A Practical Runtime Security Policy Transformation Framework for Software Defined Networks
软件定义网络（Software-defined networking，SDN）已经被广泛地用于加强传统网络的安全性，从而促进了传统网络向SDN网络转变的进程。然而，基于SDN的安全实施机制严重依赖于包含数据平面底层信息的安全策略。随着底层网络规模的不断扩大，现有的安全策略管理机制将面临越来越大的挑战。SDN网络安全策略转换是研究如何将不包含数据平面底层信息的高层安全策略自动转换为OpenFlow交换机使用的实际流条目，从而实现安全策略管理的自动化。基于这一认识，本文提出了一个实用的运行时安全策略转换框架。首先，我们将SDN网络使用的安全策略定义为安全策略的系统模型（SPM）。从理论上建立了SDN网络的系统模型，提出了一种将SPM自动转换为流条目系统模型的形式化方法。从实际应用的角度出发，提出了一个运行时安全策略转换框架，解决了如何在数据平面上为SPM中的每一个关系找到一条连通路径，以及如何根据流条目的系统模型生成实际的流条目的问题。为了验证该框架的可行性和有效性，我们搭建了一个实验系统，并使用POX控制器和Mininet仿真器实现了该框架。
2023-01-10 cs.CR cs.NI
The Formal Metabasis For Conformity Assessment of Information Security Software and Hardware
提出了一种为信息安全控制开发安全测试程序的方法。提出了优化试验程序的建议
2013-06-08 cs.CR
Proactive Web Server Protocol for Complaint Assessment
漏洞发现与攻击注入对于服务器软件的安全威胁越来越大，在软件开发时，对软件进行功能测试。由于未意识到软件漏洞，因此在预发布之前，应对软件进行全面测试，不仅测试功能可靠性，还应测试安全流（或）漏洞。模糊器、故障注入、漏洞扫描器、静态漏洞分析器、运行时间预防机制和软件恢复等方法正在识别未打补丁的软件，这些软件可能面临安全威胁，从而解决“安全测试”问题。这些技术对于生成攻击是有用的，但不能扩展到新的攻击领域。该系统称为主动漏洞攻击注入工具，适用于添加新的攻击注入向量，使用工具的接口定义新的协议状态（或）规范的方法包括使用GUI的网络服务器协议规范，攻击生成器，攻击注入器，受害者注入器监视模块，受害者机器监视模块和攻击注入报告生成。该工具可以解决大多数漏洞（或）安全流。
2014-02-09 cs.CR cs.NI
Data-driven software security: Models and methods
对于计算机软件，我们的安全模型、策略、机制和保证手段主要是在20世纪70年代末之前构思和开发的。然而，从那时起，软件已经发生了根本性的变化：它比以前大了数千倍，包含了无数的库、层和服务，并且以更复杂的方式用于更多的目的。值得重新审视我们的核心计算机安全概念。例如，当软件过于复杂，开发人员或用户无法解释其预期行为时，最小重复原则是否可以帮助规定安全策略还不清楚。本文概述了一个数据驱动的软件安全模型，该模型对现代软件采用经验性的数据驱动方法，并通过全面的在线监控确定其确切的具体行为。具体而言，本文简要介绍了有效的方法，详细的软件监控，以及学习详细的软件统计数据，同时为用户提供差分隐私的方法，最后，机器学习方法可以帮助发现用户的预期软件行为，从而帮助设置安全策略。这些方法可以在实践中采用，即使是在非常大的规模上，并证明数据驱动的软件安全模型可以提供现实世界的好处。
2016-05-27 cs.CR
Safeguard: Security Controls at the Software Defined Network Layer
Safeguard通过结合基于规则和数据驱动的策略，防止网络流量中的意外响应，提升软件定义网络的安全性。
2026-01-24 cs.CR cs.NI
An Introduction to Adaptive Software Security
本文提出自适应软件安全模型，将MAPE-K循环与SDLC结合，主动嵌入安全策略以减少漏洞，实现安全与敏捷开发的持续改进。
2023-12-28 cs.CR cs.SE
E-Net Models of a Software System for Web Pages Security SECURITY
本文提出了网页密码保护的解决方案。这些解决方案包括作者在保加利亚武装部队自动化信息系统中开发和实施信息安全系统的经验。对体系结构、模型和方法进行了解释。
2010-11-02 cs.CR
Evaluating Software Supply Chain Security in Research Software
