CN111382444B - 软件安全检测系统及软件安全检测方法 - Google Patents

Abstract

一种软件安全检测系统及软件安全检测方法，其中软件安全检测系统包含软件检测装置以及开放数据检测装置。软件检测装置用以接收软件，对软件进行分类，并以相应于软件的类型的第一程序对软件的原始码进行检测，或软件检测装置以相应于软件的类型的第二程序对软件的至少一参数传递的关系进行检测，若软件的原始码异常或软件的至少一参数传递的关系异常，则软件检测装置输出异常信号。开放数据检测装置用以向数据库取得多个开放数据的多个安全漏洞，并检测软件是否包含该些开放数据的其中一者，若软件包含该些开放数据的其中一者，则开放数据检测装置输出开放原始码提醒信号。

Description

软件安全检测系统及软件安全检测方法

技术领域

本公开涉及一种检测系统及检测方法，且特别涉及一种软件安全检测系统及软件安全检测方法。

背景技术

开发与营运管理(Development and Operation(DevOps))为软件开发人员与信息科技维运人员间的合作模式，在此合作模式下，再通过CICD(Continuous Integrate/Continuous Delivery)，使得软件开发人员专注于软件开发，并可兼顾品质。然而，现有的DevOps并未考量到安全部分，造成软件产品的安全隐忧。

发明内容

发明内容旨在提供本公开内容的简化摘要，以使阅读者对本公开内容具备基本的理解。此发明内容并非本公开内容的完整概述，且其用意并非在指出本公开实施例的重要/关键元件或界定本公开的范围。

本公开内容的一目的是在提供一种软件安全检测系统及软件安全检测方法，借此改善现有技术的问题。

为达上述目的，本公开内容的一技术实施方式涉及一软件安全检测系统。软件安全检测系统包含软件检测装置以及开放数据检测装置。软件检测装置用以接收一软件，其中软件检测装置对软件进行分类，并以相应于软件的类型的第一程序对软件的原始码进行检测，或软件检测装置以相应于软件的类型的第二程序对软件的至少一参数传递的关系进行检测，其中若软件的原始码异常或软件的至少一参数传递的关系异常，则软件检测装置输出一异常信号。开放数据检测装置用以向数据库取得多个开放数据的多个安全漏洞，并检测软件是否包含该些开放数据的其中一者，若软件包含该些开放数据的其中一者，则开放数据检测装置输出一开放原始码提醒信号。

为达上述目的，本公开内容的另一技术实施方式涉及一种软件安全检测方法。软件安全检测方法包含：接收一软件，并对软件进行分类；利用相应于软件的类型的第一程序对软件的原始码进行检测，或利用相应于软件的类型的第二程序对软件的至少一参数传递的关系进行检测；若软件的原始码异常或软件的至少一参数传递的关系异常，则输出一异常信号；向数据库取得多个开放数据的多个安全漏洞，并检测软件是否包含该些开放数据的其中一者；以及若软件包含该些开放数据的其中一者，则输出一开放原始码提醒信号。

因此，根据本公开的技术内容，采用本公开实施例所示的软件安全检测系统及软件安全检测方法，得以避免开发与营运管理并未考量到安全部分，造成软件产品的安全隐忧的问题。

在参阅下文实施方式后，本公开所属技术领域中技术人员当可轻易了解本公开的基本构思及其他发明目的，以及本公开所采用的技术手段与实施实施方式。

附图说明

为让本公开的上述和其他目的、特征、优点与实施例能更明显易懂，说明书附图的说明如下：

图1A是依照本公开一实施例示出一种软件安全检测系统的电路方框示意图。

图1B是依照本公开一实施例示出一种如图1A所示的软件安全检测系统的软件检测装置的示意图。

图2示出依照本公开另一实施方式的一种软件安全检测方法的流程图。

根据惯常的作业方式，图中各种特征与元件并未依比例绘制，其绘制方式是为了以最佳的方式呈现与本公开相关的具体特征与元件。此外，在不同附图间，以相同或相似的元件符号来指称相似的元件/部件。

