软件开发者验证最低标准指南
软件工程
2021-10-08 v2 编程语言
摘要
2021年5月12日第14028号行政命令（EO）“改善国家网络安全”指示美国国家标准与技术研究院（NIST）在60天内推荐软件测试的最低标准。本文档描述了针对软件验证技术的十一项建议，并提供关于这些技术的补充信息及进一步信息的参考文献。其推荐以下技术：用于查找设计级安全问题的威胁建模；用于一致性和最小化人工投入的自动化测试；用于查找顶级缺陷的静态代码扫描；用于查找可能硬编码密钥的启发式工具；使用内置检查与防护；“黑盒”测试用例；基于代码的 structural 测试用例；历史测试用例；模糊测试；若适用则使用Web应用扫描器；处理所包含的代码（库、包、服务）。本文档不涵盖软件验证的全部内容，而是推荐广泛适用且构成最低标准的技术。本文档由NIST与国家安全局（NSA）协商制定。此外，我们通过2021年6月初举行的NIST行政命令研讨会上提交的论文、研讨会讨论以及对若干提交者的后续跟进，收到了众多外部组织的意见。
引用
@article{arxiv.2107.12850,
title = {Guidelines on Minimum Standards for Developer Verification of Software},
author = {Paul E. Black and Barbara Guttman and Vadim Okun},
journal= {arXiv preprint arXiv:2107.12850},
year = {2021}
}
备注
33 pages, 2 figures