基于本体的安全缺陷知识库的构建与管理

《基于本体的安全缺陷知识库的构建与管理》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、第一章绪论1．4论文组织结构本次研究旨在运用本体模型加推理机制构建安全缺陷知识库管理系统，将安全领域中的攻击模式与软件缺陷等概念模型进行整合，通过分析软件缺陷产生的原因和领域以及攻击模式产生的引入点、方法和步骤，建立两者问的映射关系。并在此基础上，分析攻击模式的行为，提取出相应的关键字信息，构建本体规则，运用推理机完成攻击模式正则表达式的推理工作。论文结构编排如下：第一章：阐述了项目研究的背景，提出尚待解决的问题，以及项目的研究主要内容，并对本文的结构做出安排。第二章：文献综述部分，通过分析软件缺陷分类的国内外的研究现状，提出构建安全缺

2、陷知识库管理系统的现实意义，提出运用本体建模该知识库的思想，文章简单介绍了本体的概念、本体建模的语言和方法、本体项目开发的支撑工具，以及支持本体推理的推理机制和规则的定义标准。第三章：安全缺陷知识库的设计与实现，通过分析软件缺陷与攻击模式的信’息特征，抽取出两者的概念特性，设计知识库的结构和内容，实现了运用本体技术建模该缺陷知识库。第四章：攻击模式正则表达式的推理设计与实现，本章着重介绍了运用Jena推理机制和推理规则实现了对攻击模式本体知识进行推理生成正则表达式的过程。第五章：安全缺陷知识库管理模块的详细设计与实现，本章运用JDBC数

3、据库操作接口设计并实现了对知识库信息的录入、查询、修改、删除以及创建映射关系五个等功能模块。第六章：对全文工作的总结，将项目成果与预期效果进行对比，分析此次成果的实用价值所在，并总结项目中存在的问题以及对后期工作的展望。第二章安全缺陷知识库介绍及相关技术综述安全缺陷知识库为存储软件缺陷资源而设计，国内外的政府机构、安全组织和安全公司都有自己创建和维护的缺陷数据库，但这些缺陷库在缺陷的分类、缺陷信息的表示上缺乏一个通用的标准。此外，更为突出的问题是：缺陷知识库的信息资源由专业人员负责收集。并且，每天均有大量新的缺陷产生，这使得安全缺陷信息

4、的纯手动收集模式显得繁琐而费时。本文首先介绍了国内外研究软件缺陷分类的进展，在此基础上，提出运用本体建模安全缺陷知识库的思想，并对本体建模技术和方法以及建模工具作了详细介绍。2．1软件缺陷的概述软件缺陷是指那些使软件的行为方式与客户要求不一致的东西【9】。SW．CMM对其定义【lo】是：“系统或系统成分中能造成他们无法实现其被要求的功能的缺点，如果在执行过程中遇到缺陷，它可能导致系统的失败。”软件缺陷，通常是软件质量管理的关注点。高质量的软件，其缺陷应该尽可能的少。但是，软件开发是一项人的活动，必然会引入缺陷。软件缺陷就成了软件产品的固

5、有成分，对软件功能实现存在着潜在的威胁。不管是小程序还是大型软件系统，无一例外地都存在缺陷。2．1．1研究软件缺陷分类的意义缺陷是错误、故障和失效的根源。缺陷的引入、发现、修复和关闭贯穿于整个软件开发过程当中，要获得高质量的软件，必须有效地管理缺陷，对缺陷进行预防、检测并主动清除。缺陷管理的关键是要分析缺陷，将缺陷进行分类⋯】。软件缺陷出现在整个软件开发生命周期中，从需求分析到运行维护过程，都存在引入缺陷的可能性。不同的阶段会产生不同的缺陷。如果在需求分析阶段引入缺陷，可能导致不能满足用户的需求，这是软件缺陷的最主要原因；而在设计或实现

6、中引入了缺陷，将会产生诸多错误的设计方案让系统无法实现，错误地理解了算法导致代码错误，并使得测试的难度增加，拖延发布时间等问题；在维护阶段，修改已有缺陷的代码，却又导致别的正确模块出现错误，等等。不同的软件缺陷会产生不同的后果，必须区别对待各类缺陷，分析产生各类缺陷的软件过程原因，总结在开发软件过程中不同软件缺陷出现的频度，根据组4第二章安全缺陷知识库介绍及相关技术综述织自身的开发对象和环境进行缺陷分类。通过分类，可以使缺陷在安全缺陷知识库的存储条理清晰、定位科学。在查找的过程当中，对缺陷本质的理解，及有针对性的消除软件缺陷，特别是对发

7、现未知漏洞具有积极作用【l21。2．1．2国内外关于软件缺陷分类的研究软件缺陷是复杂的，对缺陷的分类也是复杂的，各种分类方法层出不穷【l31。分类方法的目的不同，观察问题的角度和复杂程度也不一样，下面对软件缺陷分类的国内外研究情况进行简要的介绍。●国外的研究现状【14】1990年，美国伊利诺斯大学的Marick发表了关于软件漏洞的调查报告，对软件漏洞的形成特点做了统计分析【151。1993年，美国海军研究实验室收集了不同操作系统的安全缺陷，按照漏洞的来源、形成时间和分布位置建立了3种分类模型【l引。普渡大学COAST实验窒的Aslam和

8、Krsul在前人成果的基础上，提出了更为完整的漏洞分类模型，并建立了专用漏洞数据库。MITRE公司从事的“公共漏洞列表”(CommonVulnerabilityEnumeration，CVE)【l‘刀，为每