附图标记说明：

100：软件安全检测系统

110：软件版本控制装置

120：软件检测装置

121：文件名称获取器

122：原始码函式库识别器

123：Manifest文件获取器

124：版本识别器

125：Manifest清单比较器

126：软件标号器

127：软件元件

1271：主原始码

1272：函式库文件

1273：软件外部文件

128：软件元件清单

130：开放数据检测装置

200：方法

210、220、230、240、250：步骤

500：电子装置

600：数据库

具体实施方式

为了使本公开内容的叙述更加详尽与完备，下文针对了本公开的实施实施方式与具体实施例提出了说明性的描述；但这并非实施或运用本公开具体实施例的唯一形式。实施方式中涵盖了多个具体实施例的特征以及用以建构与操作这些具体实施例的方法步骤与其顺序。然而，亦可利用其他具体实施例来实现相同或均等的功能与步骤顺序。

除非本说明书另有定义，此处所用的科学与技术词汇的含义与本公开所属技术领域中技术人员所理解与惯用的意义相同。此外，在不和上下文冲突的情形下，本说明书所用的单数名词涵盖该名词的复数型；而所用的复数名词时亦涵盖该名词的单数型。

另外，关于本文中所使用的“耦接”，可指二或多个元件相互直接作实体或电性接触，或是相互间接作实体或电性接触，亦可指二或多个元件相互操作或动作。

图1A是依照本公开一实施例示出一种软件安全检测系统100的示意图。如图所示，软件安全检测系统100包含软件检测装置120及开放数据检测装置130。于连接关系上，软件检测装置120通信耦接于开放数据检测装置130。

于操作关系上，软件检测装置120用以接收软件，由软件检测装置120对软件进行分类，并以相应于软件的类型的程序对软件的原始码(source code)进行检测，或者，软件检测装置120以相应于软件的类型的程序对软件的至少一参数传递的关系进行检测，若软件的原始码异常或软件的至少一参数传递的关系异常，则软件检测装置120输出异常信号。在一实施例中，软件的原始码包含开发者数据，因此，软件检测装置120可依据开发者数据以通知开发者。举例而言，软件检测装置120可依据开发者数据以输出异常信号至开发者所使用的电子装置500来通知开发者。

在一实施例中，软件检测装置120接收原始码或是原始码加函式库(library)的文件，函式库有可能会是经过编译的.o、.so、.DLL或.a档。在另一实施例中，上述由软件检测装置120对软件进行分类的做法是对原始码或是原始码加函式库进行编译，若成功，就会由软件检测装置120进行原始码的检测以及参数传递的关系测试(如输入/输出的关系测试)。

在另一实施例中，开放数据检测装置130用以向数据库600取得多个开放数据的多个安全漏洞，并检测软件是否包含该些开放数据的其中一者，若软件包含该些开放数据的其中一者，则开放数据检测装置130输出开放原始码提醒信号。在一实施例中，软件的原始码包含开发者数据，因此，开放数据检测装置130可依据开发者数据以通知开发者。举例而言，开放数据检测装置130可依据开发者数据以输出开放原始码提醒信号至开发者所使用的电子装置500来通知开发者。在其余实施例中，如图1A所示，软件安全检测系统100尚包含软件版本控制(Version Control)装置110，以维护原始码的变动。需说明的是，本公开不以图1A所示的软件安全检测系统100的实施例为限，软件安全检测系统100的内部元件可通过网络相互通信耦接，软件安全检测系统100亦可通过网络耦接于电子装置500及数据库600，再者，上述实施例的数量、配置……等等关系亦可依据实际需求来加以设定。