本研究利用OpenSSF Scorecard分析3248个研究软件仓库，发现其供应链安全态势薄弱（平均3.5/10），并提出低成本改进建议以保障科学完整性。
2025-08-05 cs.CR cs.SE
Structuring a Comprehensive Software Security Course Around the OWASP Application Security Verification Standard
软件从业人员缺乏安全专业知识是一个有许多影响的问题。首先，安全专业人员短缺，无法满足当前的需要。此外，即使不打算从事安全工作的从业人员也可以从对安全的更多理解中受益。本文的目的是通过分享第十一次软件安全课程的运行经验，帮助软件工程教育工作者设计一门综合性的软件安全课程。通过运行软件安全课程的所有十一年，课程目标是全面的-从安全测试，安全设计和编码，安全要求到安全风险管理。在第十一年，课程作业的主题是将漏洞发现映射到开放式Web应用程序安全项目（OWASP）应用程序安全验证标准（ASVS）的安全控制。根据学生在最终探索性渗透测试项目中的表现，这种映射可能增加了学生对更广泛的安全主题的理解深度。在OpenMRS项目中，学生们在三个小时的时间内有效地检测到了28种不同的常见弱点枚举（CWE）类型的191个独特和经过验证的漏洞，OpenMRS项目是一个正在使用的电子健康记录应用程序。
2021-03-08 cs.CR cs.SE
PrettyCat: Adaptive guarantee-controlled software partitioning of security protocols
一个简单的错误就可能导致当今大型单片软件的所有安全性受到全面损害。软件的分区可以帮助简化代码审查和验证，而软件组件的隔离执行可以限制不正确实现的影响。然而，现有的应用程序分区技术太昂贵，太不精确，或涉及不安全的手动步骤。目前还没有一种自动而安全的方法来将安全协议分解为基于组件的系统。我们提出了一种方法和工具集，自动隔离安全相关的软件到一个无限数量的分区，根据所需的安全保证部署的加密构建块。由于分区会带来通信开销，我们提供了一系列合理的性能优化。此外，通过将我们的方法应用于安全消息传递协议OTR，我们证明了它的适用性，并实现了可信计算基础的显着减少。与单片实现相比，只有29%的分区协议需要机密性保证，其进程开销与常见的沙箱技术相当。
2017-06-15 cs.CR
Security in Online Freelance Software Development: A case for Distributed Security Responsibility
本文针对在线自由职业开发者安全实践不足且责任过度集中的问题，回顾文献并提出分布式安全责任观点与系统化研究议程。
2023-07-12 cs.CR cs.CY
Measurements of the Most Significant Software Security Weaknesses
在这项工作中，我们提供了一个指标来计算最重要的软件安全漏洞，这些漏洞由相关漏洞的频率，可利用性和影响的聚合指标定义。常见弱点枚举（CWE）是一个众所周知的软件安全弱点列表。CWE社区发布了这样一个汇总指标来计算“最危险的软件错误”。然而，我们发现，公布的公式高度偏见的频率，几乎忽略了利用和影响，在产生不同规模的顶级名单。这是由于分量度量值的分布的差异。为了减轻这种情况，我们使用双对数函数线性化频率分布。然后，我们提出了各种其他改进措施，提供了2019年最重要的CWE列表，对已识别的软件安全漏洞进行了分析，并将其与之前发布的列表进行了比较。
2021-04-12 cs.CR
Software Unclonable Functions for IoT Devices Identification and Security
针对物联网中合法与受攻击设备区分的关键挑战，本研究在提出的软件不可克隆函数（SUFs）框架下，探究基于硬件性能计数器（HPC）的签名的唯一性有效性，为设备识别与安全提供技术支撑。
2025-08-25 cs.CR
Secure Scrum: Development of Secure Software with Scrum
如今，敏捷软件开发方法的使用，如Scrum，在工业界和学术界很常见。考虑到当前的攻击环境，很明显，开发安全软件应该是所有软件开发项目的主要关注点。在传统的软件项目中，安全问题需要在初始规划阶段进行详细规划，通常会导致详细的安全分析（例如，威胁和风险分析）、安全体系结构，以及用于安全实现的指令（例如，密钥大小和要使用的密码算法的规范）。敏捷软件开发方法，如Scrum，以减少初始规划阶段而闻名（例如，sprint 0），以及更专注于生成运行代码。Sign还以允许新兴软件快速适应客户愿望的变化而闻名。对于安全性而言，这意味着从项目一开始就可能没有详细的安全架构或安全实施说明。这也意味着许多设计决策将在项目运行时做出。因此，要解决软件开发中的安全问题，有必要在整个软件开发过程中考虑安全问题。Secure Sockets是Sockets框架的一个变体，特别关注在整个软件开发过程中安全软件的开发。它强调了安全相关问题的实现，而不需要改变底层的安全流程或影响团队动态。Secure Sourcing甚至允许非安全专家发现安全问题，实现安全功能，并验证实现。对安全软件包的现场测试表明，使用安全软件包开发的软件的安全级别高于使用标准软件包开发的软件的安全级别。
