State-of-the-Art in Software Security Visualization: A Systematic Review
本文系统综述了软件安全可视化研究，构建了包含图形、符号、矩阵和隐喻四类的分类体系，并指出开发适应安全态势演变的创新可视化技术对增强威胁检测和指导未来研究至关重要。
2025-09-22 cs.SE
DASP: A Framework for Driving the Adoption of Software Security Practices
实现软件安全实践是现代软件开发中的一个关键问题。行业从业者、安全工具提供商和研究人员提供了标准的安全指南和复杂的安全开发工具，以确保安全的软件开发管道。但是，尽管做出了这些努力，恶意黑客可以利用的漏洞数量仍在增加。因此，迫切需要了解为什么开发人员仍然在他们的应用程序中引入安全漏洞，并了解可以做些什么来激励他们编写更安全的代码。为了进一步理解和解决这个问题，我们提出了DASP，这是一个用于诊断和推动开发人员采用软件安全实践的框架。DASP是通过结合行为科学理论来构思的，以形成对28名软件从业者的横截面访谈研究。我们的访谈产生了一个框架，该框架由33个驱动因素组成，分为7个更高级别的类别，这些类别代表了需要发生或更改的内容，以便采用软件安全实践。使用DASP框架，组织可以设计适合开发人员特定开发环境的干预措施，这将激励他们编写更安全的代码。
2022-05-24 cs.SE
Managing Security Issues in Software Containers: From Practitioners Perspective
本文通过两项半结构化访谈研究，从软件工程从业者视角分析容器化项目中的安全挑战与管理方法，并识别出增强容器安全的技术与非技术使能因素。
2025-04-10 cs.SE
Integration of Security Modules in Software Development Lifecycle Phases
信息保护正在成为在高度集成的技术环境中设计、创建和实施软件应用程序的焦点。许多工业IT安全标准和政策都要求在软件开发过程中使用安全编码技术。尽管目前的网络保护措施和最佳实践，漏洞仍然很强，并成为每个开发软件的巨大威胁。了解安全软件开发在安全管理中的地位至关重要，它受到人为安全相关因素等原因的影响。尽管开发人员通常要对安全漏洞负责，但实际上，许多问题往往是由于在开发任务期间缺乏组织支持来处理安全性而产生的。虽然抽象的安全编码准则得到了普遍认可，但针对各种程序设计语言的低级安全编码准则却有限。需要一种好的技术来为软件开发人员标准化这些指南。本文的目标是通过确定一组安全的软件开发指南，为软件设计人员和开发人员提供方向，以解决这一差距。此外，概述了安全编码指南的选择标准，并调查了安全编码的适当意识方法。
2020-12-10 cs.SE
A Combined Dependability and Security Approach for Third Party Software in Space Systems
空间领域的星载架构的软件组件越来越依赖于商用现货（COTS）、开放源码（OSS）或其他第三方软件产品。然而，这些软件组件通常没有考虑到关键任务的需求。采用这些产品的开发项目小组对某些商用现货/开放源码软件产品的设计、实施、测试和维护过程中所采用的程序了解有限或控制有限。这些约束产生了潜在的软件引起的故障的不确定性。此外，缺乏关于安全漏洞的信息增加了使用这些漏洞的风险，因为利用这些漏洞可能导致软件出现不希望的行为，从而导致系统故障。本文的目的是提出一种综合的方法，考虑到第三方软件的可靠性和安全性增强，基于时间-空间分区和多级安全。
2016-08-22 cs.SE
Communicating on Security within Software Development Issue Tracking
本研究聚焦软件开发中非安全专家使用问题追踪工具的安全沟通问题，通过界面分析和用户研究发现现有工具缺乏安全相关界面，提出加入类CVSS提问可改善安全交互。
2023-08-25 cs.SE
Position: How Regulation Will Change Software Security Research
本文认为新兴安全法规将改变软件安全研究，主张软件工程领域提供合规工具并加强法律学者与计算机科学家的合作，以弥合监管要求与代码级工程之间的差距。
2024-06-06 cs.SE
How to Integrate Security Compliance Requirements with Agile Software Engineering at Scale?
