追尾狗：通过特征推断增强长尾软件文本漏洞描述中的缺失关键要素
软件工程
2024-12-17 v2 密码学与安全
摘要
在文本漏洞描述 (TVD) 中补充缺失的关键要素对于有效的漏洞分析至关重要。例如，在 TVD 中，关键要素包括攻击向量、漏洞类型等。这些关键要素有助于安全工程师及时理解和解决漏洞。对于拥有大量用户（非长尾软件）的软件，补充这些缺失的关键要素已显著推动了漏洞分析和软件安全研究。然而，用户基数有限（长尾软件）的软件实例常被忽视，这是由于软件名称不一致、TVD 可用性有限以及领域特定术语的复杂性，使漏洞分析和软件修复变得复杂。本文引入了一个新的软件特征推断框架，用于为长尾软件的 TVD 补充缺失的关键要素。首先，我们通过将政府数据库与常见漏洞与暴露清单 (CVE) 进行交叉引用，解决社区维护的数据库中软件名称非标准的问题。接着，我们运用大型语言模型 (LLM) 生成缺失的关键要素。然而，历史 TVD 可用性有限限制了示例的多样性。为克服这一限制，我们利用常见弱点枚举 (CWE) 对所有 TVD 进行分类，并选取聚类中心作为代表性示例。为确保准确性，我们提出了专为长尾软件设计的自然语言推理 (NLI) 模型，以识别并消除错误的响应。此外，我们使用 wiki 存储库为专有术语提供解释。
引用
@article{arxiv.2405.07430,
title = {Do Chase Your Tail! Missing Key Aspects Augmentation in Textual Vulnerability Descriptions of Long-tail Software through Feature Inference},
author = {Linyi Han and Shidong Pan and Zhenchang Xing and Jiamou Sun and Sofonias Yitagesu and Xiaowang Zhang and Zhiyong Feng},
journal= {arXiv preprint arXiv:2405.07430},
year = {2024}
}