2015-07-10 cs.CR cs.SE
Role of Free and Open Source Software in Computer and Internet Security
无可否认，随着计算机和互联网在我们日常生活中的广泛使用，信息和数据的安全性越来越受到关注。以电子表格形式储存的信息更容易被有意或无意地泄露给未经授权的个人。这种安全漏洞的主要原因之一是由于专有软件的来源只提供给制造它的公司。因此，您不能保证专用和预编译的软件没有漏洞，可以帮助个人破坏您的计算机或网络的安全。自由和开源软件的哲学为每个人提供了一个机会，可以查看任何可能的漏洞的源代码，并根据自己的需要编译和修改它。本文将通过一些例子以及一些有助于维护计算机和互联网安全的开源工具来详细讨论这一理念。
2016-10-03 cs.CR
Software Supply Chain Security of Web3
KTH Royal Institute of Technology（皇家理工学院）
研究Web3生态系统中软件供应链安全问题，分析威胁并提出缓解策略以增强安全性。
2025-11-15 cs.CR cs.SE
Security Vulnerabilities in Software Supply Chain for Autonomous Vehicles
University of Alabama（阿拉巴马大学）
本研究针对自动驾驶汽车开源软件供应链的安全风险问题，使用静态分析工具检测Autoware、Apollo、openpilot等主流开源项目的漏洞并对比结果，呼吁在开发生命周期早期落实安全实践以降低网络安全风险。
2025-09-21 cs.CR
Integrated Solution Modeling Software: A New Paradigm on Information Security Review and Assessment
事实上，信息安全已成为组织无形资产的重要组成部分，因此信任度和利益相关者信任度是组织成功的绩效指标。由于信息安全在支持组织的活动方面起着非常重要的作用，因此我们需要一个规范信息安全治理的标准或基准。本文的主要目的是实现一种新的实用方法框架的信息安全管理系统（ISMS）的评估和监控软件的发展，称为I-SolFramework。系统/软件预计将帮助利益相关者评估其ISO27001合规准备程度，该软件可以帮助利益相关者了解安全控制或通过合规参数调用，更短，更结构化。该案例研究为读者提供了一套指南，旨在易于理解和适用，作为ISMS标准（ISO27001）合规性的测量工具。
2012-03-28 cs.CR
Secure Software Development Methodologies: A Multivocal Literature Review
本文通过多来源文献综述梳理了28种安全软件开发方法学中的安全实践，涵盖技术与非技术层面，并指出当前研究空白，为改进软件安全、减少漏洞提供参考。
2023-07-04 cs.CR
On Runtime Software Security of TrustZone-M based IoT Devices
物联网（IoT）设备已经越来越多地融入我们的日常生活。然而，这样的智能设备遭受广泛的攻击面。特别是，如果物联网设备使用资源受限的微控制器（MCU），则在运行时针对设备软件的攻击具有挑战性。TrustZone-M是MCU的TrustZone扩展，是一种新兴的安全技术，可增强基于MCU的物联网设备。本文首次对启用TrustZone-M的MCU中的潜在软件安全问题进行了安全分析。我们探讨了基于堆栈的缓冲区溢出（BOF）攻击的代码注入，面向返回的编程（ROP）攻击，基于堆的BOF攻击，格式字符串攻击，和攻击非安全可调用（NSC）的上下文中的TrustZone-M的功能。我们使用启用TrustZone-M的SAM L11 MCU验证这些攻击。还讨论了减轻这些软件攻击的策略。
2020-07-12 cs.CR
Establishing a Baseline of Software Supply Chain Security Task Adoption by Software Organizations
本研究通过访谈61名从业者，发现软件组织在供应链安全前已成熟采用基础任务，而针对组件和构建基础设施的新任务采用不足，需优先推进。
2025-09-09 cs.CR
What is Software Supply Chain Security?
