一种基于多特征的安全缺陷识别系统和方法技术方案

本发明专利技术公开了一种基于多特征的安全缺陷识别系统和方法，其中系统包括数据收集模块，获取缺陷的基本数据；缺陷特征提取模块，用于根据软件源代码生成函数调用图，提取缺陷代码特征，将缺陷信息转化成数值作为缺陷信息数值特征，使用缺陷修复复杂度衡量算法对缺陷的补丁文件进行解析，得到缺陷修复复杂度，进而得到特征向量；分类器模块，用于标记特征向量的类标签得到带有类标签的训练向量，利用训练向量训练安全缺陷识别模型，得到分类器；识别模块，用于根据待识别的缺陷报告及其对应的补丁文件得到特征向量，将特征向量输入分类器，得到待识别的缺陷报告的缺陷类型。本发明专利技术在确保系统执行效率的同时，显著地提高了识别准确度。

A security defect recognition system and method based on multiple features

The invention discloses a system for security flaws and recognition method based on multi features, the system includes data collecting module, basic data acquisition defect; defect feature extraction module, according to the software source code generation function call graph, feature extraction of defect code, the defect information into Numerical numerical characteristics as defect information, defect a measure of the complexity of algorithm of defect repair patch file parsing, get the defect repair complexity, then get the feature vector; classifier module, used for marking feature vector of the class labels of training vectors with class labels, the use of training vector training security flaw recognition model, get the classifier; recognition module, according to the feature vectors obtained defect report to identify the corresponding patch files, the feature vector is input to the classifier. To the defect type of the defect report to be identified. The invention significantly improves the recognition accuracy while ensuring the efficiency of the system execution.

【技术实现步骤摘要】
一种基于多特征的安全缺陷识别系统和方法
本专利技术属于自动化识别领域，更具体地，涉及一种基于多特征的安全缺陷识别系统和方法。
技术介绍
目前各大软件开发商都是通过缺陷追踪系统，如Bugzilla，来管理众多的缺陷报告。这些缺陷报告来自不同的地方，包括开发团队，测试团队，以及终端用户等。这些缺陷涉及软件质量的各个方面，如功能，性能，兼容性，稳定性以及安全性等，深入理解不同类型的缺陷对项目的影响，对提高软件质量是必不可少的。特别地，在性质上安全相关的缺陷有别于普通缺陷：安全缺陷代表的是功能的滥用，可以给计算机系统引入一个可能的利用点。这个缺陷能导致安全缺口，并造成严重的不良后果，与之相反，传统的、与安全无关的缺陷则是功能错误或者功能不足。因此，我们希望安全相关的缺陷比其他类型的缺陷具有更高的优先级，能够被更快地修复。绝大多数的安全缺陷是不安全代码的直接结果。因此，保护计算机系统依赖于对软件中安全缺陷的严格识别，这是一个单调乏味且易于出错的过程，需要大量的专业知识。然而，针对安全缺陷的识别与修复，现有的缺陷追踪系统存在以下问题：首先，缺陷提交人员在提交缺陷报告时，不能正确识别危险的安全缺陷本文档来自技高网...

【技术保护点】
一种基于多特征的安全缺陷识别系统，其特征在于，包括数据收集模块、缺陷特征提取模块、训练分类器模块和识别模块，数据收集模块，用于获取缺陷的基本数据，缺陷的基本数据包括软件源代码、安全缺陷信息、非安全缺陷信息和缺陷的补丁文件；缺陷特征提取模块，用于根据软件源代码生成函数调用图，并基于函数调用图提取缺陷代码特征，缺陷代码特征包括可达性、攻击入口点、可达路径和危险函数，将安全缺陷信息和非安全缺陷信息转化成数值作为缺陷信息数值特征，使用缺陷修复复杂度衡量算法对缺陷的补丁文件进行解析，得到缺陷修复复杂度，将缺陷代码特征、缺陷信息数值特征和缺陷修复复杂度转化成特征向量；分类器模块，用于标记特征向量的类标签得...

【技术特征摘要】
1.一种基于多特征的安全缺陷识别系统，其特征在于，包括数据收集模块、缺陷特征提取模块、训练分类器模块和识别模块，数据收集模块，用于获取缺陷的基本数据，缺陷的基本数据包括软件源代码、安全缺陷信息、非安全缺陷信息和缺陷的补丁文件；缺陷特征提取模块，用于根据软件源代码生成函数调用图，并基于函数调用图提取缺陷代码特征，缺陷代码特征包括可达性、攻击入口点、可达路径和危险函数，将安全缺陷信息和非安全缺陷信息转化成数值作为缺陷信息数值特征，使用缺陷修复复杂度衡量算法对缺陷的补丁文件进行解析，得到缺陷修复复杂度，将缺陷代码特征、缺陷信息数值特征和缺陷修复复杂度转化成特征向量；分类器模块，用于标记特征向量的类标签得到带有类标签的训练向量，利用训练向量训练安全缺陷识别模型，得到分类器；识别模块，用于根据待识别的缺陷报告及其对应的补丁文件得到特征向量，将特征向量输入分类器，得到待识别的缺陷报告的缺陷类型。2.如权利要求1所述的一种基于多特征的安全缺陷识别系统，其特征在于，所述安全缺陷信息包括安全缺陷提交时间、安全缺陷提交者的信息、安全缺陷严重度和安全缺陷优先级，所述非安全缺陷信息包括非安全缺陷提交时间、非安全缺陷提交者的信息、非安全缺陷严重度和非安全缺陷优先级。3.如权利要求2所述的一种基于多特征的安全缺陷识别系统，其特征在于，所述安全缺陷提交者的信息包括安全缺陷提交者账号创建时间、安全缺陷提交者上次活跃时间、安全缺陷提交者过去提交的缺陷数目、安全缺陷提交者过去提交的评论数、安全缺陷提交者过去提交的补丁文件数和安全缺陷提交者过去被分配的缺陷数，所述非安全缺陷提交者的信息包括非安全缺陷提交者账号创建时间、非安全缺陷提交者上次活跃时间、非安全缺陷提交者过去提交的缺陷数目、非安全缺陷提交者过去提交的评论数、非安全缺陷提交者过去提交的补丁文件数和非安全缺陷提交者过去被分配的缺陷数。4.如权利要求1-3任意一项所述的一种基于多特征的安全缺陷识别系统，其特征在于，所述识别模块的具体实现方式为：从待识别的缺陷报告中获取安全缺陷信息、非安全缺陷信息，将安全缺陷信息和非安全缺陷信息转化成数值作为缺陷信息数值特征，根据软件源代码生成函数调用图，基于函数调用图提取缺陷代码特征；使用缺陷修复复杂度衡量算法对缺陷的补丁文件进行解析，得到缺陷修复复杂度，将缺陷代码特征、缺陷信息数值特征和缺陷修复复杂度转化成特征向量，将特...

【专利技术属性】
技术研发人员：金海，邹德清，邓之珺，
申请(专利权)人：华中科技大学，
类型：发明
国别省市：湖北,42