A Security Verification Framework for SysML Activity Diagrams
Un cadre de vérification de la sécurité pour les diagrammes d'activité SysML
Résumé
UML and SysML play a central role in modern software and systems engineering. They are considered as the de facto standard for modeling software and systems. Today’s systems are created from a myriad of interacting parts that are combined to produce visible behavior. The main difficulty arises from the different ways in modeling each component and the way they interact with each other. Moreover, nowadays secure software has become an essential part in industrial development. One challenge in academia as well as in industry is to produce a secure product. Another challenge is to prove its correctness especially when the software environment is imprecise and uncertain. The aim of this thesis is to provide a practical and formal framework that enables security risk assessment and security requirements verification on a system modeled as a
composition of UML/SysML behavioral diagrams. Our main contribution is a novel approach to automatically verify security of systems on their design models based on security requirements, probabilistic adversarial interactions between potential attackers and the system’s models. These structures are shaped to provide an elegant way to define the combination between different kinds of diagrams. We rely on stochastic security templates to specify security properties and a standard catalogue of attack patterns to build a library
of attacks design patterns. The result of the interaction between selected attack scenarios and the composed diagrams with the instantiated security properties are used to quantify security risk by applying probabilistic model-checker. To handle the verification process scalability, our approach allows the verification of large system efficiently by optimizing and avoiding the global model construction. To demonstrate the effectiveness of our approach, we apply our methodology on academia as well as industrial benchmarks.
UML et SysML jouent un rôle central dans l'ingénierie moderne du logiciel et des systèmes, étant considérés comme la norme de facto pour la modélisation de ces derniers. Les systèmes actuels sont composés d'une myriade de composants interactifs, dont la complexité réside dans les différentes manières de les modéliser et de décrire leurs interactions. De plus, la sécurité du logiciel est devenue un élément essentiel dans le développement industriel. Les défis, tant académiques qu'industriels, sont de produire un produit sécurisé et d'en prouver la justesse, surtout lorsque l'environnement logiciel est imprécis et incertain.
L'objectif de cette thèse est de fournir un cadre pratique et formel permettant l'évaluation des risques de sécurité et la vérification des exigences de sécurité dans un système modélisé comme une composition de diagrammes comportementaux UML/SysML. Notre principale contribution est une nouvelle approche pour vérifier automatiquement la sécurité des systèmes sur leurs modèles de conception, en se basant sur des exigences de sécurité, des interactions adverses probabilistes entre des attaquants potentiels et les modèles du système. Ces structures sont conçues pour offrir une manière élégante de définir la combinaison entre différents types de diagrammes.
Nous utilisons des modèles de sécurité stochastiques pour spécifier les propriétés de sécurité et un catalogue standard de schémas d'attaque pour construire une bibliothèque de modèles de conception d'attaques. Le résultat de l'interaction entre les scénarios d'attaque sélectionnés et les diagrammes composés avec les propriétés de sécurité instanciées est utilisé pour quantifier le risque de sécurité en appliquant un vérificateur de modèles probabiliste. Pour gérer la scalabilité du processus de vérification, notre approche permet la vérification efficace de grands systèmes en optimisant et en évitant la construction du modèle global. Pour démontrer l'efficacité de notre approche, nous appliquons notre méthodologie sur des référentiels académiques et industriels.
Origine : Fichiers produits par l'(les) auteur(s)