软件供应链涉及大量工具和流程，使软件开发人员能够编写、构建和发布应用程序。最近，工具或流程的安全性妥协导致了解决这些问题的提案激增。然而，这些建议通常过分强调具体的解决方案或混淆目标，导致意想不到的后果，或定位和用途不明确。在本文中，我们提出的情况下，制定切实可行的解决方案是不可能的，直到社区有一个整体的安全问题的看法，这种看法必须包括技术和程序方面。为此，我们研究了三个用例，以确定共同的安全目标，并提出了一个面向目标的分类现有的解决方案，展示了软件供应链安全的整体概述。
2022-09-08 cs.CR cs.SE
An Empirical Study on Virtual Reality Software Security Weaknesses
针对 VR 软件安全研究不足，本文提出从 GitHub 提交数据收集安全弱点的框架，构建首个系统性数据集，并基于 334 个项目和 1,681 个弱点揭示其类型、引入时机与风险分布。
2025-07-24 cs.CR
SoK: A Defense-Oriented Evaluation of Software Supply Chain Security
本文提出面向防御的AStRA模型，系统评估软件供应链安全，识别安全目标并验证，指出研究空白以促进安全设计工具开发。
2024-05-29 cs.CR
Software as a Service: Analyzing Security Issues
软件即服务（SaaS）是一种软件服务交付模式，它包含了广泛的商业机会和挑战。用户和服务提供商不愿意将他们的业务集成到SaaS中，因为它的安全性问题，同时他们也被它的好处所吸引。本文重点介绍了SaaS在不同环境中的实用性和适用性，如云计算、移动云计算、软件定义网络和物联网。然后，它开始分析SaaS安全挑战，包括数据安全、应用程序安全和SaaS部署安全。详细回顾了现有的主流解决方案，以解决映射到不同的SaaS安全挑战的相应安全问题。最后，可能的解决方案或技术，可以应用在串联的安全SaaS平台。
2015-05-07 cs.CR cs.SE
Using AI Assistants in Software Development: A Qualitative Study on Security Practices and Concerns
本文通过访谈和Reddit数据分析发现，尽管存在安全担忧，软件专业人员仍广泛使用AI助手执行代码生成等安全关键任务，并建议各方批判性检查建议、提升安全能力及深入研究通用AI应用。
2024-10-14 cs.CR cs.SE
Finding Security Vulnerabilities in Unmanned Aerial Vehicles Using Software Verification
嵌入有易受攻击的单片软件的无人机（UAV）的激增最近引起了人们对其安全性的严重关注，这是由于并发方面和脆弱的通信链路。然而，基于传统测试验证无人机软件的安全性仍然是一个开放的挑战，主要是由于可扩展性和部署问题。在这里，我们调查软件验证技术来检测典型的无人机的安全漏洞。特别是，我们调查现有的软件分析器和验证器，实现模糊和有界模型检验（BMC）技术，检测内存安全和并发错误。我们还调查了与无人机通信链路相关的脆弱性方面。所有无人机部件（例如，位置、速度和姿态控制）严重依赖于通信链路。我们的初步结果表明，模糊和BMC技术可以检测各种软件漏洞，这是特别感兴趣的，以确保无人机的安全。我们能够通过对无人机的连接和软件系统进行渗透测试，成功地进行网络攻击。因此，我们展示了真实的网络威胁，并有可能在可预见的未来利用现实世界无人机软件中的进一步安全漏洞。
2019-10-11 cs.CR cs.LO
Quantifying Cybersecurity Effectiveness of Software Diversity
部署单一文化的软件堆栈可能会造成毁灭性的损害，即使是针对一个漏洞的一次攻击。受生物多样性的弹性效益的启发，软件多样性的概念在安全领域被提出。虽然软件多样性可以增强安全性是直观的，但其有效性尚未进行定量研究。目前，还没有理论或实证研究已经探索，以衡量网络多样性的安全有效性。在本文中，我们为最终解决这个问题迈出了第一步。我们提出了一个系统的框架，可以建模和量化的网络多样性的安全有效性。我们进行模拟，以证明该框架的实用性。与直觉相反，我们表明，从整个网络的角度来看，多样性并不一定能提高安全性。这种现象的根本原因是，多样化的软件实现中的脆弱性程度在决定软件多样性的安全有效性方面起着至关重要的作用。
2021-11-19 cs.CR
Measuring Software Diversity, with Applications to Security
