راهنمای جامع و کاربردی نگارش و انجام پروپوزال امنیت نرم‌افزار

تصویب پروپوزال در گرایش امنیت نرم‌افزار معمولاً به دلیل کلی‌گویی در تعریف مسئله، عدم شفافیت در روش‌شناسی، یا مشخص نبودن محیط پیاده‌سازی با رد یا اصلاحات سنگین مواجه می‌شود. این مقاله نقشه راه عملی و گام‌به‌گام برای تدوین پروپوزالی استاندارد، دقیق و قابل دفاع در دانشگاه‌های کشور ارائه می‌دهد. با دنبال کردن رویه‌های مطرح‌شده، می‌توانید پروپوزال خود را بدون اتلاف وقت و با تایید اولیه استاد راهنما به شورای پژوهشی ارسال کنید.

۱. انتخاب موضوع دقیق و کاربردی در امنیت نرم‌افزار

یکی از بزرگ‌ترین خطاها در انتخاب موضوع، استفاده از عناوین بسیار کلی و دانشنامه‌ای است. موضوعاتی مثل «بررسی امنیت در رایانش ابری» یا «شناسایی آسیب‌پذیری‌ها با هوش مصنوعی» به دلیل نداشتن مرز مشخص، توسط هیئت داوران رد می‌شوند.

موضوع باید یک چالش واقعی در دنیای نرم‌افزار را هدف قرار دهد. در ادامه نمونه‌هایی از تبدیل عناوین ضعیف به موضوعات استاندارد آکادمیک آورده شده است:

• عنوان ضعیف: شناسایی بدافزارها با یادگیری ماشین
• عنوان جدید و قابل دفاع: ارائه روشی ترکیبی برای کشف بدافزارهای اندروید بر پایه تحلیل پویا و شبکه‌های عصبی گراف (GNN) با هدف کاهش نرخ مثبت کاذب
• عنوان ضعیف: ارزیابی امنیت قراردادهای هوشمند
• عنوان جدید و قابل دفاع: کشف آسیب‌پذیری‌های بازگشتی (Reentrancy) در قراردادهای هوشمند اتریوم با استفاده از تحلیل نمادین و فازینگ هوشمند (Fuzzing)

۲. ساختار استاندارد پروپوزال و نحوه نگارش بخش‌های مختلف

الف) بیان مسئله (Problem Statement)

در این بخش باید شفاف‌سازی کنید که نرم‌افزار مورد نظر با چه خطر یا محدودیتی روبه‌رو است و روش‌های فعلی چه نقطه‌ضعفی دارند. برای نگارش فرمول زیر را دنبال کنید:

1. توصیف کوتاه سیستم target (مثلاً اپلیکیشن‌های تحت وب، کدهای بایت سولیدیتی، سیستم‌عامل‌های نهفته).
2. بیان آسیب‌پذیری یا چالش امنیتی موجود (مثلاً ضعف تحلیل‌ایستا در کشف رخنه‌های zero-day).
3. محدودیت کارهای قبلی (مثلاً نرخ بالای مثبت کاذب یا مصرف بالای حافظه).
4. راهکار پیشنهادی شما و نحوه حل این محدودیت.

ب) پیشینه تحقیق (Literature Review)

داوران پروپوزال می‌خواهند بدانند شما از آخرین مقالات معتبر (IEEE, ACM, Springer) در حوزه امنیت نرم‌افزار مطلع هستید. حداقل ۸ تا ۱۲ مقاله جدید (ترجیحاً ۳ سال اخیر) را بررسی کنید. صرفاً خلاصه کردن مقالات کافی نیست؛ باید مقالات را بر اساس روش کار (ایستا، پویا، ترکیبی) دسته‌بندی و نقطه ضعف آن‌ها را بیان کنید.

ج) اهداف و فرضیات پژوهش

اهداف باید اندازه‌پذیر و واقعی باشند. از ادعاهای غیرممکن مانند «امحای کامل تمام آسیب‌پذیری‌ها» خودداری کنید. به عنوان مثال:

• هدف اصلی: افزایش دقت کشف آسیب‌پذیری‌های تزریق کد در کدهای منبع‌باز با کاهش ۱۰ درصدی هشدار کاذب.
• هدف فرعی: پیاده‌سازی یک افزونه (Plugin) جهت ادغام در خط لوله DevSecOps.

۳. روش‌شناسی، ابزارها و معیارهای ارزیابی در امنیت نرم‌افزار

ضعیف‌ترین بخش اکثر پروپوزال‌های ردشده، بخش روش پژوهش است. داور امنیت نرم‌افزار می‌خواهد بداند دقیقاً با چه ابزاری، روی چه داده‌ای و چگونه تست را انجام می‌دهید.

