Abstract-Under Architectural Risk Analysis (ARA) använder säkerhetsarkitekter en runtime arkitektur för att leta efter säkerhetssårbarheter som är arkitektoniska brister snarare än kodning defekter. Den nuvarande ARA-processen är dock mestadels informell och manuell. I detta dokument föreslår vi Scoria, ett halvautomatiskt tillvägagångssätt för att hitta arkitektoniska brister. Scoria använder ett ljud, hierarkiskt objekt diagram med abstrakta objekt och dataflöde kanter, där kanter kan hänvisa till noder i grafen. Arkitekterna kan förstärka objektgrafen med säkerhetsegenskaper, som kan uttrycka säkerhetsinformation otillgänglig i kod. Scoria tillåter arkitekter att skriva frågor på grafen i termer av hierarki, nåbarhet, och härkomst av ett dataflöde objekt. Baserat på frågeresultaten ökar arkitekterna sin kunskap om systemets säkerhet och skriver uttrycksfulla begränsningar. Den uttrycksfullhet är rikare än tidigare tillvägagångssätt som kontrollera endast för närvaro eller frånvaro av kommunikation eller inte spåra ett dataflöde som ett objekt. För att utvärdera Scoria tillämpar vi dessa begränsningar på flera utökade exempel anpassade från CERT-standarden för Java för att bekräfta att Scoria kan upptäcka injicerade arkitektoniska brister. Därefter skriver vi begränsningar för att genomdriva en Android säkerhetspolicy och hitta en arkitektonisk brist i en Android-applikation.
Vanciu och Abi-Antoun nämns i REF att hälften av säkerhetssårbarheterna orsakas av brister i systemets arkitektur.
Finding architectural flaws using constraints
{'venue': '2013 28th IEEE/ACM International Conference on Automated Software Engineering (ASE)', 'journal': '2013 28th IEEE/ACM International Conference on Automated Software Engineering (ASE)', 'mag_field_of_study': ['Computer Science']}