在一实施例中，软件检测装置120以相应的程序对软件的原始码进行检测，以检测原始码是否包含异常信息，若软件的原始码包含异常信息，则软件检测装置120输出异常信号。举例而言，若原始码内含密码……等异常信息，则可能导致安全上的疑虑，本公开的软件检测装置120能以相应的程序对软件的原始码进行检测，以检测原始码是否内含密码，倘若检测结果为原始码确实内含密码，则软件检测装置120可依据开发者数据以输出异常信号至开发者所使用的电子装置500来通知开发者。

在另一实施例中，至少一参数传递的关系包含软件的参数输入与参数输出的关系，软件检测装置120以相应的程序对软件的参数输入与参数输出的关系进行检测，若软件的参数输入与参数输出的关系异常，则软件检测装置120输出异常信号。举例而言，若软件的参数输入与参数输出的关系异常，亦代表此软件有安全之虞，本公开的软件检测装置120能以相应的程序对软件的参数输入与参数输出的关系进行检测，倘若软件的参数输入与参数输出的关系异常，则软件检测装置120可依据开发者数据以输出异常信号至开发者所使用的电子装置500来通知开发者。

在一实施例中，数据库600可为一外部数据库，开放数据检测装置130对软件进行的开放数据的检测即是从外部数据库600取得数据，以进行检测。此外，目前是对上述实施例所提到的原始码进行字元上的扫描或是对函式库的名称进行比对，来确认所使用的开放数据授权(Open Source License)。

在另一实施例中，数据库600会实时更新多个开放数据的安全漏洞。举例而言，一旦开放数据发现安全漏洞，会实时通知数据库600，或者由数据库600实时取得开放数据具有安全漏洞的信息，因此，数据库600可据以实时更新多个开放数据的安全漏洞。如此一来，开放数据检测装置130可依据数据库600内更新/最新的开放数据的安全漏洞来检测软件，若软件包含更新/最新的开放数据，表示软件包含了相应的安全漏洞，此时，开放数据检测装置130可依据开发者数据以输出开放原始码提醒信号至开发者所使用的电子装置500来通知开发者，进一步确保软件未使用具有安全漏洞的开放数据，而能避免安全上的疑虑。

图1B是依照本公开一实施例示出一种如图1A所示的软件安全检测系统100的软件检测装置120的示意图。如图所示，软件检测装置120包含但不限于文件名称获取器121、原始码函式库识别器122、Manifest文件获取器123、版本识别器124、Manifest清单比较器125、软件标号器126、软件元件127以及软件元件清单128。于连接关系上，文件名称获取器121及原始码函式库识别器122耦接于版本识别器124，Manifest文件获取器123耦接于Manifest清单比较器125以及软件标号器126，版本识别器124耦接于Manifest清单比较器125以及软件标号器126。

于操作关系上，图1B所示的元件可用于软件的分类/识别。上述文件名称获取器121用以获取软件内包含的所有文件的文件名(档名)，原始码函式库识别器122用以识别原始码所使用的函式库为何。取得文件名与函式库后，由版本识别器124识别软件的名称及其版本。此外，Manifest文件获取器123用以获取软件内的Manifest文件，倘若版本识别器124识别不出软件的版本，则由Manifest清单比较器125用以与软件内的Manifest文件做比对。另外，倘若软件内无Manifest文件，则由软件标号器126进行软件的标号。待软件通过上述分类方式分类完成后，软件元件127将输出文件(包含主原始码1271、函式库文件1272及软件外部文件1273)，由软件检测装置120通过相应的程序对其进行检测。再者，软件元件清单128将输出软件元件清单(包含名称及版本)，由开放数据检测装置130(例如主动弱点管理(Proactive Vulnerability Management,PVM)装置)来扫描已知的开放数据的漏洞。

图2示出依照本公开另一实施方式的一种软件安全检测方法200的流程图。为使软件安全检测方法200易于理解，请一并参阅图1A示出的软件安全检测系统100。软件安全检测方法200包含以下步骤：