在这项工作中，我们简要地介绍和讨论了一些多样性措施中使用的生态学。在对最相关的指数进行了简要的描述和分析之后，我们挑选出了香农-韦纳指数。我们证明了为什么它是最翔实和相关的一个衡量软件的多样性。然后，我们将展示如何使用它来有效地评估各种真实的软件生态系统的多样性。我们在这个过程中发现了一个经常被忽视的软件垄断，以及它的关键安全问题。最后，我们从所获得的结果中提取一些结论，主要集中在其安全影响上。
2013-10-11 cs.CR cs.SE
The Effect of Security Education and Expertise on Security Assessments: the Case of Software Vulnerabilities
尽管软件安全的重要性日益增加，行业对劳动力中更多网络安全专业知识的需求也越来越大，但安全教育和经验对评估复杂软件安全问题能力的影响最近才被调查。作为全方位软件安全技能的代表，我们考虑了通过工业中广泛使用的结构化分析方法来评估软件漏洞严重性的问题（即通用漏洞评分系统（\CVSS）v3），并设计了一项研究，以比较具有信息技术背景但在网络安全方面具有不同专业经验和教育的个人评估软件漏洞的严重性。我们的研究结果提供了一些结构性的见解评估员的教育或经验和他们的评估质量之间的复杂关系。特别是，我们发现个人特征比专业经验或正规教育更重要;显然，一个人拥有的技能（包括所研究系统的实际知识）的\emph{combination}，而不是专业或多年的经验，对评估质量的影响更大。同样，我们发现，专业知识所带来的整体优势在很大程度上取决于个人安全技能的构成以及可用的信息。
2018-08-20 cs.CR cs.CY
Software Security Rules, SDLC Perspective
软件已经成为日常生活中不可或缺的一部分。每天，数以百万计的人通过互联网，自动取款机，移动电话进行交易，他们发送电子邮件和电子问候，并使用字处理和电子表格为各种目的。人们在使用软件时要记住，软件是可靠的，可以信任的，他们执行的操作是安全的。现在，如果这些软件有可利用的安全漏洞，那么他们如何能够安全使用。安全性为软件带来了人们信任的价值。安全软件提供的价值至关重要，因为许多关键功能完全依赖于软件。这就是为什么安全是一个严肃的话题，应该在整个SDLC期间从一开始就给予适当的关注。为了在软件中正确实现安全性，本文提出了21条安全规则以及验证结果。研究发现，通过按照给定的实现机制应用这些规则，可以消除软件中的大多数漏洞，并可以构建更安全的软件。
2009-11-03 cs.CR cs.SE
SoK: Analysis of Software Supply Chain Security by Establishing Secure Design Properties
本文系统化梳理软件供应链安全模式，划分攻击四阶段并提出透明性、有效性与隔离性三项安全属性，据此评估现有方法、案例与框架并指出技术缺口。
2024-06-14 cs.CR cs.SE
Toward a Research Software Security Maturity Model
NSF在其科学、工程和教育软件的愿景和战略中指出，它将投资于以下活动：“认识到软件战略必须包括安全可靠的服务部署和运营，例如由校园或国家设施或行业，其中身份、认证、授权和保证是至关重要的运营能力。“和“产生高质量、可用、安全、免维护、可持续、健壮、经过良好测试和可维护/可发展的软件;并促进可靠和有用的持续投资的可持续性。“这些声明证明，安全确实应该是软件生态系统的首要考虑因素。在这份立场文件中，我们分享了一些与研究软件安全相关的想法。我们的想法是基于这样一种观察，即安全性不是一个二元的、全有或全无的属性，而是一系列的实践和要求，这取决于软件的预期部署和使用方式。我们建议社区利用成熟度模型的概念，并努力就研究软件安全成熟度模型达成一致。该模型将对部署社区的不同安全需求集进行分类，并为软件开发人员提供一个推进其软件安全成熟度的路线图。本文的目的不是表达这样一个全面的成熟度模型，而是开始一个对话并设置一些初始需求。
2013-09-06 cs.CR cs.SE
Software supply chain: review of attacks, risk assessment strategies and security controls
本文通过系统文献综述分析了软件供应链的常见攻击趋势与开源及第三方安全风险，并提出了与真实事件关联的独特安全控制措施以缓解网络攻击。
2023-05-23 cs.CR cs.SE
Is Less Really More? Why Reducing Code Reuse Gadget Counts via Software Debloating Doesn't Necessarily Indicate Improved Security
