VulBG: 构建行为图加强基于深度学习的漏洞检测模型

近年来,人们提出了基于深度学习(DL)的漏洞检测系统,用于从源代码中自动提取特征。这些方法在合成数据集上可以实现理想的性能,但在检测真实世界的漏洞数据集时,准确率却大幅下降。此外,这些方法仅适用于单个函数,无法学习函数之间的信息。论文提出行为图模型并构建了新的框架 VulBG,用于提取函数中的抽象行为,表示函数之间的关系,并利用这些信息帮助基于 DL 的漏洞检测模型实现更高的性能。实验结果显示,VulBG 使(TextCNN、ASTGRU、CodeBERT、Devign 和 VulCNN)等基线模型检测到更多漏洞,提高了其整体检测性能。

1 问题描述

目前大部分方法将漏洞语义提取的工作留给了神经网络,这是不合适的,因为漏洞往往只存在于函数的一小部分。将整个函数传递给神经网络模型会引入与漏洞无关的大量信息。此外,现有方法只关注一个函数,忽略了函数之间的潜在联系。函数是实现某些功能的代码集合。即使两个函数实现的功能完全不同,它们的子任务中也可能存在共同的逻辑、算法和编程模式。

2 解决方案

论文将行为定义为代码中实现特定功能的逻辑、算法或编程模式,并将每个函数视为一组行为。因此,函数之间的联系可以通过它们各自的行为来解决。漏洞可能存在于一个行为中,也可能存在于一组行为中。建立了一个行为图模型(Behavior Graph Model)来连接不同函数的行为,并利用它来增强现有基于 DL 方法的检测能力。首先进行程序切片,将函数分割成一组切片,并将每个切片视为函数的一种行为。然后,根据不同函数中不同程序切片(即行为)的相似性计算,构建行为图。在获得全局行为图之后,采用节点嵌入技术将每个节点(即函数)转换为向量表示,作为函数的行为特征。论文的贡献如下:

  1. 提出了一种新思路,即从函数的源代码中提取抽象行为,并构建行为图(Behavior Graph),将不同函数的行为关联起来,从而辅助漏洞检测。
  2. 实现了 VulBG 框架,通过将行为图与其他基于 DL 的 VD 模型相结合,提高漏洞检测的性能。
  3. 对 VulBG 进行了评估,并选择了五个最先进的 VD 模型作为基线模型。实验结果表明,VulBG 提升了所有基线模型的漏洞检测性能。

论文按语义分割函数,提取函数的抽象行为,而不是试图获取包含完整易受攻击语义的切片。通过对潜在的易受攻击操作进行切分,将函数分解为多个片段。每个片段都包含函数的部分语义,将其视为函数的一个行为,然后可以用一组行为来表示函数。

3 系统架构

图 3 展示了 VulBG 的三个阶段:行为图构建、行为特征提取和模型融合。

  • 行为图构建: 鉴于函数的源代码,使用切片和代码嵌入来获取函数的行为。通过对行为进行聚类,得到一组中心点行为,然后根据中心点行为和行为的相似性构建行为图。
  • 行为特征提取:对每个函数节点进行图嵌入,将其转换为向量,然后使用多层感知器(MLP)进一步处理函数的行为特征。
  • 模型融合:采用了模型融合的方法,将行为特征与(TextCNN、ASTGRU、CodeBERT、Devign 和 VulCNN)等模型提取的特征结合起来,共同进行分类。
  • 图 3 VulBG 的基本架构

3.1 行为图构建

行为图旨在表示函数间的联系,由函数节点和行为节点质心(切片)构成,行为节点表示为聚类的质心,函数节点表示该行为的所属函数。

图 4 行为图示例

图 4 为一个行为图的实例。其中 B1、B2、...、B7 为各个函数的行为;CB1、CB2、CB3 为多个相似行为通过聚类后得到的质心;F1、F2、F3 为函数。用质心表示所有相似行为,并将函数与质心相连得到最终的行为图,其中 边 基于函数行为到质心的欧几里得距离 设置的权重。