将安全性集成到敏捷软件开发中是一个开放的研究和实践问题。特别是在监管严格的行业中，复杂性不仅在扩展敏捷实践时增加，而且在旨在遵守安全标准时也会增加。为了在大规模敏捷环境中实现安全合规性，我们开发了S2 C-SAFe：Scaled Agile Framework的扩展，符合安全标准IEC~62443-4-1，用于安全产品开发。在本文中，我们介绍了西门子大型项目生态系统中的敏捷和安全专家的框架及其评估。我们讨论的好处和局限性，以及从从业者的角度来看的挑战。我们的研究结果表明，\ssafe有助于在受监管的环境中成功地将安全合规性与精益和敏捷开发相结合。我们还希望提高对在持续软件工程范围内集成安全性的重要性和挑战的认识。
2021-05-27 cs.SE
Software, Attacker and Asset-centric Approach for Improving Security in System Development Process
安全开发过程是开发人员采取的一个程序，以确保开发的程序遵循一般的安全标准，并将始终保持最新，以便结果得到很好的保护和服从。作为软件开发人员，为客户和用户实现和开发高度安全和可靠的程序是非常重要的。在当前的数字世界中，一切都比我们想象的更快，大多数旧的安全策略不再能够单独实施。如果软件应用程序没有按照现代趋势进行安全保护，可能会给公司带来巨大的后果和影响。因此，本文对软件开发过程中的安全集成进行了研究。这项研究的概念和目的是提供有关当前的问题和面临的大多数软件开发人员在安全的软件开发方面的挑战的见解。通过更好和更清晰地解释这些问题，讨论了克服这些问题的挑战和方法，这些方法可以提供更好和更高级别的安全性，以及更好的软件程序员和客户关系。为了满足未来的需求和威胁，在开发软件系统的所有阶段都需要考虑安全问题。因此，通过本文的努力，调查和贡献这一领域。
2020-12-20 cs.SE
Best Practices for Facing the Security Challenges of Internet of Things Devices Focusing on Software Development Life Cycle
本研究针对物联网设备日益增长的安全威胁，提出了聚焦于安全软件开发生命周期的最佳实践指南，旨在提高威胁意识并为保护物联网软件及处理漏洞提供坚实基础。
2024-02-12 cs.SE
A Survey of Third-Party Library Security Research in Application Software
本文综述了应用软件中第三方库的使用、生态系统、检测与防御加固研究，总结了现有成果与未来方向，旨在帮助开发者防范安全风险并促进软件生态健康发展。
2024-04-27 cs.SE
On the combination of static analysis for software security assessment -- a case study of an open-source e-government project
静态应用程序安全测试（SAST）是软件工程中一种流行的质量保证技术。然而，将SAST工具集成到行业级产品开发和安全评估中带来了各种技术和管理挑战。在这项工作中，我们报告了一个纵向的案例研究，采用SAST作为一个开源的电子政务项目的人驱动的安全评估的一部分。我们描述了SAST如何被选择，评估，并结合成一个新的方法进行软件安全评估。该方法进行了初步评估，使用半结构化访谈。我们的研究结果表明，（1）虽然一些SAST工具优于其他工具，它是可能的，以实现更好的性能，通过组合一个以上的SAST工具和（2）SAST工具应使用到一个实用的性能，并在现实世界的项目中结合三角形的方法，人为驱动的脆弱性评估。
2021-03-23 cs.SE
The "4W+1H" of Software Supply Chain Security Checklist for Critical Infrastructure
针对关键基础设施领域现有软件供应链安全实践碎片化、适配性不足的问题，本文通过多源文献综述，采用“4W+1H”方法梳理十大类安全实践并映射多维度属性，最终形成含80个问题的多层级安全清单，填补了领域适配性空白。
2025-10-30 cs.SE
A Grounded Theory of the Role of Coordination in Software Security Patch Management
几次灾难性的安全攻击可以归因于修补软件漏洞的延迟。虽然研究人员和从业人员已经非常关注软件安全补丁管理的自动化漏洞识别和补丁开发活动，但致力于深入了解社会技术方面的努力相对较少，例如，协调修补过程和修补决策的相互依赖的活动，这可能会导致应用安全修补程序的延迟。我们报告的接地理论研究的协调在安全补丁管理的作用。报告的理论包括四个相互关联的维度，即，原因、故障、限制和机制。该理论解释了定义相互依赖的软件和硬件组件之间需要协调的原因以及多个利益相关者的决策，可能对协调产生负面影响的限制，协调中的故障以及潜在的纠正措施。这项研究提供了潜在的有用的见解，研究人员和从业人员谁可以仔细考虑的需求，并制定合适的解决方案，以支持安全补丁管理中所涉及的相互依赖的协调。