几乎所有的现代软件都存在膨胀问题，这对其性能和安全性产生了负面影响。为了解决这个问题，已经提出了几种自动化技术来解浮动软件。在许多这些工作中，用来证明改进的安全性的一个关键指标是代码重用小工具计数减少。此度量的使用基于流行的想法，即减少软件包中可用的小工具的数量会减少其攻击面，并使攻击者更难以安装基于小工具的代码重用漏洞，例如面向返回的编程（ROP）。在本文中，我们挑战这一想法，并通过各种现实的debloating方案显示固有的小工具计数减少指标的缺陷。具体来说，我们证明了软件debloating可以实现高的小工具计数减少率，但未能限制攻击者的能力，构建一个漏洞。更糟糕的是，在某些情况下，高的小工具数量减少率掩盖了软件去浮动通过引入新的有用小工具而使安全性更差的情况。为了解决这些问题，我们提出了一套四个新的度量标准，通过软件debloating是面向质量的，而不是面向数量的安全改进实现。我们表明，这些指标可以识别时debloating负面影响的安全性，并有效地计算使用我们的静态二进制分析工具，小工具集分析器。最后，我们证明了这些指标的实用性在两个现实的案例研究：迭代debloating和debloater评估。
2020-01-16 cs.CR
Methods and Techniques for Dynamic Deployability of Software-Defined Security Services
Dipartimento di Ingegneria dell’Energia Elettrica e dell’Informazione “Guglielmo Marconi”（古列尔莫·马可尼电力、能源与信息工程系）
随着“网络软件化”的最近趋势，由诸如软件定义网络（SDN）和网络功能虚拟化（NFV）的新兴技术实现，数据中心和企业网的系统管理员已经开始用在服务器和终端主机上运行的虚拟化网络功能替换专用的基于硬件的中间盒。这种根本性的变化促进了先进和灵活的网络服务的提供，最终帮助系统管理员和网络运营商应对服务需求和网络工作负载的快速变化。本论文研究了在“软件化”网络中提供网络安全服务的挑战，在这种网络中，住宅和商业用户的安全可以通过在高性能服务器或商品计算设备上运行的基于软件的网络功能来提供。该研究是从电信运营商的角度进行的，其目标是保护客户免受网络威胁，同时最大限度地增加提供的服务数量，从而增加收入。具体而言，在本论文中提出的研究的总体目标是提出新的技术，用于优化基于软件的安全服务的资源使用，从而增加运营商的机会，以适应更多的服务请求，同时尊重客户的网络安全的期望水平。在这个方向上，本论文的贡献如下：（i）一个解决方案的动态供应的安全服务，最大限度地减少利用的计算和网络资源，和（ii）新的方法基于深度学习和Linux内核技术，以减少CPU使用的基于软件的安全网络功能，特别是对分布式拒绝服务（DDoS）攻击的防御。
2020-04-04 cs.CR cs.LG cs.NI
E-Net Models of a Software System for E-Mail Security
本文介绍了MS Outlook中加密保护的解决方案。这些解决方案包括作者在保加利亚武装部队自动化信息系统中开发和实施信息安全系统的经验。对体系结构、模型和方法进行了解释。
2010-10-28 cs.CR
Verifying Security Vulnerabilities in Large Software Systems using Multi-Core k-Induction
基于计算机的系统已被用于解决多个领域的问题，如工业，军事，教育和可穿戴设备。这些系统需要高质量的软件来保证安全。我们提倡有界模型检验（BMC）技术可以在开发过程的早期阶段检测安全漏洞。然而，这种技术很难扩展和验证基于计算机的系统上常见的大型软件。在这里，我们开发和评估一个务实的方法来验证大型软件系统，使用一个国家的最先进的有界模型检查。特别地，我们对输入的源代码文件进行预处理，然后引导模型检查器系统地探索代码。我们还提出了一个多核实现的k-归纳证明算法，以验证和伪造大型软件系统迭代。实验结果表明，该方法可以指导ESBMC有效地验证大型软件系统。我们使用PuTTY应用程序来评估我们的方法，在不到86分钟的时间内验证了136个文件和2803个函数，以及SlimGuard分配器，在那里我们发现了开发人员确认的真正的安全漏洞。我们的结论是，我们的方法可以成功地指导有界模型检查器，以验证大型软件系统系统。
2021-02-04 cs.CR
On the Relationship between Software Complexity and Security
