軟件安全評(píng)測(cè)報(bào)告

    optimizer)采用的是adagrad，batch_size是40。深度神經(jīng)網(wǎng)絡(luò)模型訓(xùn)練基本都是基于梯度下降的，尋找函數(shù)值下降速度**快的方向，沿著下降方向迭代，迅速到達(dá)局部**優(yōu)解的過(guò)程就是梯度下降的過(guò)程。使用訓(xùn)練集中的全部樣本訓(xùn)練一次就是一個(gè)epoch，整個(gè)訓(xùn)練集被使用的總次數(shù)就是epoch的值。epoch值的變化會(huì)影響深度神經(jīng)網(wǎng)絡(luò)的權(quán)重值的更新次數(shù)。本次實(shí)驗(yàn)使用了80％的樣本訓(xùn)練，20％的樣本驗(yàn)證，訓(xùn)練50個(gè)迭代以便于找到較優(yōu)的epoch值。隨著迭代數(shù)的增加，前端融合模型的準(zhǔn)確率變化曲線(xiàn)如圖5所示，模型的對(duì)數(shù)損失變化曲線(xiàn)如圖6所示。從圖5和圖6可以看出，當(dāng)epoch值從0增加到5過(guò)程中，模型的驗(yàn)證準(zhǔn)確率和驗(yàn)證對(duì)數(shù)損失有一定程度的波動(dòng)；當(dāng)epoch值從5到50的過(guò)程中，前端融合模型的訓(xùn)練準(zhǔn)確率和驗(yàn)證準(zhǔn)確率基本不變，訓(xùn)練和驗(yàn)證對(duì)數(shù)損失基本不變；綜合分析圖5和圖6的準(zhǔn)確率和對(duì)數(shù)損失變化曲線(xiàn)，選取epoch的較優(yōu)值為30。確定模型的訓(xùn)練迭代數(shù)為30后，進(jìn)行了10折交叉驗(yàn)證實(shí)驗(yàn)。前端融合模型的10折交叉驗(yàn)證的準(zhǔn)確率是％，對(duì)數(shù)損失是，混淆矩陣如圖7所示，規(guī)范化后的混淆矩陣如圖8所示。前端融合模型的roc曲線(xiàn)如圖9所示，該曲線(xiàn)反映的是隨著檢測(cè)閾值變化下檢測(cè)率與誤報(bào)率之間的關(guān)系曲線(xiàn)。滲透測(cè)試報(bào)告暴露2個(gè)高危API接口需緊急加固。軟件安全評(píng)測(cè)報(bào)告

    這種傳統(tǒng)方式幾乎不能檢測(cè)未知的新的惡意軟件種類(lèi)，能檢測(cè)的已知惡意軟件經(jīng)過(guò)簡(jiǎn)單加殼或混淆后又不能檢測(cè)，且使用多態(tài)變形技術(shù)的惡意軟件在傳播過(guò)程中不斷隨機(jī)的改變著二進(jìn)制文件內(nèi)容，沒(méi)有固定的特征，使用該方法也不能檢測(cè)。新出現(xiàn)的惡意軟件，特別是zero-day惡意軟件，在釋放到互聯(lián)網(wǎng)前，都使用主流的反**軟件測(cè)試，確保主流的反**軟件無(wú)法識(shí)別這些惡意軟件，使得當(dāng)前的反**軟件通常對(duì)它們無(wú)能為力，只有在惡意軟件大規(guī)模傳染后，捕獲到這些惡意軟件樣本，提取簽名和更新簽名庫(kù)，才能檢測(cè)這些惡意軟件?；跀?shù)據(jù)挖掘和機(jī)器學(xué)習(xí)的惡意軟件檢測(cè)方法將可執(zhí)行文件表示成不同抽象層次的特征，使用這些特征來(lái)訓(xùn)練分類(lèi)模型，可實(shí)現(xiàn)惡意軟件的智能檢測(cè)，基于這些特征的檢測(cè)方法也取得了較高的準(zhǔn)確率。受文本分類(lèi)方法的啟發(fā)，研究人員提出了基于二進(jìn)制可執(zhí)行文件字節(jié)碼n-grams的惡意軟件檢測(cè)方法，這類(lèi)方法提取的特征覆蓋了整個(gè)二進(jìn)制可執(zhí)行文件，包括pe文件頭、代碼節(jié)、數(shù)據(jù)節(jié)、導(dǎo)入節(jié)、資源節(jié)等信息，但字節(jié)碼n-grams特征通常沒(méi)有明顯的語(yǔ)義信息，大量具有語(yǔ)義的信息丟失，很多語(yǔ)義信息提取不完整。此外，基于字節(jié)碼n-grams的檢測(cè)方法提取代碼節(jié)信息考慮了機(jī)器指令的操作數(shù)。四川軟件評(píng)測(cè)機(jī)構(gòu)數(shù)據(jù)驅(qū)動(dòng)決策：艾策科技如何提升企業(yè)競(jìng)爭(zhēng)力。

