12、安全案例自动化：保障系统安全的有效途径

安全案例自动化：保障系统安全的有效途径

1. 核心证据与方法概述

Soteria++ 可生成用于论证安全与安全相关的具体证据。其提出了一种利用基于模型的架构分析（MBAA）生成的证据来构建安全案例片段的方法，该方法会考虑组件级的常见攻击模式枚举与分类（CAPEC）威胁以及美国国家标准与技术研究院（NIST）-800 - 53 防御措施。通过无人包裹递送无人机模型的案例研究，证明了该方法的有效性。

2. 增强目标结构化表示法（GSN）

GSN 模式在安全案例开发中被广泛应用，它通过目标、策略、上下文、假设、理由和解决方案等主要元素，以依赖图节点的形式对保证案例论证进行图形化表示。本工作对传统 GSN 进行了增强，为设计者和认证者传达更多信息。具体做法是纳入额外的节点元数据，为缺陷检测提供增强的视觉辅助，并生成带有工具提示和可点击链接的交互式保证案例片段。这些元数据还将保证案例片段与 VERDICT 的 MBAA 功能生成的工件和证据相连接，建立了形式分析与结构化保证论证之间的连贯联系。

此外，增强的 GSN 模式在处理无法用证据证实声明的情况时，会生成“不完整”的 GSN 片段。为实现这一点，通过为目标和策略节点指定颜色来增强视觉辅助，规则如下：
- 若解决方案无法证实其父节点，则该节点标记为红色；否则标记为绿色。
- 若目标或策略节点至少有一个支持的红色节点，则该节点标记为红色；否则标记为绿色。

3. 安全保证案例模式

保证案例模式是预定义的模板，可用于构建保证案例。为了从 VERDICT 工具链自动生成保证案例片段，创建了一个模式库。这些模式可利用 Soteria++ 生成的证据表达关于网络