面向安全性分析的嵌入式软件测试方法研究

《面向安全性分析的嵌入式软件测试方法研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、面向安全性分析的嵌入式软件测试方法研究　　摘要：在软件开发的整个周期内，软件测试对项目的正常运行起着关键作用，计算机软件安全性测试是软件测试的一部分，但又有其特别的测试技术和测试方法。嵌入式软件的安全性测试可以分为功能性安全测试和漏洞性安全测试，功能性安全测试通常与普通的功能性测试一起进行，其测试技术和测试方法也基本相同。在此重点挖掘一些嵌入式软件安全测试的共性部分，主要研究安全测试在软件开发周期中的各种方法策略和技术。并借鉴一般应用软件安全测试的管理规范，结合嵌入式软件的具体特点分析改进，试图形成针对嵌入式软件较为通用的、工程化的安全测试解决方案。　　关键词：嵌入式软件测

2、试；漏洞挖掘；安全性测试；测试策略　　中图分类号：TN919?34；TM417文献标识码：A文章编号：1004?373X（2016）13?0080?04　　Abstract：Softwaretestinginthewholeperiodofsoftwaredevelopmentplaysanimportantroletoensurethenormaloperationoftheproject.Thecomputersoftwaresecuritytestingisapartofsoftwaretesting，buthasspecialtestingtechnologyand

3、tes?tingmethod.Thesecuritytestingoftheembeddedsoftwareiscomposedoffunctionalsecuritytestingandvulnerabilitysecuritytesting.Thefunctionalsecuritytestingisoftencarriedonwith9normalfunctionaltesting，anditstestingtechniquesandtestingmethodsarebasicthesame.Thecommonpartoftheembeddedsoftwaresecu

4、ritytestingisminedemphatically.Variousstrategiesandtechniquesofsecuritytestinginsoftwaredevelopmentperiodaremainlystudied.Referringtothemanagementpracticesofthegeneralapplicationsoftwaresecuritytesting，andincombinationwiththespecificcharacteristicsoftheembeddedsoftware，theuniversalandengin

5、eeringsecuritytestingsolutionfortheembeddedsoftwareattemptstoformthroughtheanalysisandimprovement.　　Keywords：embeddedsoftwaretesting；vulnerabilitymining；securitytesting；teststrategy　　0引言　　计算机软件安全性测试是嵌入式软件测试的重要组成部分，它的作用是至关重要的。嵌入式软件安全性测试不仅要对安全需求中的功能性安全需求进行验证，还要从嵌入式软件的设计和实现代码中挖掘未知的漏洞，并对这些未知的安

6、全缺陷进行管理。通过嵌入式软件安全测试，可以挖掘程序自身存在的安全隐患，并能够检查在遭遇攻击时的防范能力，根据不同的安全需求其安全测试策略会相应的不同[1]。通常情景下，安全性测试都是基于风险分析，即首先需要在测试前进行嵌入式软件的风险分析，然后再通过具体的安全测试进行验证[2]。9　　通过有效的嵌入式软件安全测试可以发现大部分的安全缺陷，在此基础上对安全漏洞进行修补可以避免灾难性的安全性问题的发生，这使得人们对安全测试的重视程度越来越高。软件安全测试优于其他软件安全过程（诸如安全编码或设计审计等）之处在于，计算机安全测试可以展示出真实的攻击状态，因此展示出客观的、可量化的

7、结果，得出真实的漏洞利用情况[3]。在软件开发周期后期对软件进行改动以消除漏洞，不仅存在很大的安全风险，而且伴随着高昂的开销。对漏洞被利用带来的损失进行评估，可以帮助决定是立刻修复一个安全问题，还是在下一轮的软件开发中进行修复[4]。　　1嵌入式软件测试技术与策略的研究　　1.1嵌入式软件交叉测试平台　　嵌入式软件交叉测试的步骤：首先在宿主机环境中进行测试用例的编写，然后将生成的测试脚本编译成测试命令后下载到被测目标机上，接着通过测试代理使这些测试命令在被测目标机上得以执行[5]。因为目标机具有资源匮乏的特点，测试