12、安全风险分析与测试语言：MoRA与CORAL

安全风险分析与测试语言：MoRA与CORAL

1 MoRA安全风险分析方法概述

1.1 方法简介

MoRA安全风险分析方法是一种系统性的风险评估方式。该方法通过对开发中的系统进行建模，并结合适用于特定应用领域的评估模型，来识别和评估安全风险。

1.2 确定保护需求的实用指南

• 指南一：系统地识别安全目标 ：基于MoRA对开发中系统的建模技术以及针对应用领域定制的评估模型，能够系统地识别安全目标。
• 指南二：合并安全目标 ：通过对已记录的安全目标和系统模型的属性应用规则，将安全目标进行系统合并，以获得更易于理解和管理的安全目标集合，为安全风险分析的后续阶段提供输入。
• 指南三：验证安全目标 ：同样基于上述属性应用规则，验证已记录的安全目标相对于系统模型的正确性和完整性。

1.3 实际应用案例

在多个工业开发项目中应用了MoRA方法和相关指南。通过实践发现，该方法能够使相关人员对主题有良好的理解，并产生可重复和易于理解的评估结果。例如，与应用领域的安全专家独立对同一系统进行安全风险分析，两者识别出的风险集合和估计结果相似，但在某一风险的评估上存在差异。通过MoRA方法，能够轻松追溯和解释这种差异，原来是错误地假设系统包含业务关键数据，从而可以根据应用领域的知识解决这一差异。

2 CORAL语言介绍

2.1 语言背景

安全测试人员面临着确定最有可能揭示严重安全漏洞的测