这项工作的目的是讨论软件的复杂性方面，同时展示其与安全性的关系。复杂性是软件的重要组成部分;然而，许多研究表明，它们增加了软件系统的脆弱性，并在程序中引入错误。许多开发人员在试图理解软件的复杂组件时面临困难。当软件中的对象被用于设计更复杂的对象同时在系统中创建分层复杂性时，软件中的复杂性增加。然而，开发人员有必要努力将复杂性降至最低，因为复杂性的增加会在软件中引入安全风险，这可能会对政府或私人组织造成严重的经济和声誉损失。它甚至对人造成身体伤害，在过去几年中发现了各种安全漏洞导致严重后果的例子。因此，保持结构的低复杂性和简单设计至关重要。不同的开发人员倾向于在系统中引入故意的复杂性，以便他们不必编写相同的程序两次;然而，随着安全性需求的不断增加，软件组织的问题越来越多。
2020-02-10 cs.CR cs.SE
Investigate how developers and managers view security design in software
本文通过采访曾遭受网络攻击的软件团队，分析了7名开发者和2名管理者对安全设计的看法，并将反馈归纳为4个代码以指导安全设计。
2023-10-22 cs.CR cs.CY cs.SE
Trust, but Verify: Evaluating Developer Behavior in Mitigating Security Vulnerabilities in Open-Source Software Projects
本研究调查了开源软件项目依赖项中的漏洞及其与整体安全的关系，发现开发者常将验证器报告误判为误报，并指出减少直接依赖和选用成熟安全库是有效的缓解策略，最终修复了4个漏洞。
2024-08-26 cs.CR
Security Assessment of Software Design using Neural Network
今天，软件应用程序中的安全缺陷主要归因于设计缺陷。由于将软件发布到市场上的预算和时间有限，许多开发人员经常将安全性视为事后的考虑。以前的研究表明，在软件开发生命周期（SDLC）的后期阶段将安全性集成到软件应用程序中，其成本高于在早期阶段集成时的成本。为了帮助集成的安全早期的SDLC阶段，一种新的方法来评估安全性在设计阶段的神经网络本文研究。我们的研究结果表明，通过训练一个反向传播神经网络来识别攻击模式，可能的攻击可以识别从设计方案给它。本文的神经网络的性能的结果。
2013-03-08 cs.CR cs.NE
A Suite of Metrics for Calculating the Most Significant Security Relevant Software Flaw Types
常见弱点枚举（CWE）是软件弱点类型的突出列表。漏洞数据库使用此列表来描述所分析漏洞中的潜在安全缺陷。这种联系使人们有可能利用对软件漏洞的分析来确定造成这些漏洞的最重要的弱点。我们通过创建mashup视图来实现这一点，该视图将CWE弱点分类与漏洞分析数据相结合。生成的图将CWE作为节点，从多个CWE分类中导出的边，以及用漏洞分析信息装饰的节点（从子节点传播到父节点）。使用这些图表，我们开发了一套指标来识别最重要的弱点类型（使用频率，影响，可利用性和整体严重性的角度）。
2020-06-15 cs.CR
Operationalizing Research Software for Supply Chain Security
Purdue University（普渡大学）；Loyola University（洛约拉大学）；University of Alabama（阿拉巴马大学）
本文提出面向研究软件供应链的分类法，通过系统回顾和数据集构建，建立统一的分类体系，并展示如何利用OpenSSF Scorecard分析不同分类簇的安全信号差异。
2026-01-28 cs.CR cs.SE
On the Figures of Merit for Quantum Software Security: Toward a Benchmarking Rubric
University of Jyväskylä（于韦斯屈莱大学）
本文针对量子软件安全未被充分衡量的问题，提出基于ISO/IEC 25010等的结构化安全性能指标集及基准评估准则，为量子软件栈安全基准评估奠定基础。
2026-08-07 cs.CR
Tracking Software Security Topics
Auburn University（奥本大学）；Fulbright University Vietnam（越南富布赖特大学）
针对难以实时跟进软件安全主题的问题，提出了SOSK工具，通过预处理安全报告、提取关键词并基于嵌入向量相似度扩展关键词集，实现有效检索相关报告。
2024-09-27 cs.AI cs.CR cs.IR
An Empirical Security Analysis of Open-Source Software Used in Onboard Satellite Systems