2021-06-18 cs.SE
Software and Security Engineering in Digital Transformation
数字化转型是当前全球环境中的一个热门话题，因为许多组织一直在努力采用数字化解决方案。软件工程也已经成为一个更重要的角色，因为大量的系统，无论是传统的还是智能的，都依赖于收集、存储和处理数据的软件。软件工程师在数字化转型中的作用也变得至关重要。在这方面，本文旨在研究软件工程的趋势和软件工程师在数字化转型中的作用。此外，本文还探讨了安全软件开发在数字化转型中的重要性。可以得出结论，软件工程是数字化转型的一个组成部分，因为所有数字系统都使用软件来有效地执行其功能。软件作为数字系统和人类之间的桥梁，以交互和有效地使用系统。
2021-12-16 cs.SE
Software Security Patch Management -- A Systematic Literature Review of Challenges, Approaches, Tools and Practices
软件安全补丁管理旨在支持修补已知软件安全漏洞的过程。随着人们对软件安全补丁管理重要性的认识不断提高，系统地回顾和综合有关这一主题的相关文献是非常重要和及时的。目的：本文旨在系统地回顾软件安全补丁管理的现状，以确定这方面的社会技术挑战，报告的解决方案（即，方法，工具和实践），评估的严谨性和报告的解决方案的工业相关性，并确定未来研究的差距。方法：我们对2002年至2020年3月发表的72项研究进行了系统的文献综述，通过向前滚雪球将覆盖范围扩展至2020年9月。结果如下：我们确定了14个社会技术挑战，18个解决方案方法，工具和实践映射到软件安全补丁管理过程。我们提供了解决方案和挑战之间的映射，使读者能够获得差距领域的整体概述。调查结果还显示，只有20.8%的报告解决方案在工业环境中进行了严格的评估。结论：我们的研究结果显示，50%的常见挑战没有在解决方案中直接解决，其中大多数（38.9%）在流程的一个阶段解决了挑战，即漏洞扫描，评估和优先级排序。根据强调软件安全补丁管理中的重要问题和缺乏解决方案的结果，我们推荐了未来研究方向的列表。这项研究还提供了有用的见解不同的机会，从业者采用新的解决方案，并了解其实际效用的变化。
2021-08-20 cs.SE
Aspect-Oriented Programming in Secure Software Development: A Case Study of Security Aspects in Web Applications
本研究通过案例对比，证明面向切面编程（AOP）能模块化安全关注点，提升Web应用中安全机制的模块化、可重用性和可维护性，且性能开销极小。
2025-09-09 cs.SE
STORE: Security Threat Oriented Requirements Engineering Methodology
由于我们不断依赖资讯科技的应用，采用电子渠道和软件应用程序进行业务、网上交易和通讯，软件保安正日益成为一项必需和更高级的关注。功能性需求和非功能性需求都很重要，它们在软件开发过程的早期阶段提供了必要的需求，特别是在需求阶段。本研究的目的是在软件开发过程中早期识别安全威胁，以帮助需求工程师在整个需求工程过程中以更系统的方式引出适当的安全需求，以确保安全和高质量的软件开发。本文提出了基于安全威胁分析的安全需求获取的STORE方法，该方法包括识别PoA、PoB、PoD和PoD四个点，以进行有效的安全攻击分析。此外，建议的存储方法也验证了一个ERP系统的案例研究。我们还比较了我们的存储方法与现有的两种技术，即SQUARE和MOSRE。我们已经表明，更有效和更高效的安全需求，可以引出的存储方法，它可以帮助安全需求工程师引出安全需求，在一个更有组织的方式。
2019-01-06 cs.SE
A Systematic Mapping Study on Risks and Vulnerabilities in Software Containers
本研究通过系统映射分析，系统梳理了软件容器中的安全风险与漏洞，提出了新的分类法，并总结了缓解措施和安全实践。
2025-12-12 cs.SE
On Categorizing Open Source Software Security Vulnerability Reporting Mechanisms on GitHub
本研究通过分析GitHub上679个开源项目，发现电子邮件是主要漏洞报告渠道、无SECURITY.md文件的项目安全性更低，为改进开源项目安全策略提供了建议。
2025-02-12 cs.SE
SecuRe -- An Approach to Recommending Security Design Patterns
针对安全专家匮乏问题，提出SecuRe方法，将设计模式与知识工程结合，为软件架构推荐安全设计模式，并展示初步案例研究结果。
