[发明专利]一种软件多样性的评估方法及系统

说明书

本发明公开了一种软件多样性的评估方法及系统，方法包括：确定N个度量指标，其中，N大于等于1；建立度量值矩阵，建立归一化矩阵；计算软件复杂度属性的信息熵及发散度；基于确定软件复杂度属性的主观权重和客观权重，计算出第i个软件复杂度属性的权重；基于第i个软件复杂度属性的权重，计算软件多样性。本发明能够基于信息熵和软件复杂度对软件的多样性进行评估。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种软件多样性的评估方法及系统。

背景技术

类似于动植物的多样性，软件多样性可以加强软件生态系统的安全性。软件多样性使得攻击者对目标难以预测，从而使得攻击者难以获得所需的恶意行为。大多数多样化软件是由不同的开发人员组独立开发的，因此不太可能引入相同的错误以及漏洞。由于云计算服务发展迅速，以及多核处理器的普及，采用软件多样化技术对软件实施防护也比较经济和现实。软件多样化旨在扩大攻击面，可以为MTDmoving target defense，移动目标防御技术)、CMD(cyberspace mimic defense，网络空间拟态防御技术)等主动防御技术提供有力的支撑。软件多样化技术引入了攻击目标的不确定性，提供了概率保护，是一种较为有效防御攻击的软件保护技术。

通常来说，软件多样性越强，系统安全性也就越大。然而目前缺乏量化与分析软件多样性的适当方法及相应的理论支撑，难以进一步通过正比例关系评估软件多样性提升的安全效果。同时难以在工程实践中指导软件部署工作，以较低的成本达到较大的多样性进而得到较高的安全性，因此需要对软件多样性有更为客观的评估准则和模型。在所有软件多样性的评估研究中，香农-维纳(Shannon-Wiener)多样性指数被运用得最为广泛，与信息理论中熵的概念密切相关。

准则的重要性是对评估人员的主观偏好以及准则本身的客观特征的反映。现有工作主要从单一软件复杂度属性指标的量化评估出发，缺乏对不同多样化方法之间综合、客观的评价体系和准则，难以运用到工程实践中对多样化方法的比较选择与多样化软件的部署提供指导。

因此，如何有效的对软件的多样性进行评估，是一项亟待解决的问题。

发明内容

有鉴于此，本发明提供了一种软件多样性的评估方法，能够基于信息熵和软件复杂度对软件的多样性进行评估。

本发明提供了一种软件多样性的评估方法，包括：

确定N个度量指标，其中，N大于等于1；

建立度量值矩阵；

建立归一化矩阵；

计算软件复杂度属性的信息熵及发散度；

基于确定软件复杂度属性的主观权重和客观权重，计算出第i个软件复杂度属性的权重；

基于第i个软件复杂度属性的权重，计算软件多样性。

优选地，所述度量指标包括：程序长度μ₁、循环复杂度μ₂、扇入复杂度μ₃、扇出复杂度μ₄、数据结构复杂度μ₅。

优选地，所述计算软件复杂度属性的信息熵及发散度包括：

基于公式计算属性μ_i的信息熵e_i，每个软件复杂度属性的发散度d_i则可计算为d_i＝1-e_i，其中，p_ij表示第i个软件复杂度静态属性下第j个指标值在同一属性下所占的比例。

优选地，所述基于确定软件复杂度属性的主观权重和客观权重，计算出第i个软件复杂度属性的权重，包括：