图 5 行为图构建流程

图 5 展示了行为图的构建流程,大致可以分为 4 个部分:代码切片、代码嵌入、K-Means 聚类以及图构建。

3.1.1 代码切片

不同于常规的代码切片方法将完整的 源程序/函数 处理为单个切片,文中根据兴趣点/关注点将函数切分为多个切片(行为)。论文将漏洞关注点归纳为两点:

  • API 调用:API 的误用可能会导致 BOF、UAF、IF 等漏洞。根据 API 函数的参数进行后向切片,根据该函数的返回值进行前向切片
  • 内存操作:分为指针类型变量和数组类型变量,对这类操作进行后向切片。

基于上述两类兴趣点/关注点,对每一个函数执行代码切片。代码切片通过源代码分析工具 Joern 实现。切片所需要的数据流依赖和控制流依赖通过 Joern 生成的 PDG 和 CFG 获得,操作包含的变量通过 Joern 的查询结果得到。对于每一个待切分的变量,在对应的CFG 中向前和向后遍历,收集存在数据依赖的语句和变量。在生成的所有切片中,大约 95.8% 的切片少于 64 个单词。

3.1.2 代码嵌入

函数的行为表示为多个文本形式的代码切片。论文采用 CodeBERT 模型对函数行为进行嵌入,它可以获取代码序列的长距离依赖关系,并使模型关注代码序列中的重要部分(多头注意力机制)。在论文中,每一个行为(切片)被编码为一个长度为 768 维的向量。

3.1.3 聚类

如果直接以一个源程序中的所有行为构建图,那么该图会很复杂、庞大,不利于后续处理。文中采用 K-Means 聚类算法中的特殊变种 MiniBatchKMeans 对提取到的一系列行为进行聚类,将多个相似的行为聚类为一簇,以减少图的节点向量,使信息更加聚集。

3.1.4 图构建

分别连接函数和其对应的行为,构建行为图。不同的行为之间存在差异,利用行为的相似性(行为节点到聚类质心的欧几里得距离)设置边的权重。两个行为越相似,它们的嵌入结果越相近。

3.2 行为特征提取

在得到行为图后,利用 Node2Vec 将行为图中的函数节点编码为长度为 128 维的向量,并将图向量输入到 4 层的 MLP 分类器中,输出最后一层隐藏层的值作为本文提取到的漏洞行为特征。

3.3 模型融合

如图 6 所示,在得到行为特征向量后,运行其它基线方法获取对应的特征向量,将二者进行 concatenate 融合,输入到输出层,得到最终的预测值。 论文中的基线方法包括 TextCNN、ASTGRU、CodeBERT、Devign、VulCNN 五种。

图 6 VulBG 模型融合架构

4 实验评估

4.1 实验设置

实验数据集采用两种真实世界的数据集:FFMpeg+Qemu (Devign),Chrome+Debian (Reveal)。数据集的详细信息如表 1 所示。

表 1 数据集统计

实验采用 Precision (P),Recall (R), F-measure (F1) 三个指标来评估 VulBG 的漏洞检测性能:

P = TP / TP + FP;R = TP / TP + FN;F1 = 2 * ( P * R / P + R).

其中 TP:true positive;FP:false positive;TN:true negative;FN:false negative.

4.2 实验评估

如表 2 所示, 行为图模型实现了较高的 F1(56.1%)和 Recall(61.2%)。就 F1 和 Recall 而言,在六种方法中,行为图模型在 FFMpeg+Qemu 数据集上排名第一,在 Chrome+Debian 数据集上排名第二,这已经证明行为图模型在漏洞检测中效果良好。

表 2 VulBG 与基线方法性能对比

如表 3 所示,各项指标的变化情况列于分数之下。所有融合模型的 F1 和 Recall 都较高。在 FFMpeg+Qemu 数据集上,除了 BG+TextCNN 的 Precision 外,各模型的所有指标都达到了更高的分数;在 Chrome+Debian 数据集上,除了 BG+CodeBERT 的 Recall 有所下降外,各模型的所有指标也都有所提高。

