Розробка інформаційної системи оцінювання якості захисту вебдодатків

Abstract

Ревнюк О.А. Розробка інформаційної системи оцінювання якості захисту вебдодатків. – Кваліфікаційна наукова праця на правах рукопису. Дисертація на здобуття наукового ступеня доктора філософії за спеціальністю 122 «Комп’ютерні науки». – Тернопільський національний технічний університет імені Івана Пулюя, Тернопіль, 2025. Підготовка здійснювалась на кафедрі кібербезпеки Тернопільського національного технічного університету імені Івана Пулюя Міністерства освіти і науки України. Дисертація присвячена вирішенню науково-практичної задачі – розроблення інформаційної технології кількісної оцінки рівня захищеності вебдодатків з урахуванням індивідуальних характеристик проєкту. У вступі обґрунтовано актуальність теми дисертації, зазначено зв'язок роботи з науковими напрямками та науково-дослідними концепціями, сформульовано мету і задачі дослідження, визначено об'єкт, предмет і методи дослідження, показано наукову новизну та практичне значення отриманих результатів, наведено інформацію про практичне використання, апробацію результатів та їх висвітлення у публікаціях. У першому розділі проведено аналіз сучасних вебдодатків як багатокомпонентних систем у контексті життєвого циклу розробки програмного забезпечення (ПЗ). Здійснено порівняльний аналіз традиційних та ітеративних моделей життєвого циклу ПЗ, що дало змогу виявити принципові обмеження традиційних підходів та встановити переваги ітеративних моделей для безперервної інтеграції безпекових практик. Аналіз відкритих статистичних даних дозволив встановити пряму залежність між зростанням архітектурної складності вебдодатків та збільшенням кількості потенційних векторів атак і системних вразливостей, що дало змогу ідентифікувати основні категорії загроз вебсайтів. Досліджено концепцію Secure Development Lifecycle, в рамках якої проаналізовано існуючі методи й засоби тестування безпеки, що дало змогу ідентифікувати їхні обмеження у виявленні вразливостей проєктування та бізнес-логіки, а також встановити відсутність можливості обчислення комплексної кількісної оцінки рівня захищеності. У другому розділі досліджено проблему суб'єктивності експертних оцінок та відсутності уніфікованих кількісних метрик у задачах оцінювання безпеки вебдодатків, що дало змогу обґрунтувати необхідність розробки нових підходів до об'єктивізації процесів оцінювання захищеності. На основі аналізу існуючих міжнародних галузевих стандартів та традиційних методів тестування безпеки встановлено їхню неспроможність обчислити інтегральний показник захищеності вебдодатків. Вперше запропоновано метод кількісної оцінки захищеності вебдодатків на основі структурного аналізу та адаптивного відбору вимог стандарту OWASP ASVS. Для формалізації відібраних вимог розроблено критерії оцінювання, що дало змогу створити систематизований підхід до кількісного вимірювання рівня безпеки. Запропонований метод передбачає введення коефіцієнтів важливості для вимог та критеріїв з урахуванням архітектурних, функціональних та бізнес-особливостей вебдодатку. Застосування апарату нечіткої логіки для визначення коефіцієнтів важливості дало змогу мінімізувати суб'єктивність експертних суджень та підвищити точність оцінювання. У третьому розділі проведено експериментальне дослідження рівня безпеки вебдодатку на прикладі спеціалізованого навчального середовища з попередньо вбудованими вразливостями, що дало змогу на практиці оцінити розроблений адаптивний метод кількісної оцінки захищеності та обґрунтувати його кореляцію з результатами виявлених критичних вразливостей у незалежних дослідженнях. Отримала подальший розвиток концепція використання апарату нечіткої логіки для підвищення точності та об'єктивності експертного оцінювання вагових коефіцієнтів через механізми фазифікації, узгодження думок експертів та дефазифікації, що дало змогу формалізувати суб'єктивні судження, мінімізувати вплив індивідуальних упереджень та забезпечити математично обґрунтовану основу для встановлення коефіцієнтів важливості. У четвертому розділі на основі розробленого адаптивного методу спроєктовано архітектурну та логічну модель інформаційної системи кількісного 4 оцінювання рівня захищеності вебдодатків. Розроблено інформаційну систему кількісної оцінки безпеки, яка спрощує процес перевірки на відповідність стандарту OWASP ASVS та забезпечує прозорість і відтворюваність результатів з можливістю зміни, у разі потреби, не лише оцінок, а й коефіцієнтів важливості, встановлених за замовчуванням. Розроблена архітектура системи з модульним розділенням функціональних компонентів забезпечує високу фективність експертного аналізу та супроводу вебдодатків, що дало змогу здійснити практичну апробацію розробленого методу кількісної оцінки захищеності вебдодатків