2025-01-24 cs.SE
An Empirical Study of Automation in Software Security Patch Management
多项研究表明，自动支持安全补丁管理流程的不同活动，对于减少安装安全补丁的延迟具有很大的潜力。然而，理解自动化在实践中的应用方式，它在满足现实世界需求方面的局限性以及从业者真正需要什么也是很重要的，这是一个在现有的软件工程文献中没有进行过实证研究的领域。本文报告了一项实证研究，旨在调查不同方面的自动化安全补丁管理使用半结构化的采访，17个从业者从三个不同的组织在医疗保健领域。调查结果的重点是自动化在安全补丁管理中的作用，以提供对实践中自动化现状的深入了解，当前自动化的局限性，如何增强自动化支持以有效满足从业人员的需求，以及人类在自动化过程中的作用。根据调查结果，我们得出了一组建议，指导未来的努力，旨在开发自动支持安全补丁管理。
2022-09-04 cs.SE
Characterizing and Understanding Software Security Vulnerabilities in Machine Learning Libraries
机器学习（ML）库的应用在许多领域都有了巨大的增长，包括自动驾驶系统、医疗和关键行业。这些库的脆弱性导致了无法弥补的后果。然而，软件安全漏洞的特征还没有得到很好的研究。在本文中，为了弥合这一差距，我们迈出了表征和理解五个知名ML库的安全漏洞的第一步，包括Tensorflow，PyTorch，Sickit-learn，Pandas和Numpy。为此，我们总共收集了596个与安全相关的承诺，以探索五个主要因素：1）漏洞类型，2）根本原因，3）症状，4）修复模式，以及5）修复ML库中安全漏洞的工作。这项研究的结果可以帮助开发人员更好地了解不同ML库中的软件安全漏洞，并更好地了解它们的弱点。为了使我们的发现具有可操作性，我们进一步开发了DeepMut，一种自动化突变测试工具，作为我们发现的概念验证应用程序。DeepMut旨在评估ML库的现有测试套件是否足以对抗从本工作中研究的漏洞中提取的安全感知突变算子。我们在Tensorflow内核模块上应用了DeepMut，发现了超过1 k个现有测试套装没有考虑的活突变体。结果表明，我们的研究结果的有用性。
2022-03-12 cs.SE
Enhancing Software Supply Chain Security Through STRIDE-Based Threat Modelling of CI/CD Pipelines
本研究对集成GitHub、Jenkins、Docker和Kubernetes的代表性CI/CD流水线应用STRIDE威胁建模，并结合NIST、OWASP与SLSA控制要求，提出自动化安全工具链集成路线图。
2025-06-06 cs.SE
An Introduction to Adaptive Software Security
本文提出自适应软件安全模型，将MAPE-K循环与SDLC结合，主动嵌入安全策略以减少漏洞，实现安全与敏捷开发的持续改进。
2023-12-28 cs.CR cs.SE
Evaluating Software Supply Chain Security in Research Software
本研究利用OpenSSF Scorecard分析3248个研究软件仓库，发现其供应链安全态势薄弱（平均3.5/10），并提出低成本改进建议以保障科学完整性。
2025-08-05 cs.CR cs.SE
Multilevel Semantic Embedding of Software Patches: A Fine-to-Coarse Grained Approach Towards Security Patch Detection
针对开源软件中安全补丁隐蔽发布导致的漏洞利用风险，本研究提出多层语义嵌入模型MultiSEM，通过细粒度词向量、粗粒度代码行向量结合补丁描述实现鲁棒表示，在PatchDB和SPI-DB数据集上F1指标分别提升22.46%和9.21%，优于现有最优模型。
2023-08-29 cs.SE
Clean Code In Practice: Challenges and Opportunities
本文分析软件可靠性、安全与保障的相互作用，提出融合二者的威胁评估框架及实践指南，以提升可靠性预测和系统稳健性。
2025-07-26 cs.SE
Secure Software Development in the Era of Fluid Multi-party Open Software and Services
在市场力量的推动下，软件开发已经变得快节奏。因此，现代开发项目是由第三方组件组装的。安全和隐私保证技术曾经是为数月或数年的大型受控更新而设计的，现在必须应对一周内发生的小而持续的变化，并且发生在由第三方开发人员控制的子组件中，甚至可能不知道它们的存在。在本文中，我们的目的是提供一个概述，目前的软件安全方法，并评估其适当性，在面对软件开发的性质发生了变化。软件安全保证可以从基于过程的方法转向基于人工制品的方法。此外，安全评估可能需要更加渐进、自动化和分散化。我们相信这可以通过支持轻量级和可扩展的筛选机制来实现，这些机制适用于整个软件组件群体，尽管可能要付出代价。
