A Formal Approach for Testing Security Rules

Wissam Mallouli, Jean-Marie Orset, Ana Cavalli, SACMAT’07

1、 作者说将security policy 集成到（integrated into）系统模型中。为什么这个系统模型起初没有将security policy 模型考虑进去呢？

2、 作者说自动地从规则集合生成测试序列，这个测试序列是什么样的呢？如何实施测试？

3、 作者将原始系统和security policy分开来看。前者是没有security policy的具有完整功能的系统。然后引入新的上下文（context）以将security policy考虑进去

4、 原来有现成的方法（ISO9649），可以根据EFSM模型来验证实现与设计是否相一致？！

5、 文章仅针对OrBAC进行建模，并且该策略只有三种activity：obligation、permission和prohibition。我觉得不是所有的security policy都只有这三种activity，例如XACML。

那么就是说该方法还是具有局限性。当然我自己的思维现在也有局限性，是不是跳开“通用的测试security policy的方法”这个圈子去思考呢？

文章试图提出一个测试security policy的方法。作者构建出两套模型：系统的EFSM模型和基于OrBAC语法的security policy模型（也是EFSM模型）。作者提出的验证方法中，将系统的实现和上述两种模型作为输入，来验证系统对security policy的实现是否与设计相一致。

关键步骤有两个：

1、根据SP（Security Policy） rules自动转换成EFSM模型；

2、根据EFSM模型自动生成测试序列（模型用SDL语言描述）。

这项工作属于基于模型的测试方法，并且应用在了对security policy的测试中，尽管还是局限于特定的策略框架（OrBAC）。

本文贡献：

1、提出了一个自动化方法，将安全策略描述转换为EFSM模型；

2、根据转换的模型自动生成测试目标。