基于cc标准安全的评估知识库设计和实现

《基于cc标准安全的评估知识库设计和实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取得的研究成果，除了文中特别加以标注和致谢之处外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得天津大学或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示了谢意。学位论文作者签名：签字日期：年月日学位论文版权使用授权书本学位论文作者完全了解天津大学有关保留、使用学位论文的规定。特授权天津大学可以将学位论文的全部或部分内容编入有关数据库进行检索，并采用影

2、印、缩印或扫描等复制手段保存、汇编以供查阅和借阅。同意学校向国家有关部门或机构送交论文的复印件和磁盘。（保密的学位论文在解密后适用本授权说明）学位论文作者签名：导师签名：签字日期：年月日签字日期：年月日摘要随着计算机软件的快速发展及其在社会各领域应用的不断深入，软件安全问题日益凸显，已成为社会各行业关注的焦点。基于CC（CommonCriteria）的软件安全评估作为一种提高软件安全质量的有效方法，对于解决软件安全问题具有十分重要的意义。PP（保护轮廓）及ST(安全目标)文档是CC评估的重要基础

3、，而软件安全相关数据是生成PP及ST文档的关键。本文将缺陷、攻击模式、评估保证级及安全需求等级等概念引入了CC规定的安全要求导出流程，使其更加完善。并以改进后的流程为框架，以CC标准为基础，对资产、缺陷、威胁、攻击模式及其之间的映射关系进行了描述、分类和存储。结合假设、组织安全策略、安全目的和安全要求等现有研究成果，构建了信息覆盖较为全面的安全评估知识库。此外，本文基于构建的安全评估知识库对PP及ST文档的内容进行了合理扩展，将资产、缺陷、评估保证级及安全需求等级的相关内容加入其中，使其更加准确

4、的遵循了改进后的安全要求导出流程。为了能够有效管理和维护安全评估知识库中的数据，本文还设计开发了安全评估知识库管理系统。最后通过一个具体的安全要求导出实例来说明该知识库中数据的真实性及可用性。该安全评估知识库为软件安全评估提供了强大的数据支撑，而其管理系统可以有效地帮助评估人员对这些数据进行维护，保证了数据的准确性及长期有效性和可用性。从而使得生成的PP及ST文档更加准确，这在一定程度上也提高了软件安全评估的准确程度。关键词：CC标准；保护轮廓；安全目标；资产；缺陷ABSTRACTWiththe

5、rapiddevelopmentofcomputersoftwareanditsdeepeningapplicationinallthefieldsofsociety,Softwaresecurityissuesincreasinglyprominent,hasbecomethefocusofallindustries.Asaneffectivewaytoimprovethequalityofsoftwaresecurity,thesoftwaresecurityevaluationbasedo

6、nCommonCriteriahasveryimportantsignificanceforthesoftwaresecurityissuessolving.ProtectionProfileandSecurityTargetdocumentsaretheimportantfoundationoftheCCevaluation,anddatarelatedtosoftwaresecurityisthekeytodevelopPPandSTdocuments.Thispaperintroduces

7、theconceptsoftheflaws,attackpatterns,evaluationassurancelevelandsecurityneedslevelintotheexportprocessofsecurityrequirementsinCC,makeitmoreperfect.Andwiththeimprovedprocessforframe,Thispapercompletethedescription,classificationandstorageofassets,flaw

8、s,threats,attackpatternsandthemappingofthem.Combinedwiththeexistingresearchresults,suchasassumptions,organizationalsecuritypolicies,securityobjectivesandsecurityrequirementsandsoontobuildasecurityevaluationrepositorywhichCovercomprehensiveinformation