<p>Secure networks require each node to individually be as secure as possible. Transporting telecommunication data using IP based networks increases the need for security solutions due to increased exposure to threats. Ericsson currently provides a reference solution for carrying radio traffic over standardized Ethernet using IP, which in the current version relies on third party equipment. This equipment, and their recommended configuration, needs to be tested to ensure that the reference solution is as secure as possible.</p><p>The main purpose of this thesis is to provide Ericsson with a template that describes how security testing of the currently recommended equipment can be carried out.</p> / <p>För att ett nätverk skall vara säkert krävs att dess noder är invidivuellt säkrade. Transportering av telekommunikation över IP baserade nätverk ökar behovet av säkerhetslösningar då det ökar riskerna. Ericsson erbjuder idag en referenslösning för transport av telekommunikationstrafik över IP nätverk, som i dagsläget använder tredje-parts-utrustning. Denna utrustning och den konfiguration som rekommenderas i referenslösningen behöver säkerhetstestas för att säkerställa att den erbjudna lösningen håller en hög säkerhetsnivå.</p><p>Huvudsyftet med detta exjobb är att ta fram en praktisk metod som kan användas vid Ericsson för att säkerhetstesta den utrustning som i dagsläget rekommenderas i referenslösningen.</p>

Secure networks require each node to individually be as secure as possible. Transporting telecommunication data using IP based networks increases the need for security solutions due to increased exposure to threats. Ericsson currently provides a reference solution for carrying radio traffic over standardized Ethernet using IP, which in the current version relies on third party equipment. This equipment, and their recommended configuration, needs to be tested to ensure that the reference solution is as secure as possible. The main purpose of this thesis is to provide Ericsson with a template that describes how security testing of the currently recommended equipment can be carried out. / För att ett nätverk skall vara säkert krävs att dess noder är invidivuellt säkrade. Transportering av telekommunikation över IP baserade nätverk ökar behovet av säkerhetslösningar då det ökar riskerna. Ericsson erbjuder idag en referenslösning för transport av telekommunikationstrafik över IP nätverk, som i dagsläget använder tredje-parts-utrustning. Denna utrustning och den konfiguration som rekommenderas i referenslösningen behöver säkerhetstestas för att säkerställa att den erbjudna lösningen håller en hög säkerhetsnivå. Huvudsyftet med detta exjobb är att ta fram en praktisk metod som kan användas vid Ericsson för att säkerhetstesta den utrustning som i dagsläget rekommenderas i referenslösningen.

En av de främsta prioriteringarna vid utveckling av mjukvara till tunga lastbilar på Scania är att verifiera att lastbilens beteende är säkert. Således spenderas mycket tid på säkerhetstester vars syfte är att verifiera att ny mjukvara inte medför säkerhetskritiska förändringar i fordonets beteende. De säkerhetstester som behandlas i rapporten testar beteendet av mjukvaran i motorns styrenhet när den utsätts för elektriska fel. Bakgrunden till varför säkerhetstesterna genomförs beskrivs i ett säkerhetskritiskt och juridiskt perspektiv samt vilken testmetodik som används. Dessutom tydliggörs vilken del av utvecklingsprocessen som testerna genomförs i. Slutligen utvecklas ett automatiskt testsystem för att effektivisera samt höja kvalitén av säkerhetstesterna som genomförs på Scania. De elektriska fel som kan induceras med det automatiska testsystemet är kortslutning avstyrenhetens kablage mot lastbilens batteri samt kabelbrott. Resultaten ifrån tester genomförda på det automatiska testsystemet visar att säkerhetstesterna utförda manuellt respektive automatiskt är ekvivalenta. Vidare så minskar exekveringstiden för ett testfall signifikant samt att valideringsmöjligheterna förbättras genom bättre dokumentation och ökad repeterbarhet. / In the development of software for heavy-duty trucks at Scania one of the main priorities is to ensure that the behavior of the truck is safe. Hence, much time is spent on safety tests where the purpose is to verify that new software does not imply safety critical changes in the behavior of the vehicle. The safety tests treated in this thesis are about testing the reliability of thesoftware in the electronic control unit while it is exposed to electrical malfunctions.The background of why the safety tests are performed is describedin a legal and safety critical perspective and also what test methodology thatis used. Further the phase in which the safety tests are carried out in thedevelopment process is highlighted.Finally, an automated test system is developed for increasing the e-ciency as well as the quality of the safety tests performed at Scania. Theelectrical malfunctions that are possible to induce with the automated test system are short-circuiting to battery of the truck and disconnections. The results from the tests performed on the automated test system indicate that the safety tests that are performed manually respectively automatically are equivalent. Further, the results show that the time to perform the tests signicantly decreases and the possibility for validation is improved through better documentation and increased repeatability.

