软件供应链污染机理与防御研究

发布时间：2020-07-10 15:23

【摘要】：在飞速发展的计算机与互联网时代,软件成为人们生活、工作中不可或缺的一部分。软件与用户息息相关,软件安全也与用户信息安全有着密切联系。软件安全是安全研究领域中一项重要的研究内容。传统针对软件的攻击通常是以软件自身为攻击目标,利用软件存在的安全漏洞进行攻击。近年来,一种新型的针对软件的攻击方式逐渐出现在大众的视野并呈现快速上涨的趋势,称为软件供应链污染。在这种攻击方式中,攻击者将关注焦点从软件自身漏洞转移到软件供应链,发掘软件供应链中攻击面,以此为切入点实现软件污染,致使用户下载或使用了非预期的软件,最后非预期软件还能引发诸如信息窃取、DDoS等后续攻击。研究软件供应链污染机理与防御技术,能够从软件供应链角度研究软件安全问题,保护软件安全,从而保护广大用户的信息安全。本文首先介绍软件供应链方面的研究背景和研究现状,指出当前软件供应链安全问题亟待解决。其次,本文从软件供应污染定义、威胁模型、分类与关键技术等方面对软件供应链污染的机理进行研究。基于已有研究基础(软件供应链定义、软件供应链污染案例等),提出软件供应链污染定义;进行威胁识别与威胁建模,得出软件供应链污染威胁模型;通过多角度对软件供应链污染进行分类;从案例中分析总结出软件供应链污染关键技术与攻击模式,通过概念验证实验证明可用性与普适性,进而揭示当前软件供应链存在大量隐患。最后,本文对软件供应链污染进行防御研究,包括通用策略与针对性算法设计两部分。在通用策略部分,对参与软件供应链的不同角色提出对应防御方案。在针对性算法设计部分,以WordPress主题污染为实际的落脚点,针对性研究案例的特殊规律与现象,设计基于相似性分析的恶意代码检测算法,并通过实验证明算法的有效性与优越性。
【学位授予单位】：北京邮电大学
【学位级别】：硕士
【学位授予年份】：2018
【分类号】：F274;TP393.08
【图文】：

浏览器软件,漏洞,绪论,网络攻击

第一章绪论第一章绪论逡逑究背景逡逑安全概况逡逑计算机世界中占据重要位置，各式各样的软件提供不同的功能，不仅便利，也极大地提高用户的工作效率与生产力。软件与用户密不可分网络攻击也因此往往能造成巨大的影响。《赛门铁克互联网安全威，２０１６年日均检测到２２９０００余次网络攻击，主要攻击目标包括浏线网站等。特别地，仅针对浏览器而言，２０１６年全年共发现８８８个现２．４个漏洞。逡逑Ｏｅｒａ逡逑

供应链,软件,安全事件,统计图

逦２０１５逦２０１６逡逑图１－１邋２０１４－２０１６年浏览器软件漏洞数量逡逑传统针对软件攻击主要利用软件的安全漏洞，与此同时，新型的以供应链为切入逡逑点的软件供应链污染正逐渐兴起。２０１５年９月，ＸｃｏｄｅＧｈｏｓｔ事件１２，３］爆发，超过８００逡逑个不同版本的苹果软件被感染恶意代码，该事件影响了中国近一亿苹果手机用户。攻逡逑击者通过向苹果手机ＡＰＰ开发工具Ｘｃｏｄｅ注入病毒，使得所有使用该工具开发的逡逑ＡＰＰ都携带病毒。由ＸｃｏｄｅＧｈｏｓｔ事件引发的软件供应链安全问题受到广泛关注，软逡逑件供应链污染首次进入了大众的视野。逡逑２０１６年与２０１７年，软件供应链污染安全事件更是被频繁报道。根据３６０天眼实逡逑验室的《软件供应链来源攻击分析报告》１４１，近五年来公开报道过３０起软件供应链逡逑１逡逑

示意图,供应链,软件,示意图

逦２０１７逦２０１８逡逑图１－２软件供应链污染安全事件统计图逡逑１．１．２软件供应链概念逡逑传统意义的供应链［５］是指商品到达消费者手中之前各相关者的连接或业务的衔逡逑接，是围绕核心企业，通过对信息流，物流，资金流的控制，从采购原材料开始，制逡逑成中间产品以及最终产品，最后由销售网络把产品送到消费者手中的一个．由供应商，逡逑制造商，分销商，零售商直到最终用户连成的整体功能网链结构。逡逑根据传统意义供应链的定义进行衍生与推广，软件供应链可定义为：软件供应链逡逑是指软件从软件供应商到达用户手中并被用户使用的整个过程中相关环节的连接，逡逑从软件设计^u始，到代码编写与软件生成，再到软件分发与用户下载，并最终由用户逡逑使用的一个软件供应商与软件用户之间

【相似文献】