۱. تعیین داده‌های آزمایش (Datasets & Benchmarks)

شما باید مشخص کنید کدهای مورد آزمایش را از کجا تأمین می‌کنید. پروپوزال بدون نام بردن از مجموعه داده استاندارد اعتبار ندارد:

• برای کدهای C/C++: مجموعه داده Juliet Test Suite یا SV-COMP.
• برای قراردادهای هوشمند: مجموعه داده SmartBug یا SolidiFI.
• برای تحلیل بدافزار: مجموعه داده Android Malware Dataset (AMD) یا VirusTotal.

۲. معرفی ابزارها و محیط توسعه

بسته به نوع روش (تحلیل ایستا، تحلیل پویا یا Fuzzing) ابزارهای مورد استفاده را دقیق نام ببرید:

• تحلیل ایستا و مهندسی معکوس: Ghidra, IDA Pro, SonarQube, Joern.
• تست فازینگ و پویا: AFL++, libFuzzer, Valgrind.
• تحلیل نمادین: KLEE, Angr, Mythril.
• یادگیری ماشین/عمیق: PyTorch, Scikit-learn, TensorFlow.

۳. معیارهای ارزیابی (Evaluation Metrics)

در جدول و متن پروپوزال خود، نحوه سنجش موفقیت طرح را بر اساس معیارهای زیر شفاف کنید:

• دقت (Precision): نسبت آسیب‌پذیری‌های واقعی کشف‌شده به کل هشدارهای داده‌شده.
• فراخوانی (Recall): نسبت آسیب‌پذیری‌های کشف‌شده به تمام آسیب‌پذیری‌های موجود در داده آزمایشی.
• معیار F1 (F1-Score): میانگین وزن‌دار Precision و Recall.
• بار محاسباتی (Execution Overhead): زمان اجرای ابزار در مقایسه با روش‌های پایه.

۴. چک‌لیست ارزیابی کیفیت پروپوزال قبل از تصویب

پیش از تحویل پروپوزال به گروه آموزشی، موارد زیر را کنترل کنید تا از برگشت خوردن پروپوزال جلوگیری شود:

۵. اشتباهات رایج دانشجویان و راه‌حل سریع آن‌ها

۶. پرسش‌های متداول دانشجویان

تفاوت پروپوزال امنیت نرم‌افزار با پروپوزال گرایش شبکه‌های کامپیوتری چیست؟
در امنیت نرم‌افزار تمرکز اصلی بر روی کشف، تحلیل و ترمیم رخنه‌ها درون سورس‌کد، فایل‌های باینری یا معماری نرم‌افزار است، در حالی که در گرایش شبکه، تمرکز بر روی ترافیک شبکه، پروتکل‌های ارتباطی و روترها قرار دارد.

آیا پیاده‌سازی کامل ابزار در مرحله پروپوزال لازم است؟
خیر، پروپوزال نقشه راه است. شما باید نشان دهید الگوریتم، ابزارها و دیتاست مشخصی دارید و مسیر اجرا واضح است، اما پیاده‌سازی اصلی در زمان نگارش پایان‌نامه انجام می‌شود.

بهترین پایگاه‌ها برای پیدا کردن مقاله بیس (Base Paper) در امنیت نرم‌افزار کدامند؟
ژورنال‌ها و کنفرانس‌های معتبری مانند IEEE Transactions on Software Engineering (TSE), IEEE S&P (Oakland), USENIX Security, ACM CCS و ACM TOSEM بهترین مراجع برای یافتن مقاله بیس هستند.

چقدر طول می‌کشد تا یک پروپوزال امنیت نرم‌افزار آماده و تصویب شود؟
در صورت انتخاب موضوع درست و تدوین دقیق روش‌شناسی، نگارش اولیه ۲ تا ۳ هفته زمان می‌برد. فرآیند بررسی در شورای پژوهشی دانشگاه نیز معمولاً بین ۲ تا ۴ هفته زمان می‌برد.

۷. دریافت مشاوره و همراهی در انجام پروپوزال امنیت نرم‌افزار

نگارش پروپوزال امنیت نرم‌افزار نیازمند تسلط هم‌زمان بر مفاهیم برنامه‌نویسی، مهندسی نرم‌افزار و تکنیک‌های نفوذ و دفاع است. اگر در انتخاب موضوع، پیدا کردن مقاله بیس جدید، یا تنظیم بخش روش‌شناسی پروپوزال خود دچار چالش شده‌اید، می‌توانید از مشاوره تخصصی استفاده کنید.