A risk is something that can happen and a problem is something that we know will happen or that has already happened. Security testing is used to evaluate a programs security using various methods and risk-based security testing is used to analyze, calculate and correct potential defects or problems in a system.Testing can be very costly and it is the most primary way of removing software defects. Many people focus their testing looking for correct behavior and not deviant behaviors in software, therefore security testing has not been as relevant in traditional testing. It is usually not possible to perform exhaustive testing on a system, instead you must selectively choose tests to conduct. How should the selection of tests be conducted? The study therefore intends to investigate how one can start working with risk-based security testing in development projects in order to prioritize and choose test cases and test methods. The study also aims to answer whether you can get any financial or practical benefits from working with risk-based security testing. To conduct the study a case study was used and to collect data, a document study was used to provide the opportunity to answer the questions. In order to analyze the collected data, a qualitative data analysis method has been used to explain and describe the content with a descriptive research approach. The results of the study provided an example of risk management with different steps one can take to start working on risk-based security testing in existing or new development projects. The study’s conclusion also shows that if you work with risk-based security testing there are practical benefits. For instance, higher quality of the system and economic benefits by finding defects or implementing countermeasures for possible risks at an early stage during the systems development. / En risk är någonting som kan hända och ett problem är någonting som vi vet kommer hända eller som redan har hänt. Säkerhetstest används för att med olika metoder värdera ett programs säkerhet och riskbaserad säkerhetstestning används för att analysera, kalkylera och åtgärda potentiella defekter eller problem i ett system. Testning kan vara väldigt kostnadskrävande och det är det mest primära sättet som används för att ta bort defekter i mjukvaror. Många fokuserar sin testning på att leta efter ett korrekt beteende och inte avvikande beteenden i programvara, därför har säkerhetstestning inte varit så aktuellt i traditionell testning. Det är oftast inte möjligt att utföra uttömmande testning på ett system utan man måste selektivt välja tester, men hur ska selektionen gå till?Studien ämnar därför att undersöka hur man kan börja arbeta med riskbaserad säkerhetstestning i utvecklingsprojekt för att kunna prioritera och välja testfall och testmetoder. Studien ämnar också svara på om man kan få några ekonomiska eller praktiska fördelar av att arbeta med riskbaserad säkerhetstestning.För att genomföra studien gjordes en fallstudie och för att samla in data utfördes en dokumentstudie för att ge möjlighet att besvara frågeställningarna. För att analysera den insamlade data har en kvalitativ dataanalysmetod använts för att med en deskriptiv undersökningsansats kunna djupare förklara och beskriva innehållet. Resultaten från studien har medfört ett riskhanterings exempel med olika steg man kan ta för att börja arbeta med riskbaserad säkerhetstestning i befintliga eller nya utvecklingsprojekt. Studiens slutsats visar också att om man arbetar med riskbaserad säkerhetstestning så finns det praktiska fördelar. Exempelvis högre kvalitet på systemet och ekonomiska fördelar genom att man i ett tidigt skede under systemets utveckling hittar defekter eller implementerar motåtgärder för eventuella risker.