2021-03-04 cs.SE
Java File Security System (JFSS) Evaluation Using Software Engineering Approaches
Java文件安全系统（JFSS）[1]是由我们开发的。那是一个加密的文件系统。它是由我们开发的，因为有这么多的文件数据泄露在过去和当前的历史，他们会增加一天一天的报告由DataLossDB（开放安全基金会）组织，在美国的一个非营利组织，所以它是. JFSS的评价方面的两个软件工程的方法。其中之一是软件产品开发中的代码行数（Lines of Code，简写为CODE）。另一种方法是面向客户的，即用户满意度测试方法。满足我们的客户是在全球竞争的现代世界中保持业务的基本要素。我们必须用我们的软件产品和服务的价值来满足甚至取悦我们的客户，以获得他们的忠诚度和回头客。因此，客户满意度是过程改进计划以及软件质量预测的主要目标。借助用户满意度指数，计算出有关客户满意度的许多参数。客户满意度调查是了解我们产品质量满意度的最佳方法。
2013-12-06 cs.SE
Vulnerability Prediction Based on Weighted Software Network for Secure Software Building
为了构建安全的通信软件，在软件安全测试之前，利用漏洞预测模型（VPMs）预测软件系统中易受攻击的软件模块。目前，许多软件安全性度量标准已经被提出来设计VPM。在本文中，我们预测软件系统中的脆弱类，通过建立系统的加权软件网络。度量是从加权软件网络中的节点属性中获得的。我们设计并实现了一个爬虫工具来收集Mozilla Firefox中的所有公共安全漏洞。基于这些数据，训练和测试预测模型。实验结果表明，基于加权软件网络的VPM在准确率、精确率和召回率方面具有良好的性能。与其他研究相比，该方法在Pr和Re的预测性能有了很大的提高。
2019-02-13 cs.SE
Structuring a Comprehensive Software Security Course Around the OWASP Application Security Verification Standard
软件从业人员缺乏安全专业知识是一个有许多影响的问题。首先，安全专业人员短缺，无法满足当前的需要。此外，即使不打算从事安全工作的从业人员也可以从对安全的更多理解中受益。本文的目的是通过分享第十一次软件安全课程的运行经验，帮助软件工程教育工作者设计一门综合性的软件安全课程。通过运行软件安全课程的所有十一年，课程目标是全面的-从安全测试，安全设计和编码，安全要求到安全风险管理。在第十一年，课程作业的主题是将漏洞发现映射到开放式Web应用程序安全项目（OWASP）应用程序安全验证标准（ASVS）的安全控制。根据学生在最终探索性渗透测试项目中的表现，这种映射可能增加了学生对更广泛的安全主题的理解深度。在OpenMRS项目中，学生们在三个小时的时间内有效地检测到了28种不同的常见弱点枚举（CWE）类型的191个独特和经过验证的漏洞，OpenMRS项目是一个正在使用的电子健康记录应用程序。
2021-03-08 cs.CR cs.SE
Enterprise-Driven Open Source Software: A Case Study on Security Automation
本文通过挖掘8243个企业驱动的开源软件仓库并调查维护者，发现仅6.83%的项目在CI流水线中应用安全自动化，揭示了安全活动稀缺和防护覆盖率低的问题，并呼吁业界关注第三方软件漏洞和改进实践。
2021-02-10 cs.SE
Automated Software Testing Starting from Static Analysis: Current State of the Art
复杂软件的大规模生产使得人工测试其安全漏洞变得不可能。自动化安全测试工具有各种各样的风格，在软件开发的各个阶段发挥作用，并针对不同类别的软件漏洞。我们有大量的自动化工具可供选择，这很好，但问题是它们的采用和认可并不突出。本研究的目的是探索现有技术的可能性，同时也通过探索安全测试工具和相关技术的未来来拓宽视野。
2023-01-15 cs.SE
Towards Leveraging LLMs to Generate Abstract Penetration Test Cases from Software Architecture
Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）
本文提出利用大语言模型生成抽象渗透测试用例，以支持软件架构层面的安全评估，实验显示生成的用例在实用性和正确性上表现良好。
2026-03-24 cs.SE