表 3 模型融合后的性能对比

总而言之,VulBG 对提高基于 DL 的 VD 性能有显著效果。平均而言,在 FFMpeg+Debian 数据集上,F1、精确度和召回率分别提高了 4.2%、0.1% 和 8.7%;在 Chrome+Debian 数据集上,F1、精确度和召回率分别提高了 6.5%、5.3% 和 1.7%。VulBG 的高召回率使基于 DL 的 VD 能够发现更多漏洞,而更高的 F1 也证明 VulBG 可以提高不同模型的整体性能。

5 总结

文中提出了一种新方法,它可以提取函数的行为,然后构建行为图来表示不同函数之间的联系。设计并实现了 VulBG,通过将行为图与其他基于 DL 的 VD 方法相结合来提高漏洞检测性能。在两个真实世界数据集上的评估结果表明,行为图本身就足以胜任漏洞检测工作,且 可以进一步有效提高不同类型基于 DL 的 VD 方法(即 TextCNN、ASTGRU、CodeBERT、Devign 和 VulCNN)的整体性能。

6 原文链接

论文题目:Enhancing Deep Learning-based Vulnerability Detection by Building Behavior Graph Model

论文出处:2023 IEEE/ACM 45th International Conference on Software Engineering ( ICSE 2023 )

原文链接:Enhancing Deep Learning-based Vulnerability Detection by Building Behavior Graph Model | IEEE Conference Publication | IEEE Xplore

项目地址:https://github.com/CGCL-codes/VulBG

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/bicheng/707.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

OpenHarmony网络协议通信—nanopb

简介 nanopb是一种小代码量的协议缓冲区实现,适用于任何内存受限的系统。 下载安装 直接在OpenHarmony-SIG仓中搜索nanopb并下载。 使用说明 以OpenHarmony 3.1 Beta的rk3568版本为例 将下载的Nanopb库代码存在以下路径:./third_party/nanopb 修改添…

docker安装并跑通QQ机器人实践(3)-bs-nonebot搭建

NoneBot2 是一个现代、跨平台、可扩展的 Python 聊天机器人框架(下称 NoneBot),它基于 Python 的类型注解和异步优先特性(兼容同步),能够为你的需求实现提供便捷灵活的支持。同时,NoneBot 拥有大…

如何在 Netlify 上手动部署 React 和 TypeScript 项目

在本教程中,我将教你如何使用 Vite 在 Netlify 上手动部署 React 和 TypeScript 项目。我将向你展示一些快速简单的步骤,让你的项目能够立即运行。 要跟着本教程操作,有几个先决条件: 一个现有的 React 和 TypeScript 项目&…

bug(警告):[vue-router] Duplicate named routes definition: …

查看警告:[vue-router] Duplicate named routes definition——翻译[vue-router]重复命名路由定义 小编劝诫:当我们在开发过程中警告也一定不要忽略,虽然你在本地跑代码时这些警告影响项目的正常运行,但是会让你产生误区&#xff…

OSPGF高级实验综合

1.实验拓扑 二.实验要求 1、R4为ISP,其上只配置IP地址;R4与其他所直连设备间均使用公有IP; 2、R3-R5、R6、R7为MGRE环境,R3为中心站点; 3、整个OSPF环境IP基于172.16.0.0/16划分;除了R12有两个环回&#x…

深入理解JAVA垃圾收集器CMS,G1工作流程原理 GC流程图 什么社会触发Minor GC?触发MinorGC过程。Full GC 过程。

java CMS,G1垃圾收集器工作流程原理浅析 JVM内存空间基础知识点(基于JDk1.8) 1.方法区:逻辑概念,元空间,方法区主要用于存储类的信息、常量池、方法数据、方法代码等。方法区逻辑上属于堆的一部分&#xf…

java实现chatGPT SDK

搭建一个 ChatGPT-SDK 组件工程,专门用于封装对 OpenAI 接口的使用。由于 OpenAI 接口本身较多,并有各类配置的设置,所以开发一个共用的 SDK 组件,更合适我们在各类工程中扩展使用 整个流程为:以会话模型为出口&#x…

C++笔试强训day3

目录 1.简写单词 2.dd爱框框 3.除2! 1.简写单词 链接 我的思路超级简单,就是将输入的每个string存入vector,然后遍历每个string的第一个元素,如果为小写字母,就-32存入,若为大写,则直接存入。…