S210：接收软件，并对软件进行分类；

S220：利用相应于软件的类型的第一程序对软件的原始码进行检测，或利用相应于软件的类型的第二程序对软件的至少一参数传递的关系进行检测；

S230：若软件的原始码异常或软件的输入信息及输出信息的关系异常，则输出一异常信号；

S240：向数据库取得多个开放数据的多个安全漏洞，并检测软件是否包含该些开放数据的其中一者；以及

S250：若软件包含该些开放数据的其中一者，则输出一开放原始码提醒信号。

请一并参阅图1A与图2，在步骤S210中，可由软件检测装置120接收软件，并对软件进行分类。在步骤S220中，可由软件检测装置120利用相应于软件的类型的第一程序对软件的原始码进行检测，或者，可由软件检测装置120利用相应于软件的类型的第二程序对软件的至少一参数传递的关系进行检测。

在步骤S230中，若软件的原始码异常或软件的至少一参数传递的关系异常，则可由软件检测装置120输出异常信号。在步骤S240中，可由开放数据检测装置130用以向数据库600取得多个开放数据的多个安全漏洞，并检测软件是否包含该些开放数据的其中一者。在步骤S250中，若软件包含该些开放数据的其中一者，则可由开放数据检测装置130输出开放原始码提醒信号。

在一实施例中，利用相应于软件的类型的第一程序对软件的原始码进行检测的步骤包含：可由软件检测装置120利用相应于软件的类型的第一程序对软件的原始码进行检测，以检测原始码是否包含异常信息。若软件的原始码异常，则输出异常信号的步骤包含：若软件的原始码包含异常信息，则可由软件检测装置120输出异常信号。

在另一实施例中，至少一参数传递的关系包含软件的参数输入与参数输出的关系。利用相应于软件的类型的第二程序对软件的至少一参数传递的关系进行检测的步骤包含：可由软件检测装置120利用相应于软件的类型的第二程序对软件的参数输入与参数输出的关系进行检测。若软件的至少一参数传递的关系异常，则输出异常信号的步骤包含：若软件的参数输入与参数输出的关系异常，则可由软件检测装置120输出异常信号。

数据库600会实时更新多个开放数据的安全漏洞。举例而言，数据库600可为一外部数据库，一旦开放数据发现安全漏洞，会实时通知数据库600，或者由数据库600实时取得开放数据具有安全漏洞的信息，因此，数据库600可据以实时更新多个开放数据的安全漏洞。

在另一实施例中，向数据库取得该些开放数据的该些安全漏洞，并检测软件是否包含该些开放数据的其中一者的步骤包含：可由开放数据检测装置130向数据库600取得更新/最新的开放数据的安全漏洞，并检测软件是否包含更新/最新的开放数据，若软件包含更新/最新的开放数据，表示软件包含了相应的安全漏洞，此时，可由开放数据检测装置130依据开发者数据以输出开放原始码提醒信号至开发者所使用的电子装置500来通知开发者，进一步确保软件未使用具有安全漏洞的开放数据，而能避免安全上的疑虑。

由上述本公开实施方式可知，应用本公开具有下列优点。本公开实施例提供一种软件安全检测系统及软件安全检测方法，以避免开发与营运管理并未考量到安全部分，造成软件产品的安全隐忧的问题。

虽然上文实施方式中公开了本公开的具体实施例，然其并非用以限定本公开，本公开所属技术领域中技术人员，在不悖离本公开的原理与构思的情形下，当可对其进行各种变动与修饰，因此本公开的保护范围当以附随权利要求所界定者为准。

Claims (8)

1.一种软件安全检测系统，包含：

一软件检测装置，用以接收一软件，其中该软件检测装置对该软件进行分类，并以相应于该软件的类型的一第一程序对该软件的一原始码进行检测，或该软件检测装置以相应于该软件的类型的一第二程序对该软件的至少一参数传递的关系进行检测，其中若该软件的该原始码异常或该软件的该至少一参数传递的关系异常，则该软件检测装置输出一异常信号；以及