Revniuk O.A. Development of an Information System for Evaluating Web Application Security Quality. – Qualifying scientific work as a manuscript. Dissertation for obtaining the degree of Doctor of Philosophy in specialty 122 "Computer Sciences". – Ternopil Ivan Puluj National Technical University, Ternopil, 2025. The preparation was carried out at the Department of Cybersecurity of Ternopil Ivan Puluj National Technical University of the Ministry of Education and Science of Ukraine. Content of the abstract. The dissertation is devoted to solving a scientific-practical problem – development of information technology for quantitative assessment of web application security level taking into account individual project characteristics. The introduction substantiates the importance of the dissertation topic, indicates the connection of the work with scientific directions and research concepts, formulates the purpose and objectives of the research, defines the object, subject and research methods, shows the scientific novelty and practical significance of the obtained results, provides information about practical use, approbation of results and their coverage in publications. The first chapter analyzes modern web applications as multi-component systems in the context of the software development lifecycle (SDLC). A comparative analysis of traditional and iterative SDLC models was conducted, which allowed identifying fundamental limitations of traditional approaches and establishing advantages of iterative models for continuous integration of security practices. Analysis of open statistical data allows to establish a direct connection between the growth of web application architectural complexity and the increase in the number of potential attack vectors and system vulnerabilities, which allowed identifying main categories of information security threats. The Secure Development Lifecycle concept was studied and existing security testing methods and tools were analyzed, which allowed to identify their limitations in detecting design and business logic vulnerabilities, as well as to establish the absence of comprehensive quantitative security level assessment capabilities. The second chapter investigated the problem of subjectivity in expert assessments and the lack of unified quantitative metrics on the problems of web application security evaluation , which allowed substantiating the need to develop new approaches to objectifying security assessment processes. Based on analysis of existing international standards and traditional security testing methods the inability to provide an integral security indicator was established. For the first time, an methodology for quantitative web application security assessment was suggested based on structural analysis and adaptive selection of OWASP ASVS standard requirements. To formalize selected requirements evaluation criteria were developed. This allowed creating a systematized approach to quantitative security level measurement. The proposed methodology introduces the importance coefficients for requirements and criteria, taking into account architectural, functional and business features of the web application. Application of fuzzy logic apparatus to determine the imporatance coefficient allowed minimizing subjectivity of expert judgments and improving assessment accuracy. The third chapter conducted experimental research on web application security level using a specialized educational environment with pre-implemented vulnerabilities, which allowed confirming practical applicability of the developed adaptive quantitative security assessment methodology and substantiating its correlation with results of identified critical vulnerabilities in different studies. The concept of using fuzzy logic apparatus to improve accuracy and objectivity of expert assessment of weight coefficients through fuzzification mechanisms, expert opinion coordination and defuzzification was further developed, which allowed formalizing subjective judgments, minimizing the influence of individual biases and providing a mathematically substantiated basis for quantitative measurement of security parameters. The fourth chapter, based on the developed adaptive methodology, performed design of architectural and logical models of an information system for quantitative assessment of web application security level with a simplified security coefficient calculation process. An information system for quantitative security assessment was developed, which simplifies the process of checking compliance with the OWASP ASVS standard and ensures transparency and reproducibility of results, which allowed conducting practical modeling of corresponding information-technological complexes. The designed system architecture with modular separation of functional components ensures high efficiency in the context of expert analysis and web resource support, which allowed practical approbation of the developed methodology for quantitative web application security assessment