Docker in Docker的原理与实战

Docker in Docker(简称DinD)是一种在Docker容器内部运行另一个Docker实例的技术。这种技术允许用户在一个隔离的Docker容器中创建、管理和运行其他Docker容器,从而提供了更灵活和可控的部署选项。以下是DinD的主要特点: 隔离性&am…

Maven实战—搭建微服务 Maven 工程架构

需求案例:搭建一个电商平台项目,该平台包括用户服务、订单服务、通用工具模块等。 项目架构: 用户服务:负责处理用户相关的逻辑,例如用户信息的管理、用户注册、登录等。订单服务:负责处理订单相关的逻辑…

使用示例解释.NET中的Mocking是什么?

让我们踏上探索.NET软件开发中Mocking概念的旅程,让我们深入了解Mocking是多么简单易懂、易于访问。请与我一起穿越这个主题,我将涵盖以下内容: 理解Mocking:为何它对于构建强大的测试策略至关重要。探索一些最常见的Mocking库&a…

Ansible组件说明

1.Ansible Inventory 工作当中有不同的业务主机,我们需要在把这些机器信息存放在inventory里面,ansible默认的inventory的文件是/etc/ansible/hosts,也可以通过ANSIBLE_HOSTS环境变量来指定或者运行ansible和ansible-playbook的时候用-i参数临…

视频教程下载:用ChatGPT玩转海外抖音TikTok

CHATGPT for TikTok是一门前沿课程,旨在帮助您充分发挥TikTok广告活动的全部潜力。随着数字营销的爆炸性增长,企业需要使用先进的工具来保持竞争优势。在这门课程中,您将学习如何利用CHATGPT——一种先进的人工智能工具——来创建与目标受众产…

有没有手机上使用的库存软件

库存软件是一种仓库的信息管理系统,它主要针对出库与入库这些数据进行管理,传统的库存管理都是在电脑上安装一个专门的数据库管理系统进行管理,这也是一种比较成熟的管理方式,那么有没有手机上使用的库存软件。 手机上使用的库存软…

k8s配置configmap指定到容器的指定文件

我们需要将名称为walletkey.properties的文件做成configmap,然后将walletkey.properties文件单独挂载出来到/data/walletkey.properties,且不能覆盖/data目录,具体如下 1、创建configmap configmap文件内容 其中walletkey.properties: >-引…

python语言零基础入门——注释、print()函数、input()函数

目录 一、注释 1.块注释 2.行内注释 3.多行注释 二、打印变量 1.print()函数:输出/打印指定内容 2.input()函数:输入指定内容 三、编程题:个人名片 一、注释 1.块注释 以#开始,直到本行结束都是注释为了保证代码的可读性…

科技的崛起:国内机器视觉蓬勃发展

文 | BFT机器人 在工业4.0的浪潮下,随着科技的蓬勃发展,机器视觉逐渐走入大众视野,机器视觉产品的普及范围也越来越广。 大家知道机器视觉的由来吗? 机器视觉的由来可以追溯到20世纪70年代,美国麻省理工学院&#xff…

机器学习鸢尾花各种模型准确率对比

流程 获取数据集导入需要的包读取数据划分训练集和测试集调用各种模型比较准确率 获取数据集 链接:https://pan.baidu.com/s/1RzZyXsaiJB3e611itF466Q?pwdj484 提取码:j484 --来自百度网盘超级会员V1的分享导入需要的包 import pandas as pd impo…

华为机考入门python3--(17)牛客17- 坐标移动

分类:字符串 知识点: 正则匹配 re.match(pattern, move) 格式字符串,可以在字符串中直接引用变量 f"{x},{y}" 题目来自【牛客】 import re def is_valid_coordinate(move): # 使用正则表达式验证移动是否合法 # ^: …

施耐德 PLC 及模块 ModbusTCP 通信配置方法

1. 通过【I/O扫描器】服务进行读写 相关文档:各模块说明书仅 NOE 网卡模块、部分 CPU 自带的网口支持 优点:不需要额外编程,系统自动周期型读写数据缺点:扫描周期不定,程序无法控制数据刷新的时序 2. 通过内部程序…