[发明专利]一种基于缺陷类别的安全风险评估方法

说明书

技术领域

本发明属于信息系统安全评估技术，特别是一种基于缺陷类别的安全风险评估方法。

背景技术

计算机技术已经深入到人们日常社会生活各个领域的相关业务，人们对计算机与信息技术的依赖程度与日俱增，信息技术给人们的日常生活带来了巨大的便利，同时也使得人们面临的信息安全风险越来越高。通过信息系统安全风险评估，可以有效地对安全风险进行控制和预防。

经过这么多年的研究和发展，目前国内外已经出现了一些比较优秀的风险评估模型，但是由于信息系统的复杂性和多变性，暂时还没有一种模型对所有的信息系统做出精确的评估。

安全风险定量分析模型方面，在过去的几十年内国外的研究已经相当的成熟了。J.D.Musa,K.Okumoto提出了一种对数泊松模型，该模型是一个非齐次泊松过程模型，其随着失效的发生失效函数呈指数递减（J.D.Musa,K.Okumoto.A Logarithmic Poisson Execution Time Model for Software Reliability Measurement[C].Proceedings Seventh International Conference on Software Engineering,Orlando,Florida,1984:230-238）。Kapil Sharma,Rakesh Garg等人根据距离的方式选择出了部分优秀的模型。如：Generalized-Goel模型，Goel-Okumoto模型等（C.Y.Huang,M.R.Lyu,and S.Y.Kuo.A unified scheme of some non-homogenous Poisson process models for software reliability estimation.IEEE Trans.Software.Engineering,2003,29(3):261–269）。

缺陷分类方面，Ram Chillarege,Inderpal S.Bhandari等人提出了正交缺陷分类的定义并给出了一个实例，可以对ODC有一个直观的认识，之后可以再加之以详细的技术描述。通过比较传统的可靠性增长模型，可以直观地体会到通过提取缺陷的语义信息可以改进预测结果。（Ram Chillarege,Inderpal S.Bhandari,Jarir K.Chaar,Michael J.Halliday，Diane S.Moebus,Bonnie K.Ray，Man-Yuen Wong.Orthogonal Defect Classification-A Concept for In-Process Measurements[J].IEEE Transaction on Software Engineering,1992,18(11):943-956）。

发明内容

本发明的目的在于提供一种基于缺陷类别的安全风险评估方法，从而根据信息系统选择出最适合的风险评估模型，实现精准的预测。

实现本发明目的的技术解决方案为：一种基于缺陷类别的安全风险评估方法，步骤如下：

第一步，由于大量的数据收集工作会影响程序员的工作效率，所以必须建立一个合适的数据收集机制，既能够保证收集到的数据能够有效的反映出该信息系统的缺陷，又不严重的影响程序员的工作效率。

第二步，利用正交缺陷分类方法，将缺陷分为如下的8大类：功能缺陷，赋值缺陷，接口缺陷，检查缺陷，时序缺陷，构造/打包/合并缺陷，文档缺陷，算法缺陷。

第三步，对收集到的数据进行预处理，根据每种类型的缺陷进行统计数据。

第四步，根据数据从众多的风险评估模型中初步选择出适合这些数据的风险评估模型。

第五步，对于每一个被选中的模型，首先进行利用数据进行参数估计，然后再计算其评价指标值。

第六步，根据各种指标值的优劣，从上述的模型中挑选出每种缺陷类别的最优化模型。

第七步，根据已经选中的最优化模型进行评估，获得各类缺陷的增长曲线，然后定量分析出适合该数据的风险评估模型。

本发明与现有技术相比，其显著优点：（1）基于正交缺陷分类理论，能很好的根据无干扰的缺陷来统计数据，为选择合适的模型提供一个充分的条件，（2）选择多样的风险评估模型作为实验模型，提高了评估办法的精准度。

下面结合附图和数据对本发明作进一步的详细描述。

附图说明

图1是根据缺陷类别归档后的数据信息。