Examining the Relationship of Code and Architectural Smells with Software Vulnerabilities
安全性对于为商业或个人使用而开发的软件至关重要。虽然越来越多的组织意识到应用安全编码实践的重要性，但在其中许多组织中，直到发生安全故障时才知道或解决安全问题。安全失败的根本原因是易受攻击的代码。虽然度量已被用于预测软件漏洞，我们探索代码和架构气味与安全弱点之间的关系。由于气味是软件中更深层次问题的表面指标，因此确定气味与软件漏洞之间的关系可以在漏洞预测模型中发挥重要作用。目的：探讨气味与软件漏洞的关系，以识别气味。方法：我们提取了三个系统的类、方法、文件和包级别的气味：Apache Tomcat、Apache CXF和Android。然后，我们比较了它们在报告包含易受攻击代码的易受攻击类和中性类（尚未报告漏洞的非易受攻击类）中的出现情况。结果：我们发现，与非脆弱类相比，脆弱类更有可能具有某些气味。上帝类、复杂类、大类、数据类、特征嫉妒类、大脑类与软件漏洞具有统计学显着关系。我们发现架构气味和软件漏洞之间没有显著的关系。结论：我们可以得出结论，对于所有被检查的系统，在软件漏洞和一些气味之间存在统计学上显著的相关性。
2020-10-29 cs.SE
Secure Scrum: Development of Secure Software with Scrum
如今，敏捷软件开发方法的使用，如Scrum，在工业界和学术界很常见。考虑到当前的攻击环境，很明显，开发安全软件应该是所有软件开发项目的主要关注点。在传统的软件项目中，安全问题需要在初始规划阶段进行详细规划，通常会导致详细的安全分析（例如，威胁和风险分析）、安全体系结构，以及用于安全实现的指令（例如，密钥大小和要使用的密码算法的规范）。敏捷软件开发方法，如Scrum，以减少初始规划阶段而闻名（例如，sprint 0），以及更专注于生成运行代码。Sign还以允许新兴软件快速适应客户愿望的变化而闻名。对于安全性而言，这意味着从项目一开始就可能没有详细的安全架构或安全实施说明。这也意味着许多设计决策将在项目运行时做出。因此，要解决软件开发中的安全问题，有必要在整个软件开发过程中考虑安全问题。Secure Sockets是Sockets框架的一个变体，特别关注在整个软件开发过程中安全软件的开发。它强调了安全相关问题的实现，而不需要改变底层的安全流程或影响团队动态。Secure Sourcing甚至允许非安全专家发现安全问题，实现安全功能，并验证实现。对安全软件包的现场测试表明，使用安全软件包开发的软件的安全级别高于使用标准软件包开发的软件的安全级别。
2015-07-10 cs.CR cs.SE
Software Supply Chain Security of Web3
KTH Royal Institute of Technology（皇家理工学院）
研究Web3生态系统中软件供应链安全问题，分析威胁并提出缓解策略以增强安全性。
2025-11-15 cs.CR cs.SE
Security Debt in Practice: Nuanced Insights from Practitioners
University of Calgary（卡尔加里大学）；Trent University（特伦特大学）；Prince Sultan University（苏丹亲王大学）
本文通过对22名软件从业者的半结构化访谈开展定性实证研究，分析了实践中安全债务的感知、管理与沟通情况，发现从业者间存在差异，强调需整合安全实践至软件开发生命周期。
2026-07-31 cs.SE
What is Software Supply Chain Security?
软件供应链涉及大量工具和流程，使软件开发人员能够编写、构建和发布应用程序。最近，工具或流程的安全性妥协导致了解决这些问题的提案激增。然而，这些建议通常过分强调具体的解决方案或混淆目标，导致意想不到的后果，或定位和用途不明确。在本文中，我们提出的情况下，制定切实可行的解决方案是不可能的，直到社区有一个整体的安全问题的看法，这种看法必须包括技术和程序方面。为此，我们研究了三个用例，以确定共同的安全目标，并提出了一个面向目标的分类现有的解决方案，展示了软件供应链安全的整体概述。
2022-09-08 cs.CR cs.SE
Software as a Service: Analyzing Security Issues
软件即服务（SaaS）是一种软件服务交付模式，它包含了广泛的商业机会和挑战。用户和服务提供商不愿意将他们的业务集成到SaaS中，因为它的安全性问题，同时他们也被它的好处所吸引。本文重点介绍了SaaS在不同环境中的实用性和适用性，如云计算、移动云计算、软件定义网络和物联网。然后，它开始分析SaaS安全挑战，包括数据安全、应用程序安全和SaaS部署安全。详细回顾了现有的主流解决方案，以解决映射到不同的SaaS安全挑战的相应安全问题。最后，可能的解决方案或技术，可以应用在串联的安全SaaS平台。
