أداة التعلم الآلي تكتشف 80% من عمليات الإيداع المسببة للثغرات الأمنية مسبقاً

جدول الروابط

ملخص

I. مقدمة

II. خلفية

III. تصميم

• تعريفات
• أهداف التصميم
• إطار العمل
• امتدادات

IV. النمذجة

• المصنفات
• الميزات

V. جمع البيانات

VI. التوصيف

• زمن إصلاح الثغرات الأمنية
• تحليل تغييرات إصلاح الثغرات الأمنية
• تحليل التغييرات المسببة للثغرات الأمنية

VII. النتيجة

• التحقق من صحة N-FOLD
• التقييم باستخدام وضع النشر عبر الإنترنت

VIII. مناقشة

• الآثار المترتبة على المشاريع المتعددة
• الآثار المترتبة على أعمال أمان Android
• تهديدات الصلاحية
• المناهج البديلة

IX. الأعمال ذات الصلة

الخاتمة والمراجع

\ \

X. الخاتمة

قدمت هذه الورقة نهجًا عمليًا واستباقيًا لاختبار الأمان يعتمد على تنبؤ دقيق عبر الإنترنت بالتغييرات المحتملة في الشفرة المعرضة للثغرات الأمنية في وقت ما قبل التقديم. قدمنا ثلاثة أنواع من بيانات الميزات الجديدة التي تكون فعالة في التنبؤ بالثغرات الأمنية وقيّمنا استدعاءها ودقتها من خلال التحقق من صحة N-fold باستخدام البيانات من مشروع Android مفتوح المصدر الكبير والمهم.

\ كما قمنا بتقييم وضع النشر عبر الإنترنت، وتحديد مجموعة فرعية من أنواع بيانات الميزات التي ليست خاصة بمشروع مستهدف حيث يتم جمع بيانات التدريب وبالتالي يمكن استخدامها لمشاريع أخرى (مثل إعداد المشاريع المتعددة). أظهرت نتائج التقييم أن إطار عمل VP الخاص بنا يحدد ~80% من التغييرات المقيمة المسببة للثغرات الأمنية في وقت ما قبل التقديم بدقة 98% ونسبة إيجابية خاطئة <1.7%.

\ تدعو النتائج الإيجابية إلى إجراء أبحاث مستقبلية (مثل استخدام تقنيات الذكاء الاصطناعي والتعلم الآلي المتقدمة) للاستفادة من نهج أو إطار عمل VP لمشاريع المصادر المفتوحة الأساسية التي تديرها المجتمعات وهي في نفس الوقت حاسمة للعديد من منتجات البرمجيات وأجهزة الكمبيوتر التي يستخدمها عدة مليارات من المستخدمين على أساس يومي.

\ تنبع أهمية هذه الورقة من فوائدها المجتمعية المحتملة. يمكن للاعتماد الواسع للنهج القائمة على التعلم الآلي مثل إطار عمل VP أن يعزز بشكل كبير قدراتنا على مشاركة بيانات مصداقية المساهمين والمشاريع مفتوحة المصدر. من شأن هذه البيانات المشتركة أن تمكّن مجتمعات المصادر المفتوحة من مكافحة التهديدات مثل الحسابات المزيفة (كما هو الحال في هجوم الباب الخلفي لأداة Linux XZ16).

\ بالإضافة إلى ذلك، يمكن لهذا النهج القائم على التعلم الآلي أن يسهل الاستجابة السريعة عبر مشاريع المصادر المفتوحة عندما تظهر هجمات مخطط لها منذ فترة طويلة. تعزز مشاركة المعلومات عبر المشاريع المماثلة أو التابعة الاستعداد وتقلل من وقت الاستجابة للهجمات المماثلة.

\ لذلك، ندعو إلى مبادرة مجتمعية مفتوحة المصدر لإنشاء ممارسة لمشاركة قاعدة بيانات مصداقية المطورين والمشاريع لتعزيز سلاسل توريد البرمجيات مفتوحة المصدر التي تعتمد عليها العديد من منتجات الكمبيوتر والبرمجيات.

\

المراجع

[1] T. Menzies, J. Greenwald, and A. Frank, "Data Mining Static Code Attributes to Learn Defect Predictors," IEEE Transactions on Software Engineering, 33(1):2-13, 2007.

[2] M. Halstead, Elements of Software Science, Elsevier, 1977.

[3] T. McCabe, "A Complexity Measure," IEEE Transactions on Software Engineering, 2(4):308-320, 1976.

[4] R. Quinlan, C4.5: Programs for Machine Learning, Morgan Kaufman, 1992.

