Новости науки — Дэниел Джексон разработал первую систему безопасности Space, которая сможет находить угрозы безопасности за секунды

В мae нa Мeждунaрoднoй конференции по программной инженерии группа разработчиков представит систему безопасности Space. Она способна находить уязвимости в программном коде за считанные секунды, сообщает TechXplore.

В основе системы безопасности лежит метод статического анализа, туманно описанный разработчиками, как "поток информации, проходящий через программу".

"Классическим примером этого является процесс абстрактного анализа программы, манипулирующей целыми числами. Вы можете делить целые числа на целые положительные числа, целые отрицательные числа и ноль", — рассказал профессор кафедры электротехники и информатики Массачусетского технологического института Дэниел Джексон.

Статический анализ позволит оценить каждую операцию программы с точки зрения влияния на признаки целых чисел. "Минус на минус дает плюс и так далее", — пояснил профессор.

 Главной проблемой статического анализа является потеря данных в его процессе. Однако, когда речь идет о веб-приложениях, эта проблема становится критической. В качестве площадки для тестирования защитной системы разработчики использовали язык программирования Ruby on Rails.  

В тестировании 50 популярных веб-приложений, написанных с использованием Ruby on Rails, система безопасности обнаружила 23 ранее невыявленные уязвимости безопасности. На анализ каждой из программ потребовалось не более 64 секунд — то есть на аудит 23 программ ушло не более часа.

 В своей работе Джексон и его ученик Джозеф Ниар, занимающийся разработкой библиотек для Rails, выделили семь разных способов, с помощью которых веб-приложения контролируют доступ к данным. Одни из них доступны всем пользователям, другие — вошедшим в систему, третьи — администраторам и так далее. На основе этих шаблонов была разработана логическая модель, описывающая выполняемые пользователем операции и условия их выполнения. Space автоматически определяет, следует ли программа этой модели. Если нет, то речь идет, скорее всего, об уязвимости.

Как сообщал MIGnews.com.ua ранее, Министерство обороны США совместно с компанией HackerOne, специализирующейся на кибербезопасности, объявило конкурс на взлом некоторых своих ресурсов.