2015-05-07 cs.CR cs.SE
Characterizing and Understanding Software Developer Networks in Security Development
为了构建安全的软件，开发人员通常在软件开发和维护期间一起工作，以查找、修复和防止安全漏洞。检查开发人员在其安全活动期间关于安全引入和修复活动的交互的性质可以为改进当前实践提供见解。在这项工作中，我们进行了一个大规模的实证研究，以表征和理解开发人员在安全活动中的安全引入和修复的互动，其中涉及超过16 K的安全修复提交和超过28 K的安全引入提交从9个大型开源软件项目。对于我们的分析，我们首先检查一个项目是否是一个英雄为中心的项目时，评估开发人员在他们的安全活动的贡献。然后，我们研究开发人员之间的交互模式，探索模式的分布如何随着时间的推移而变化，并研究开发人员的交互对项目质量的影响。此外，我们还将安全活动中的开发人员交互的性质与非安全活动中的开发人员交互进行了比较（即，引入和修复非安全性错误）。在我们的研究结果中，我们发现：大多数的实验项目是非英雄为中心的项目时，通过使用他们的安全活动来评估开发人员的贡献;存在共同的主导交互模式在我们的实验项目;交互模式的分布与软件项目的质量相关。我们相信，从这项研究的结果可以帮助开发人员了解如何产生和修复的软件开发人员的交互下的可扩展性。
2019-07-28 cs.SE cs.SI
How Dataflow Diagrams Impact Software Security Analysis: an Empirical Experiment
本研究通过实证实验探讨数据流图（DFD）对软件安全分析的影响，发现提供DFD和追踪信息能显著提升分析师的任务正确率（41%）和证据正确率（315%），并指出三个开放挑战。
2024-01-09 cs.SE
Using AI Assistants in Software Development: A Qualitative Study on Security Practices and Concerns
本文通过访谈和Reddit数据分析发现，尽管存在安全担忧，软件专业人员仍广泛使用AI助手执行代码生成等安全关键任务，并建议各方批判性检查建议、提升安全能力及深入研究通用AI应用。
2024-10-14 cs.CR cs.SE
Cascaded Vulnerability Attacks in Software Supply Chains
University of Colorado Colorado Springs (UCCS)（科罗拉多大学科泉分校）
本文提出基于SBOM的异构图注意力网络，用于检测软件供应链中的级联漏洞链。
2026-01-28 cs.SE
Measuring Software Diversity, with Applications to Security
在这项工作中，我们简要地介绍和讨论了一些多样性措施中使用的生态学。在对最相关的指数进行了简要的描述和分析之后，我们挑选出了香农-韦纳指数。我们证明了为什么它是最翔实和相关的一个衡量软件的多样性。然后，我们将展示如何使用它来有效地评估各种真实的软件生态系统的多样性。我们在这个过程中发现了一个经常被忽视的软件垄断，以及它的关键安全问题。最后，我们从所获得的结果中提取一些结论，主要集中在其安全影响上。
2013-10-11 cs.CR cs.SE
Software Security Rules, SDLC Perspective
软件已经成为日常生活中不可或缺的一部分。每天，数以百万计的人通过互联网，自动取款机，移动电话进行交易，他们发送电子邮件和电子问候，并使用字处理和电子表格为各种目的。人们在使用软件时要记住，软件是可靠的，可以信任的，他们执行的操作是安全的。现在，如果这些软件有可利用的安全漏洞，那么他们如何能够安全使用。安全性为软件带来了人们信任的价值。安全软件提供的价值至关重要，因为许多关键功能完全依赖于软件。这就是为什么安全是一个严肃的话题，应该在整个SDLC期间从一开始就给予适当的关注。为了在软件中正确实现安全性，本文提出了21条安全规则以及验证结果。研究发现，通过按照给定的实现机制应用这些规则，可以消除软件中的大多数漏洞，并可以构建更安全的软件。
2009-11-03 cs.CR cs.SE
SoK: Analysis of Software Supply Chain Security by Establishing Secure Design Properties
本文系统化梳理软件供应链安全模式，划分攻击四阶段并提出透明性、有效性与隔离性三项安全属性，据此评估现有方法、案例与框架并指出技术缺口。
2024-06-14 cs.CR cs.SE
Toward a Research Software Security Maturity Model