一开放数据检测装置，用以向一数据库取得多个开放数据的多个安全漏洞，并检测该软件是否包含所述多个开放数据的其中一者，其中若该软件包含所述多个开放数据的其中一者，则该开放数据检测装置输出一开放原始码提醒信号，

其中该软件检测装置接收原始码或者原始码加函式库的文件，由该软件检测装置对软件进行分类的做法是对原始码或者原始码加函式库进行编译，若成功，则由该软件检测装置对原始码进行检测以及对参数传递的关系进行测试，

其中该数据库实时更新所述多个开放数据的所述多个安全漏洞。

2.如权利要求1所述的软件安全检测系统，其中该软件检测装置以该第一程序对该软件的该原始码进行检测，以检测该原始码是否包含一异常信息，其中若该软件的该原始码包含该异常信息，则该软件检测装置输出该异常信号。

3.如权利要求1所述的软件安全检测系统，其中该至少一参数传递的关系包含该软件的一参数输入与一参数输出的关系，该软件检测装置以该第二程序对该软件的该参数输入与该参数输出的关系进行检测，其中若该软件的该参数输入与该参数输出的关系异常，则该软件检测装置输出该异常信号。

4.如权利要求1所述的软件安全检测系统，其中该开放数据检测装置用以向该数据库取得更新的所述多个开放数据的所述多个安全漏洞，并检测该软件是否包含更新的所述多个开放数据的其中一者，其中若该软件包含更新的所述多个开放数据的其中一者，则该开放数据检测装置输出该开放原始码提醒信号。

5.一种软件安全检测方法，包含：

接收一软件，并对该软件进行分类；

利用相应于该软件的类型的一第一程序对该软件的一原始码进行检测，或利用相应于该软件的类型的一第二程序对该软件的至少一参数传递的关系进行检测；

若该软件的该原始码异常或该软件的该至少一参数传递的关系异常，则输出一异常信号；

向一数据库取得多个开放数据的多个安全漏洞，并检测该软件是否包含所述多个开放数据的其中一者；以及

若该软件包含所述多个开放数据的其中一者，则输出一开放原始码提醒信号，

其中该软件为原始码或者原始码加函式库的文件，对软件进行分类的做法是对原始码或者原始码加函式库进行编译，若成功，则对原始码进行检测以及对参数传递的关系进行测试，

其中该数据库实时更新所述多个开放数据的所述多个安全漏洞。

6.如权利要求5所述的软件安全检测方法，其中利用相应于该软件的类型的该第一程序对该软件的该原始码进行检测的步骤包含：

利用相应于该软件的类型的该第一程序对该软件的该原始码进行检测，以检测该原始码是否包含一异常信息；

其中若该软件的该原始码异常，则输出该异常信号的步骤包含：

若该软件的该原始码包含该异常信息，则输出该异常信号。

7.如权利要求5所述的软件安全检测方法，其中该至少一参数传递的关系包含该软件的一参数输入与一参数输出的关系，其中利用相应于该软件的类型的该第二程序对该软件的该至少一参数传递的关系进行检测的步骤包含：

利用相应于该软件的类型的该第二程序对该软件的该参数输入与该参数输出的关系进行检测；

其中若该软件的该至少一参数传递的关系异常，则输出该异常信号的步骤包含：

若该软件的该参数输入与该参数输出的关系异常，则输出该异常信号。

8.如权利要求5所述的软件安全检测方法，其中向该数据库取得所述多个开放数据的所述多个安全漏洞，并检测该软件是否包含所述多个开放数据的其中一者的步骤包含：

向该数据库取得更新的所述多个开放数据的所述多个安全漏洞，并检测该软件是否包含更新的所述多个开放数据的其中一者。