    所以第三方軟件檢測(cè)機(jī)構(gòu)可以說(shuō)是使用loadrunner軟件工具較多的一個(gè)業(yè)務(wù)領(lǐng)域，也能保證軟件測(cè)試報(bào)告結(jié)果的性能準(zhǔn)確。二、軟件測(cè)試漏洞掃描工具在客戶(hù)需要的軟件測(cè)試報(bào)告中，軟件安全的滲透測(cè)試和漏洞掃描一般會(huì)作為信息安全性的軟件測(cè)試報(bào)告內(nèi)容。首先來(lái)說(shuō)一下漏洞掃描的工具，這部分在國(guó)際上有ibm很出名的一個(gè)掃描測(cè)試工具appscan，以及針對(duì)web等的全量化掃描器nessus。國(guó)產(chǎn)的目前的綠盟漏洞掃描設(shè)備也做得非常好，個(gè)人其實(shí)更建議用綠盟的漏洞掃描設(shè)備，規(guī)則全，掃描速度快，測(cè)試報(bào)告也更符合國(guó)情。三、軟件測(cè)試滲透測(cè)試工具滲透測(cè)試屬于第三方軟件檢測(cè)測(cè)評(píng)過(guò)程中的比較專(zhuān)業(yè)的一個(gè)測(cè)試項(xiàng)，對(duì)技術(shù)的要求也比較高，一般使用的工具為burpsuite這個(gè)專(zhuān)業(yè)安全工具，這個(gè)工具挺全能的，不光是安全服務(wù)常用的工具，同樣也認(rèn)可作為軟件滲透測(cè)試的工具輸出。總的來(lái)說(shuō)，第三方軟件檢測(cè)的那些軟件測(cè)試工具，都是為了確保軟件測(cè)試報(bào)告結(jié)果的整體有效性來(lái)進(jìn)行使用，也是第三方檢測(cè)機(jī)構(gòu)作為自主實(shí)驗(yàn)室的這個(gè)性質(zhì)，提供了具備正規(guī)效力的軟件測(cè)試過(guò)程和可靠的第三方檢測(cè)結(jié)果，所以客戶(hù)可以有一個(gè)初步的軟件測(cè)試工具了解，也對(duì)獲取一份有效的第三方軟件測(cè)試報(bào)告的結(jié)果可以有更清楚的認(rèn)識(shí)。

    保留了較多信息，同時(shí)由于操作數(shù)比較隨機(jī)，某種程度上又沒(méi)有抓住主要矛盾，干擾了主要語(yǔ)義信息的提取。pe文件即可移植文件導(dǎo)入節(jié)中的動(dòng)態(tài)鏈接庫(kù)(dll)和應(yīng)用程序接口(api)信息能大致反映軟件的功能和性質(zhì)，通過(guò)一個(gè)可執(zhí)行程序引用的dll和api信息可以粗略的預(yù)測(cè)該程序的功能和行為。belaoued和mazouzi應(yīng)用統(tǒng)計(jì)khi2檢驗(yàn)分析了pe格式的惡意軟件和良性軟件的導(dǎo)入節(jié)中的dll和api信息，分析顯示惡意軟件和良性軟件使用的dll和api信息統(tǒng)計(jì)上有明顯的區(qū)別。后續(xù)的研究人員提出了挖掘dll和api信息的惡意軟件檢測(cè)方法，該類(lèi)方法提取的特征語(yǔ)義信息豐富，但*從二進(jìn)制可執(zhí)行文件的導(dǎo)入節(jié)提取特征，忽略了整個(gè)可執(zhí)行文件的大量信息。惡意軟件和被***二進(jìn)制可執(zhí)行文件格式信息上存在一些異常，這些異常是檢測(cè)惡意軟件的關(guān)鍵。研究人員提出了基于二進(jìn)制可執(zhí)行文件格式結(jié)構(gòu)信息的惡意軟件檢測(cè)方法，這類(lèi)方法從二進(jìn)制可執(zhí)行文件的pe文件頭、節(jié)頭部、資源節(jié)等提取特征，基于這些特征使用機(jī)器學(xué)習(xí)分類(lèi)算法處理，取得了較高的檢測(cè)準(zhǔn)確率。這類(lèi)方法通常不受變形或多態(tài)等混淆技術(shù)影響，提取特征只需要對(duì)pe文件進(jìn)行格式解析，無(wú)需遍歷整個(gè)可執(zhí)行文件，提取特征速度較快。跨設(shè)備測(cè)試報(bào)告指出平板端UI元素存在比例失調(diào)問(wèn)題。

