Printsiplar, siyosatlar va himoya Dasturiy ta'minot xavfsizligi

6.3.3.4 Noqonuniylikni baholash
75
LibFuzzer [32]] kabi mavjud yondashuvlar tahlilchidan murakkab
funksiyalarni noaniq qilish uchun zarur holatni yaratish uchun kutubxona
funksiyalarini yaroqli ketma-ketlikda chaqiradigan test dasturini
tayyorlashni talab qiladi .
Machine Translated by Google

---

Buzilgan ma'lumotlarning aniqligini aniqlash va aniqlangan
xatolar sonini to'g'ri hisoblash uchun asosiy haqiqat kerak .
Asl haqiqatga ega benchmark to'plami yordam beradi.
• Xiralashgan kampaniyalar odatda bir necha kundan bir necha
haftagacha amalga oshiriladi. Bir necha soatlik bajarilish vaqtiga
asoslangan turli mexanizmlarni solishtirish etarli emas. Noqulaylik
kamida 24 soat, balki undan ham ko'proq vaqt davomida
baholanishi kerak.
Fuzzing hozirda dasturiy ta'minot xavfsizligi bo'yicha juda qizg'in
tadqiqot sohasi bo'lib, har birida bir nechta yangi texnikalar taqdim etiladi
6 Mudofaa strategiyasi
• Fyuzerni baholash uchun bitta maqsad etarli emas. Buning o'rniga,
berilgan konfiguratsiyaning afzalliklari va kamchiliklarini ta'kidlash
uchun fuzzerlarni maqsadli dasturlarning keng to'plamida
baholash kerak .
• Evristika samaradorlikni o'lchashning yagona usuli sifatida
qo'llanilmaydi. Masalan, ishdan chiqqan ma'lumotlarni yig'ish yoki
hatto steklarni yig'ish xatolarni aniq aniqlamaydi.
• Urug'larni tanlash hujjatlashtirilgan bo'lishi kerak, chunki har xil
urug'lar turli xil boshlang'ich konfiguratsiyalarni ta'minlaydi va
barcha texnikalar har xil urug'lik xususiyatlariga bir xil darajada
bardosh bera olmaydi .
6.3.3.5 Kelajakdagi fuzzing ishlari
• Fuzzing jarayonidagi tasodifiylik tufayli bitta bajarilish etarli emas .
Turli mexanizmlarni baholash uchun biz shovqinni o'lchash uchun
bir nechta sinovlar va statistik testlarni talab qilamiz.
76
Machine Translated by Google

---

yuqori darajadagi xavfsizlik konferentsiyasi. Tadqiqot yo'nalishlarini
ma'lumotlar ishlab chiqarishni yaxshilash, har bir bajarilish uchun
samaradorlik ta'sirini kamaytirish, xavfsizlik buzilishlarini yaxshiroq
aniqlash yoki yadroning noaniqlanishi yoki apparatning noaniqligi kabi
yangi domenlarga fuzzingni surish bo'yicha guruhlash mumkin. Bu
sohalarning barchasi hayajonli yangi o'lchovlardir va fuzzingni qanday
yaxshilash mumkinligini ko'rish qiziqarli bo'ladi.
Statik tahlil usullari ma'lum siyosatning buzilishi uchun manba kodini
(yoki ikkilik) tahlil qiladi . Statik tahlil ramkalari odatda turli xil turlarini
aniqlash uchun keng texnikalar to'plamini birlashtiradi
So'nggi paytlarda fuzzingning ulkan yaxshilanishini hisobga olsak,
kelajakda hayajonli yangi natijalar bo'ladi. Fuzzing kodni ishlab
chiqishda xatoliklarni topish orqali tizimlarimizni yanada xavfsizroq
qilishga yordam beradi, ular tarqatish vaqtida har qanday zarar keltirishi mumkin.