ソフトウェアシステムの定量的な脆弱性評価法に関する研究

软件系统脆弱性定量评估方法研究

• 批准号: 13780364
• 负责人: 木村 光宏
• 金额: $ 1.28万
• 依托单位: Hosei University
• 依托单位国家: 日本
• 项目类别: Grant-in-Aid for Young Scientists (B)
• 财政年份: 2001
• 资助国家: 日本
• 起止时间: 2001 至 2002
• 项目状态: 已结题
• 来源: https://kaken.nii.ac.jp/grant/KAKENHI-PROJECT-13780364/
• 关键词: ソフトウェア信頼性; ソフトウェア脆弱性; IPOモデル; 悪意あるユーザ; ソフトウェア信頼度成長モデル; 脆弱性評価モデル; ソフトウェア信頼性評価モデル; 確率微分方程式

ソフトウェアの脆弱性を定量的に評価するために,まず,従来のソフトウェア信頼性の研究分野で用いられてきた考え方である,ソフトウェア内に残存するフォールトとそれに対する発見・修正過程の模式図であるIPOモデルを取り上げ,これを基本として,脆弱性と信頼性の捉え方の違いについて考察を行った.その結果,ソフトウェアの脆弱性を「ソフトウェア開発者とは異なる視点によって初めて発見可能となるソフトウェアフォールトが原因となって深刻な処理結果を招くソフトウェア故障が発生する性質や度合」と定義した.これにより,脆弱性を評価しようとするソフトウェアの運用段階において,深刻な処理結果を招くソフトウェア故障を生じ,それに対処する(当該フォールトを修正・除去する)ことによってそのソフトウェアの脆弱性が向上するという現象は,従来のソフトウェア信頼性の評価法を援用することで,定量的に評価可能であることが示された.具体的には,ソフトウェア信頼性評価モデルの一つである,遅延S字形ソフトウェア信頼度成長モデルを拡張し,ソフトウェアを運用・保守する防御者と,ソフトウェア内に潜在するセキュリティホールを探し出して攻撃する攻撃者側のそれぞれのソフトウェアフォールトの発見過程を,NHPP(非同次ポアソン過程)に基づいて構築した.また,長期に渡って運用・保守されている電子メール配信プログラムsendmailを取り上げ,この保守データを解析することにより,構築した脆弱性評価モデルを用いてsendmailの脆弱性評価を行ってみた.これにより,モデルから導出されたいくつかの定量的な脆弱性評価尺度の推定値を得ることが出来た.また,構築したモデルとデータとの適合性もコルモゴロフ・スミルノフ検定により調べ,このデータに対してはよく適合することが確認された.これらの研究成果は論文としてまとめ,現在日本信頼性学会誌に投稿中である.

Quantitative evaluation of vulnerability of software and software is carried out in the field of research on vulnerability of software and software. As a result, the vulnerability of the software failure is defined as "the failure of the developer, and the failure of the developer." The vulnerability assessment is based on the analysis of the results of the failure of the application stage.(When this condition is corrected and removed), the vulnerability of the system is increased, and the evaluation method of the reliability of the system is applied. Specifically, the software is evaluated for its loss of information, and the S-shaped software is evaluated for its loss of information. The software is expanded, and the software is used. The defender is conservative. The potential for the software to be lost is detected. The attacker is responsible for the development of the software. The NHPP(non-uniform process) is constructed. For a long time, the application of conservative technologies in electronic distribution and sendmail has been carried out, and the analysis of conservative technologies has been carried out. A quantitative vulnerability assessment scale is derived. For example, if you want to build a database, you can use the database to determine the suitability of the database. The results of this research are published in the Journal of the Japanese Society of Information Science.

项目成果

田村慶信, 木村光宏, 山田茂: "分散開発環境に対するソフトウェア信頼度成長モデル:確率微分方程式アプローチとその推定"日本応用数理学会論文誌. 11・3. 121-132 (2001)

Yoshinobu Tamura、Mitsuhiro Kimura、Shigeru Yamada：“分布式开发环境的软件可靠性增长模型：随机微分方程方法及其估计”日本应用数学学会汇刊11・3（2001）。