TY  - JOUR
U1  - Zeitschriftenartikel, wissenschaftlich - begutachtet (reviewed)
A1  - Pohl, Hartmut
T1  - Fuzzelarbeit: Identifizierung unbekannter Sicherheitslücken und Software-Fehler durch Fuzzing
JF  - KES : die Zeitschrift für Informations-Sicherheit
N2  - Fuzzing als toolgestützte Identifizierung von Sicherheitslücken wird in der Regel im letzten Stadium der Softwareentwicklung zum Einsatz kommen. Es eignet sich zur Suche nach Sicherheitslücken in jeder Art Software. Die Robustheit der untersuchten Zielsoftware wird beim Fuzzing mit zielgerichteten, unvorhergesehenen Eingabedaten überprüft. Der Fuzzing-Prozess wird im Artikel beschrieben, ebenso die Taxometrie von Fuzzern, die in "dumme" und "intelligente" Fuzzer eingeteilt werden. Die Identifizierung von Sicherheitslücken oder Fehlern in der Zielsoftware erfolgt durch ein umfassendes Monitoring (Debugger, Profiler, Tracker). Die meist große Zahl identifizierter Schwachstellen und Verwundbarkeiten macht eine Bewertung jeder einzelnen erforderlich, weil in der Regel aus Wirtschaftlichkeitsgründen nicht alle behoben werden können. Als wichtige Bewertungsparameter werden genannt: Erkennbarkeit für Dritte, Reproduzierbarkeit, Ausnutzbarkeit, benötigte Zugriffsrechte und generierbarer Schaden. Im Internet werden etwa 300 Tools angeboten. Die Qualität eines Fuzzers lässt sich jedoch nicht pauschal angeben. Die Wirksamkeit und Eignung eines Fuzzers hängen von der Zielsoftware und den individuellen Anforderungen des Testers ab.
KW  - Stabilitätsanalyse
KW  - Programmsicherheit
KW  - Software-Test
KW  - Sicherheitslücke
KW  - Software-Werkzeug
KW  - Software-Fehler
KW  - Taxonomie
KW  - Bewertung
KW  - Software-Testautomatisierung
KW  - Monitoring
Y1  - 2011
SN  - 1611-440X
SS  - 1611-440X
VL  - 27
IS  - 5
SP  - 66
EP  - 68
ER  -