Yazılım tasarımı ve doğrulama sürecinde model güdümlü güvenlik çerçevesi

Uygulama ve sistemlerdeki güvenlik problemleri bilgi kaybına, finansal kayıplara ve hatta insan yaşamının kaybına varabilecek kadar ciddi sonuçlar doğurmaktadır. Bu nedenle bilgi sistemleri güvenliği her geçen gün daha fazla dikkat çekmektedir. Bu güvenlik problemlerinin büyük bir kısmı, güvenlik fonksiyonlarının tasarım aşamasında düşünülmemesinden ve geliştirme aşamasında doğrudan yazılıma eklenmesinden kaynaklanmaktadır. Halbuki, güvenlik fonksiyonlarının analizi, tasarımı ve doğrulanması çok yüksek önem derecesine sahiptir. Hatta bazı durumlarda, yazılım tasarımlarının ve kodlarının formel veya yarı-formel olarak doğrulanması ve yetkili otoritelerce sertifikalandırılması beklenmektedir. Bilgi sistemlerinin güvenlik fonksiyonlarının değerlendirilmesi için sıklıkla kullanılan standartlardan birisi Ortak Kriterler'dir. Bu tez çalışmasında, bilgi sistemlerinin güvenlik özelliklerinin analizi, tasarımı ve değerlendirmesi için yeni bir çerçeve olarak Model Güdümlü Güvenlik Çerçevesi'ni (MDSF) önermekteyiz. Amacımız, bilgi sistemleri geliştiren kişileri ve üst seviye Ortak Kriterler sertifikasyonu (EAL 6 ve EAL 7) için değerlendirme yapan yetkilileri, hazırlık ve inceleme süreçlerinde Unified Modelling Language (UML), Object Constraint Language (OCL), Promela ve Spin dil ve araçlarını kullanarak desteklemektir. MDSF ile, IT ürününün UML modeli üzerinden, güvenlik analizi ve tasarımı yapılabilmesini desteklemek amacıyla, UML diline yeni bir profil önermekteyiz. UML'e ek olarak, güvenlik tehditlerinin belirlenmesi, farklı model seviyeleri üzerinde uyumluluk kontrolü ve IT ürününün UML tasarım modeli üzerinde güvenlik poliçelerinin doğrulanması amacıyla OCL'in kullanılabileceğini göstermekteyiz. Ayrıca, tasarım modelinin, güvenlik ihtiyaçlarını karşılayıp karşılamadığını formel olarak göstermek amacı ile model dönüştürme ve model doğrulama tekniklerini UML, OCL ve PROMELA üzerinde kullanmaktayız.