NSF在其科学、工程和教育软件的愿景和战略中指出，它将投资于以下活动：“认识到软件战略必须包括安全可靠的服务部署和运营，例如由校园或国家设施或行业，其中身份、认证、授权和保证是至关重要的运营能力。“和“产生高质量、可用、安全、免维护、可持续、健壮、经过良好测试和可维护/可发展的软件;并促进可靠和有用的持续投资的可持续性。“这些声明证明，安全确实应该是软件生态系统的首要考虑因素。在这份立场文件中，我们分享了一些与研究软件安全相关的想法。我们的想法是基于这样一种观察，即安全性不是一个二元的、全有或全无的属性，而是一系列的实践和要求，这取决于软件的预期部署和使用方式。我们建议社区利用成熟度模型的概念，并努力就研究软件安全成熟度模型达成一致。该模型将对部署社区的不同安全需求集进行分类，并为软件开发人员提供一个推进其软件安全成熟度的路线图。本文的目的不是表达这样一个全面的成熟度模型，而是开始一个对话并设置一些初始需求。
2013-09-06 cs.CR cs.SE
Moderator Factors of Software Security and Performance Verification
安全和性能（S & P）是软件系统的关键非功能需求。因此，验证活动应包括在开发过程中，以识别相关的缺陷，并避免部署后的S & P故障。然而，标准普尔核查实践的状况尚不清楚，这就要求学术界为标准普尔核查实践者所面临的现实问题提供解决办法。因此，识别调节S & P验证的因素有助于软件开发组织改进S & P验证，发布满足安全和性能需求的软件。目的：介绍影响S & P验证活动的调节因子以及促进S & P调节因子的措施。方法：采用多个案例研究，对观察数据进行定性分析，确定S & P调节因子.文献快速回顾与滚雪球，以加强对已确定的S & P调节因子的信心。从业人员调查，根据相关性对标准普尔调节因素进行分类。结果如下：识别八个S & P调节因子，涉及组织意识、跨职能团队、S & P要求、支持工具、验证环境、验证方法、验证计划和重用实践。文献综述使我们能够确认已确定的标准普尔调节因素，并确定一套行动，以促进他们中的每一个。一项有37名有效参与者的调查使我们能够对确定的标准普尔主持人因素及其与标准普尔核查活动相关的行动进行分类。结论：S & P调节因子可以被认为是软件开发组织应该投资于实现或改进S & P验证活动的关键点。
2021-07-25 cs.SE
Risk Assessment, Threat Modeling and Security Testing in SDLC
软件开发过程被认为是创建所述软件的关键准则之一，这种方法对于提供更有效但令人满意的输出是必要的。如果不将工作分成不同的阶段，可能会导致项目过程的许多延迟和效率低下，这种混乱会直接影响产品质量和可靠性。此外，随着这种方法被确立为任何项目的标准，由于缺乏认识，在涉及安全方面肯定会出现失误。因此，本研究的目的是确定和阐述的结果和理解的安全集成到软件开发过程中，以及相关的个人角色，以确保这种安全性得到维护。通过对文献的深入分析和回顾，本文展示了确保软件开发过程安全的正确过程和方法。与此同时，还讨论了与这一主题有关的某些问题，并提出了适当的解决办法。此外，在深入的讨论有关的方法，如安全测试，风险评估，威胁建模和其他技术，能够创建一个更安全的环境和系统的方法在软件开发过程中进行。
2020-12-14 cs.SE
Software supply chain: review of attacks, risk assessment strategies and security controls
本文通过系统文献综述分析了软件供应链的常见攻击趋势与开源及第三方安全风险，并提出了与真实事件关联的独特安全控制措施以缓解网络攻击。
2023-05-23 cs.CR cs.SE
Towards Deep Learning Enabled Cybersecurity Risk Assessment for Microservice Architectures
针对微服务架构安全风险评估效率低的问题，提出基于深度学习自然语言处理模型的CyberWise Predictor框架，通过分析漏洞描述预测漏洞指标，在自动预测新漏洞指标上达92%平均准确率，助力开发者识别和缓解安全风险。
2024-03-22 cs.SE
On the Relationship between Software Complexity and Security
这项工作的目的是讨论软件的复杂性方面，同时展示其与安全性的关系。复杂性是软件的重要组成部分;然而，许多研究表明，它们增加了软件系统的脆弱性，并在程序中引入错误。许多开发人员在试图理解软件的复杂组件时面临困难。当软件中的对象被用于设计更复杂的对象同时在系统中创建分层复杂性时，软件中的复杂性增加。然而，开发人员有必要努力将复杂性降至最低，因为复杂性的增加会在软件中引入安全风险，这可能会对政府或私人组织造成严重的经济和声誉损失。它甚至对人造成身体伤害，在过去几年中发现了各种安全漏洞导致严重后果的例子。因此，保持结构的低复杂性和简单设计至关重要。不同的开发人员倾向于在系统中引入故意的复杂性，以便他们不必编写相同的程序两次;然而，随着安全性需求的不断增加，软件组织的问题越来越多。
2020-02-10 cs.CR cs.SE
