面向功能规范的安全需求生成： Incorporating Verification Standards

在当前驱动软件的时代，确保隐私和安全至关重要。尽管如此，软件的安全需求规范仍大多是手动且耗时的。工程师需要基于功能需求（FR）分析潜在安全威胁，这一程序因网络安全专家与软件工程师之间的专业差距而容易遗漏和出错。为弥合这一差距，我们提出了 F2SRD（Function to Security Requirements Derivation），一种从功能规范在相关安全验证需求（VR）指导下自动推导安全需求（SR）的自动化方法。F2SRD 的主要阶段包括：最初，我们开发了一个基于定制 FR 和 VR 配对数据库训练的 VR 检索器，使其能够熟练地从 ASVS 中选择适用的 VR。这一精准检索信息用于精确且可操作地构建 SR。随后，这些 VR 用于构建结构化提示，指导 GPT4 生成 SR。我们的比较分析表明，F2SRD 在产生富有启发性、多样性和特异性等关键属性的 SR 方面表现优于两种既有模型。通过利用安全验证标准，我们相信所生成的 SR 不仅更聚焦，也更能触动工程师的需求。