[CAPESE知识分享] 美军《软件系统安全性手册》内容介绍（八）

《软件系统安全性手册》是美国三军联合开发的技术文件，对提高武器装备软件开发的安全性有着举足轻重的作用和意义。下面我们继续对该手册的主要内容进行介绍与分析。

2.3

软件安全性大纲

f

软件安全性测试和风险评估

前面所述的工作聚焦在软件系统安全性大纲的分析方面。分析工作量相当于软件系统安全性大纲过程中总工作量的大约一半，另一半是对软件安全性要求（SSR）实现的验证和确认，以及确定并报告残留风险。SSR实现的验证和确认应是软件测试的任务之一。软件系统安全性团队必须直接与软件开发者及验证和确认团队联系，以确保编码正确地按照设计规格说明实现所有SSRs和系统功能。软件安全工程师与验证和确认团队合作可标识能通过测试加以验证的大部分SSRs。

手册详细阐述了四个问题，即软件安全性测试策划、软件安全性测试分析、软件标准和准则的依从情况评估、以及软件安全性残留风险评估。对这四方面都用类似图1的方式描述了各个过程的概貌。

该手册在软件安全性测试策划中指出，软件系统安全性团队应将安全性测试与正常的系统测试工作结合进行，以节省时间、费用和资源。安全工程师必须将软件安全性测试策划活动集成到总的软件测试计划和测试和评价主计划（TEMP）中。软件系统安全性团队必须评审所有安全性相关的验证和确认测试规程，以确保测试规程满足SSR的意图。软件安全性测试策划过程见图1。

图1 软件安全性测试策划

该手册在软件安全性测试分析中除说明这个过程的概貌外，详细指出了从软件安全性要求考虑，各级软件测试有什么特点，软件安全性工程师和安全性工程师必须做好什么工作，以及如何做。

该手册在软件标准和准则依从情况评估中，向软件系统安全性团队提供对软件是否按照适用的安全性相关标准和准则开发进行验证的指南。所描述的评估过程在开发过程的很早期随着设计要求被剪裁并实现为系统级和顶层软件规格说明便开始，一直持续到测试结果和其它IPTs各种报告的分析，最后，评估变成总的SAR的组成部分。该手册强调指出，只评审测试用例和规程可能是不充分的。在某些情况下，宜要求检查源代码。标准和准则包括摘自通用文档如STANAG 4404和军用、联邦和工业标准和手册的内容，经验教训，类似系统上的安全性大纲，公司内部文档，以及其它来源的内容。

该手册在软件安全性残留风险评估中指出，软件的可靠性度量常常没有意义；因此，必须应用定性的风险评估。定性风险评估以分析员的评估为基础，而分析员已经进行了充分的分析和测试。这就意味着分析足以标识危险，开发安全性要求并纳入设计。分析SSR的实现，包括充分的测试和对测试结果的分析，以对软件将具有充分低的风险水平提供合理程度的保证。该手册在此基础上说明了如何进行软件安全性残留风险评估。

未完待续…

轻松一刻

“我只用了一次你们生产的救生圈就学会了游泳。”

“多谢夸奖！”

“您真谦虚，这个救生圈一见水就撒气，我只好拼命游了！”