摘要
及时获取并应用安全漏洞修复补丁对保障服务器用户的安全至关重要.但是,学者和机构研究发现开源软件维护者经常悄无声息地修复安全漏洞,比如维护者88％0的情况在发布软件新版本时才在发行说明中告知用户修复了安全漏洞,并且只有9％的漏洞修复补丁明确给出对应的CVE(common vulnerabilities and exposures)标号,只有3％的修复会及时主动通知安全监控服务提供者.这导致在很多情况下,安全工程师不能通过补丁的代码和描述信息直接区分漏洞修复、Bug修复、功能性补丁.造成漏洞修复补丁不能被用户及时识别和应用,同时用户从大量的补丁提交中识别漏洞修复补丁代价很高.以代表性Linux内核为例,给出一种自动识别漏洞修复补丁的方法,该方法为补丁的代码和描述部分分别定义特征,构建机器学习模型,训练学习可区分安全漏洞补丁的分类器.实验表明,该方法可以取得91.3％的精确率、92％的准确率、87.53％的召回率,并将误报率降低到5.2％,性能提升明显.
基金项目
国家重点研发计划(2018YFB0803600)
中国科学院战略性先导科技专项(Y8XD373105)
中国科学院前沿科学重点研究计划(ZDBS-LY-JSC038)
NETL
NSTL
维普
万方数据