数据类型；

a12）根据进程类图，确定进程内容，包括属性、内置方法和通信方法；

a13）根据信道类图，确定进程类图的通信方法的发送与接收关系；

a14）根据公理类图，确定公理函数，表示为内置函数的加密解密配对与私钥签名和公钥验证；

a15）根据初始知识类图，确定单知识定义进程类图属性的可见性；

a2）利用拓扑图对网络拓扑结构进行建模；

根据确定的应用软件架构模型，通过融合状态机和序列图来对并发分布式的行为进行建模；

根据软件架构模型和行为模型，利用攻击树对软件的信息安全威胁建模，在安全威胁模型上，推荐安全缓解策略以支持策略建模。

2.根据权利要求1所述的方法，其特征在于，所述利用拓扑图对网络拓扑结构进行建模，包括：根据实例化类图的拓扑结点与网络关系，确定拓扑图的链路。

3.根据权利要求1所述的方法，其特征在于，所述根据确定的应用软件架构模型，通过融合状态机和序列图来对并发分布式的行为进行建模，包括：

b1）利用状态机来描述进程/计算结点的内部控制逻辑；

b2）利用序列图来描述进程/计算结点之间的交互过程。

4.根据权利要求3所述的方法，其特征在于，所述利用状态机来描述进程/计算结点的内部控制逻辑，包括：

b11）根据进程类图，确定对应的状态机；

b12）根据确定的状态机，确定状态结点内容，包括：初始状态、中间状态、转移状态、可接受状态；

b13）根据状态结点，确定精化状态。

5.根据权利要求3所述的方法，其特征在于，所述利用序列图来描述进程/计算结点之间的交互过程，包括：

b21）根据进程模版，确定对象-生命线；

b22）根据进程模版上的通信消息，确定通信方法。

6.根据权利要求1所述的方法，其特征在于，所述根据软件架构模型和行为模型，利用攻击树对软件的信息安全威胁建模，在安全威胁模型上，推荐安全缓解策略以支持策略建模，包括：

c1）根据攻击树，确定软件***的脆弱性；

c2）根据***脆弱性，确定软件安全缓解策略。