    沒(méi)有滿(mǎn)足用戶(hù)的需求1未達(dá)到需求規(guī)格說(shuō)明書(shū)表明的功能2出現(xiàn)了需求規(guī)格說(shuō)明書(shū)指明不會(huì)出現(xiàn)的錯(cuò)誤3軟件功能超出了需求規(guī)格說(shuō)明書(shū)指明的范圍4軟件質(zhì)量不夠高維護(hù)性移植性效率性可靠性易用性功能性健壯性等5軟件未達(dá)到軟件需求規(guī)格說(shuō)明書(shū)未指出但是應(yīng)該達(dá)到的目標(biāo)計(jì)算器沒(méi)電了下次還得能正常使用6測(cè)試或用戶(hù)覺(jué)得不好軟件缺陷的表現(xiàn)形式1功能沒(méi)有完全實(shí)現(xiàn)2產(chǎn)品的實(shí)際結(jié)果和所期望的結(jié)果不一致3沒(méi)有達(dá)到需求規(guī)格說(shuō)明書(shū)所規(guī)定的的性能指標(biāo)等4運(yùn)行出錯(cuò)斷電運(yùn)行終端系統(tǒng)崩潰5界面排版重點(diǎn)不突出，格式不統(tǒng)一6用戶(hù)不能接受的其他問(wèn)題軟件缺陷產(chǎn)生的原因需求錯(cuò)誤需求記錄錯(cuò)誤設(shè)計(jì)說(shuō)明錯(cuò)誤代碼錯(cuò)誤兼容性錯(cuò)誤時(shí)間不充足缺陷的信息缺陷id缺陷標(biāo)題缺陷嚴(yán)重程度缺陷的優(yōu)先級(jí)缺陷的所屬模塊缺陷的詳細(xì)描述缺陷提交時(shí)間缺陷的嚴(yán)重程度劃分1blocker系統(tǒng)癱瘓異常退出計(jì)算錯(cuò)誤大部分功能不能使用死機(jī)2major功能點(diǎn)不符合用戶(hù)需求數(shù)據(jù)丟失3normal**功能特定調(diào)點(diǎn)斷斷續(xù)續(xù)4Trivial細(xì)小的錯(cuò)誤優(yōu)先級(jí)劃分緊急高中低。對(duì)比分析顯示資源占用率高于同類(lèi)產(chǎn)品均值26%。軟件cnas測(cè)試報(bào)告

深圳艾策信息科技：打造智慧供應(yīng)鏈的關(guān)鍵技術(shù)。軟件安全評(píng)測(cè)報(bào)告

    置環(huán)境操作系統(tǒng)+服務(wù)器+數(shù)據(jù)庫(kù)+軟件依賴(lài)5執(zhí)行用例6回歸測(cè)試及缺陷**7輸出測(cè)試報(bào)告8測(cè)試結(jié)束軟件架構(gòu)BSbrowser瀏覽器+server服務(wù)器CSclient客戶(hù)端+server服務(wù)器1標(biāo)準(zhǔn)上BS是在服務(wù)器和瀏覽器都存在的基礎(chǔ)上開(kāi)發(fā)2效率BS中負(fù)擔(dān)在服務(wù)器上CS中的客戶(hù)端會(huì)分擔(dān)，CS效率更高3安全BS數(shù)據(jù)依靠http協(xié)議進(jìn)行明文輸出不安全4升級(jí)上bs更簡(jiǎn)便5開(kāi)發(fā)成本bs更簡(jiǎn)單cs需要客戶(hù)端安卓和ios軟件開(kāi)發(fā)模型瀑布模型1需求分析2功能設(shè)計(jì)3編寫(xiě)代碼4功能實(shí)現(xiàn)切入點(diǎn)5軟件測(cè)試需求變更6完成7上線(xiàn)維護(hù)是一種線(xiàn)性模型的一種，是其他開(kāi)發(fā)模型的基礎(chǔ)測(cè)試的切入點(diǎn)要留下足夠的時(shí)間可能導(dǎo)致測(cè)試不充分，上線(xiàn)后才暴露***開(kāi)發(fā)的各個(gè)階段比較清晰需求調(diào)查適合需求穩(wěn)定的產(chǎn)品開(kāi)發(fā)當(dāng)前一階段完成后，您只需要去關(guān)注后續(xù)階段可在迭代模型中應(yīng)用瀑布模型可以節(jié)省大量的時(shí)間和金錢(qián)缺點(diǎn)1）各個(gè)階段的劃分完全固定，階段之間產(chǎn)生大量的文檔，極大地增加了工作量。2）由于開(kāi)發(fā)模型是線(xiàn)性的，用戶(hù)只有等到整個(gè)過(guò)程的末期才能見(jiàn)到開(kāi)發(fā)成果，從而增加了開(kāi)發(fā)風(fēng)險(xiǎn)。3）通過(guò)過(guò)多的強(qiáng)制完成日期和里程碑來(lái)**各個(gè)項(xiàng)目階段。4）瀑布模型的突出缺點(diǎn)是不適應(yīng)用戶(hù)需求的變化瀑布模型強(qiáng)調(diào)文檔的作用，并要求每個(gè)階段都要仔細(xì)驗(yàn)證。軟件安全評(píng)測(cè)報(bào)告