CHRONOS：基于时间感知的零样本漏洞报告库识别
软件工程
2023-08-01 v4 密码学与安全
摘要
向开发者告警库漏洞的工具依赖于由安全研究人员维护的准确、最新的漏洞数据库。这些数据库记录与每个漏洞相关的库。然而，漏洞报告可能未显式列出每个库，且需要人工分析以确定所有相关库。人工分析可能缓慢且昂贵，这催生了对自动化方法的需求。研究人员与从业者已提出利用极端多标签学习（XML）从漏洞报告自动识别库。尽管最先进的 XML 技术展现出有前景的性能，其实验设置并不切实符合现实情况。既往研究随机划分漏洞报告数据以训练和测试模型，未考虑报告的时间顺序。这可能不当地在时间上较新的报告上训练模型，而在时间上较旧的报告上测试模型。然而在实践中，人们常接收到时间上较新的报告，其可能与先前未见的库相关。在此实际设定下，我们观察到当前 XML 技术的性能显著下降，例如，在不考虑与考虑漏洞报告时间顺序的实验中，F1 从 0.7 降至 0.28。我们提出一种实用的库识别方法，即 CHRONOS，基于零样本学习。CHRONOS 的新颖性有三方面。首先，CHRONOS 通过考虑漏洞报告的时间顺序契合实用流程。其次，CHRONOS 利用精心设计的增强步骤丰富漏洞描述与标签的数据。第三，CHRONOS 利用漏洞报告的时间顺序，通过缓存优先预测……
引用
@article{arxiv.2301.03944,
title = {CHRONOS: Time-Aware Zero-Shot Identification of Libraries from Vulnerability Reports},
author = {Yunbo Lyu and Thanh Le-Cong and Hong Jin Kang and Ratnadira Widyasari and Zhipeng Zhao and Xuan-Bach D. Le and Ming Li and David Lo},
journal= {arXiv preprint arXiv:2301.03944},
year = {2023}
}
备注
Accepted to the Technical Track of ICSE 2023