Ben-Gurion University of the Negev（内盖夫本-古里安大学）
本研究通过分析126个开源星载卫星软件仓库，识别出2827项安全发现，其中内存安全与代码质量问题突出，为开源卫星软件生态的安全改进提供了实证依据。
2026-09-15 cs.CR
The current state of security -- Insights from the German software industry
本文通过访谈20家德国软件公司，对比文献中的安全开发理论与实际实施情况，发现企业虽日益重视安全，但相关技术常未完全融入正式标准化流程，为后续深入研究提供了基础。
2024-03-27 cs.CR
Integrated Solution Modeling Software: A New Paradigm on Information Security Review
事实上，信息安全已成为组织无形资产的重要组成部分，因此信任度和利益相关者信任度是组织成功的绩效指标。由于信息安全在支持组织的活动方面起着非常重要的作用，因此我们需要一个规范信息安全治理的标准或基准。本文的主要目的是实现一种新的实用方法框架的信息安全管理系统（ISMS）的评估和监控软件的发展，称为I-SolFramework。系统/软件预计将帮助利益相关者评估其ISO27001合规准备程度，该软件可以帮助利益相关者了解安全控制或通过合规参数调用，更短，更结构化。该案例研究为读者提供了一套指南，旨在易于理解和适用，作为ISMS标准（ISO27001）合规性的测量工具。
2012-04-01 cs.CR cs.SE
An Industry Interview Study of Software Signing for Supply Chain Security
本研究通过访谈18位安全从业者，探讨软件签名在供应链安全中的实践挑战，提出精细化工厂模型，并指出技术、组织与人员障碍及专家分歧。
2025-03-27 cs.CR cs.SE
Quantum Software Security Challenges within Shared Quantum Computing Environments
本文针对量子云通过多道程序设计并行执行程序以提升硬件利用率的趋势，分析共享量子计算环境中由此产生的新型量子软件安全挑战。
2025-07-23 cs.CR quant-ph
Do Software Security Practices Yield Fewer Vulnerabilities?
本研究构建软件安全实践得分与漏洞数的机器学习模型，发现四项实践影响最大，但模型预测R²仅9%-12%，且安全得分高的包报告漏洞反而更多，建议优化相关指标以提供有效安全指导。
2023-06-15 cs.CR cs.SE
Software-based security approach for networked embedded devices
随着物联网（IoT）的不断扩展，数据安全对于确保隐私和安全变得越来越重要，特别是考虑到物联网设备处理的数据的敏感性，有时甚至是关键性。存在用于保护数据的基于硬件的可信执行环境，但是它们与缺乏硬件辅助安全特征的低成本设备不兼容。本文的研究提出了基于软件的保护和加密机制明确设计的嵌入式设备。所提出的架构旨在与低成本、低端设备一起工作，而不需要对底层硬件进行通常的更改。它可以防止硬件攻击，并支持运行时更新，使设备能够在受保护的内存中写入数据。拟议的解决方案是低成本物联网设备的替代数据安全方法，而不会影响性能或功能。我们的工作强调了开发安全且具有成本效益的解决方案以保护物联网环境中的数据的重要性。
2023-03-14 cs.CR
Enhancing CryptoGuards Deployability for Continuous Software Security Scanning
通过敏捷提高开发速度可能会在过程中引入被忽视的安全步骤，例如爱荷华州会议应用程序。要保护社会安全号码等机密信息，需要在所有级别上提供安全性，通过任何连接的应用程序提供保护。CryptoGuard是一个Java静态代码分析器。该程序验证开发人员不会在其应用程序中留下漏洞。该程序通过识别加密滥用（如硬编码密钥、弱程序哈希和使用不安全协议）来帮助开发人员。在我的硕士论文工作中，我为提高CryptoGuard的可部署性、可访问性和可用性做出了几项重要贡献。我扩展了CryptoGuard来扫描源代码和编译代码，创建实时文档，并支持双重云和本地工具套件。我还为CryptoGuard创建了构建工具插件和程序辅助。此外，我还分析了几个与Java相关的调查，其中包括超过50，000名开发人员，并报告了真实世界软件开发人员的有趣的当前实践。
2021-12-13 cs.CR
