• 中国精品科技期刊
  • CCF推荐A类中文期刊
  • 计算领域高质量科技期刊T1类
高级检索

一种Linux安全漏洞修复补丁自动识别方法

周鹏, 武延军, 赵琛

周鹏, 武延军, 赵琛. 一种Linux安全漏洞修复补丁自动识别方法[J]. 计算机研究与发展, 2022, 59(1): 197-208. DOI: 10.7544/issn1000-1239.20200492
引用本文: 周鹏, 武延军, 赵琛. 一种Linux安全漏洞修复补丁自动识别方法[J]. 计算机研究与发展, 2022, 59(1): 197-208. DOI: 10.7544/issn1000-1239.20200492
Zhou Peng, Wu Yanjun, Zhao Chen. Identify Linux Security Vulnerability Fix Patches Automatically[J]. Journal of Computer Research and Development, 2022, 59(1): 197-208. DOI: 10.7544/issn1000-1239.20200492
Citation: Zhou Peng, Wu Yanjun, Zhao Chen. Identify Linux Security Vulnerability Fix Patches Automatically[J]. Journal of Computer Research and Development, 2022, 59(1): 197-208. DOI: 10.7544/issn1000-1239.20200492

一种Linux安全漏洞修复补丁自动识别方法

基金项目: 国家重点研发计划项目(2018YFB0803600);中国科学院战略性先导科技专项(Y8XD373105);中国科学院前沿科学重点研究计划项目(ZDBS-LY-JSC038)
详细信息
  • 中图分类号: TP311

Identify Linux Security Vulnerability Fix Patches Automatically

Funds: This work was supported by the National Key Research and Development Program of China (2018YFB0803600), the Strategic Priority Research Program of Chinese Academy of Sciences (Y8XD373105), and the Key Research Program of Frontier Sciences, CAS (ZDBS-LY-JSC038).
  • 摘要: 及时获取并应用安全漏洞修复补丁对保障服务器用户的安全至关重要.但是,学者和机构研究发现开源软件维护者经常悄无声息地修复安全漏洞,比如维护者88%的情况在发布软件新版本时才在发行说明中告知用户修复了安全漏洞,并且只有9%的漏洞修复补丁明确给出对应的CVE(common vulnerabilities and exposures)标号,只有3%的修复会及时主动通知安全监控服务提供者.这导致在很多情况下,安全工程师不能通过补丁的代码和描述信息直接区分漏洞修复、Bug修复、功能性补丁.造成漏洞修复补丁不能被用户及时识别和应用,同时用户从大量的补丁提交中识别漏洞修复补丁代价很高.以代表性Linux内核为例,给出一种自动识别漏洞修复补丁的方法,该方法为补丁的代码和描述部分分别定义特征,构建机器学习模型,训练学习可区分安全漏洞补丁的分类器.实验表明,该方法可以取得91.3%的精确率、92%的准确率、87.53%的召回率,并将误报率降低到5.2%,性能提升明显.
    Abstract: It is critical to catch and apply the vulnerability fix patches in time to ensure the security of information system. However, it is found that open source software maintainers often silently fix security vulnerabilities. For example, 88% of maintainers delay informing users to fix vulnerabilities in the release notes of new software version, and only 9% of the bug fixes clearly give the corresponding CVE ID, and only 3% of the fixes will actively notify the security service provider in time. In many cases, security engineers can’t directly distinguish vulnerability fixes, bug fixes, and feature patches from the code and log message of patches. As a result, vulnerability fixes can’t be identified and applied by users timely. At the same time, it is costly for users to identify vulnerability fixes from a large number of patch submissions. Taking Linux as an example, this paper presents a method of identifying vulnerability patches automatically. This method defines features for the code and log message from patches, builds machine learning model, and trains to learn classifiers that can distinguish vulnerability patches. Experiments indicate that our approach is effective, which can get 91.3% precision, 92% accuracy, 87.53% recall rate, and reduce the false positive rate to 5.2%.
  • 期刊类型引用(13)

    1. 张鑫,张晗,牛曼宇,姬莉霞. 计算机视觉领域对抗样本检测综述. 计算机科学. 2025(01): 345-361 . 百度学术
    2. 张少杰,赵李强,周静波,陈国坤,焦宗寒,杨伟,王欣,刘荣海. 电力行业无人机巡检可见光图像与激光点云数据配准方法研究. 云南电力技术. 2024(02): 70-73+80 . 百度学术
    3. 顾芳铭,况博裕,许亚倩,付安民. 面向自动驾驶感知系统的对抗样本攻击研究综述. 信息安全研究. 2024(09): 786-794 . 百度学术
    4. 武阳,刘靖. 面向图像分析领域的黑盒对抗攻击技术综述. 计算机学报. 2024(05): 1138-1178 . 百度学术
    5. 郭凯威,杨奎武,张万里,胡学先,刘文钊. 面向文本识别的对抗样本攻击综述. 中国图象图形学报. 2024(09): 2672-2691 . 百度学术
    6. 徐宇晖,潘志松,徐堃. 面向三种形态图像的对抗攻击研究综述. 计算机科学与探索. 2024(12): 3080-3099 . 百度学术
    7. 秦书晨,王娟,朱倪宏,陈杨. 图像对抗样本检测与防御方法研究进展. 智能安全. 2024(04): 81-95 . 百度学术
    8. 罗鑫,夏学知. 面向图像识别的对抗样本与攻击研究. 舰船电子工程. 2023(02): 22-29+33 . 百度学术
    9. 杨宏宇,杨帆. 基于图像去噪和图像生成的对抗样本检测方法. 湖南大学学报(自然科学版). 2023(08): 72-81 . 百度学术
    10. 张万里,陈越,杨奎武,张田,胡学先. 一种局部遮挡人脸识别的对抗样本生成方法. 计算机研究与发展. 2023(09): 2067-2079 . 本站查看
    11. 刘瑞祺,李虎,王东霞,赵重阳,李博宇. 图像对抗样本防御技术研究综述. 计算机科学与探索. 2023(12): 2827-2839 . 百度学术
    12. 梁杰,彭长根,谭伟杰,何兴. 基于梯度惩罚WGAN的人脸对抗样本生成方法. 计算机与数字工程. 2023(11): 2659-2665 . 百度学术
    13. 李前,蔺琛皓,杨雨龙,沈超,方黎明. 云边端全场景下深度学习模型对抗攻击和防御. 计算机研究与发展. 2022(10): 2109-2129 . 本站查看

    其他类型引用(15)

计量
  • 文章访问数:  706
  • HTML全文浏览量:  10
  • PDF下载量:  260
  • 被引次数: 28
出版历程
  • 发布日期:  2021-12-31

目录

    /

    返回文章
    返回