[5] T. Zimmermann, N. Nagappan, H. Gall, E. Giger, and B. Murphy, "Cross-project defect prediction: a large scale experiment on data vs. domain vs. process," in Proceedings of the Joint Meeting of the European Software Engineering Conference and the ACM SIGSOFT Symposium on the Foundations of Software Engineering (ESEC/FSE), pp. 91-100, 2009.

[6] A. Chou, J. Yang, B. Chelf, S. Hallem, and D. Engler, "An Empirical Study of Operating Systems Errors," in Proceedings of the ACM Symposium on Operating Systems Principles (SOSP), pp. 73-88, 2001.

[7] S. Kim, T. Zimmermann, E. J. Whitehead Jr., and A. Zeller, "Predicting Faults from Cached History," in Proceedings of the ACM International Conference on Software Engineering (ICSE), pp. 489- 498, 2007.

[8] F. Rahman, D. Posnett, A. Hindle, E. Barr, and P. Devanbu, "BugCache for inspections," in Proceedings of the ACM SIGSOFT Symposium and the European Conference on Foundations of Software Engineering (SIGSOFT/FSE), p. 322, 2011.

[9] C. Lewis, Z. Lin, C. Sadowski, X. Zhu, R. Ou, and E. J. Whitehead Jr., "Does bug prediction support human developers? findings from a google case study," in Proceedings of the International Conference on Software Engineering (ICSE), pp. 372-381, 2013.

[10] J. Walden, J. Stuckman, and R. Scandariato, "Predicting Vulnerable Components: Software Metrics vs Text Mining," in Proceedings of the IEEE International Symposium on Software Reliability Engineering, pp. 23-33, 2014.

[11] A. Chou, J. Yang, B. Chelf, S. Hallem, and D. Engler, "An empirical study of operating systems errors," in Proceedings of the ACM Symposium on Operating Systems Principles (SOSP), pp. 73-88, 2001.

[12] S. R. Chidamber and C. F. Kemerer, "A Metrics Suite for Object Oriented Design," IEEE Transactions on Software Engineering, 20(6):476-493, 1994.

[13] R. Quinlan, C4.5: Programs for Machine Learning, Morgan Kaufmann Publishers, San Mateo, CA, 1993.

[14] A. Chou, J. Yang, B. Chelf, S. Hallem, and D. Engler, "An empirical study of operating systems errors," in Proceedings of the ACM Symposium on Operating Systems Principles (SOSP), pp. 73-88, 2001.

[15] R. Chillarege, I. S. Bhandari, J. K. Chaar, M. J. Halliday, D. S. Moebus, B. K. Ray, and M-Y. Wong, "Orthogonal defect classification-a concept for in-process measurements", IEEE Transactions on Software Engineering, 18(11):943-956, 1992.

[16] R. Natella, D. Cotroneo, and H. Madeira, "Assessing Dependability with Software Fault Injection: A Survey", ACM Computing Surveys, 48(3), 2016.

[17] K. S. Yim, "Norming to Performing: Failure Analysis and Deployment Automation of Big Data Software Developed by Highly Iterative Models," in Proceedings of the IEEE International Symposium on Software Reliability Engineering (ISSRE), pp. 144-155, 2014.

[18] S. R. Chidamber and C. F. Kemerer, "A Metrics Suite for Object Oriented Design," IEEE Transactions on Software Engineering, 20(6):476-493, 1994.

[19] K. S. Yim, "Assessment of Security Defense of Native Programs Against Software Faults," System Dependability and Analytics, Springer Series in Reliability Engineering, Springer, Cham., 2023.

[20] M. Fourné, D. Wermke, S. Fahl and Y. Acar, "A Viewpoint on Human Factors in Software Supply Chain Security: A Research Agenda," IEEE Security & Privacy, vol. 21, no. 6, pp. 59-63, Nov.-Dec. 2023.

[21] P. Ladisa, H. Plate, M. Martinez and O. Barais, "SoK: Taxonomy of Attacks on Open-Source Software Supply Chains," in Proceedings of the IEEE Symposium on Security and Privacy (SP), pp. 1509-1526, 2023.

[22] D. Wermke et al., ""Always Contribute Back": A Qualitative Study on Security Challenges of the Open Source Supply Chain," in Proceedings of the IEEE Symposium on Security and Privacy (SP), pp. 1545-1560, 2023.

[23] A. Dann, H. Plate, B. Hermann, S. E. Ponta and E. Bodden, "Identifying Challenges for OSS Vulnerability Scanners - A Study & Test Suite," IEEE Transactions on Software Engineering, vol. 48, no. 9, pp. 3613-3625, 1 Sept. 2022.

[24] S. Torres-Arias, A. K. Ammula, R. Curtmola, and J. Cappos, "On omitting commits and committing omissions: Preventing git metadata tampering that (re)introduces software vulnerabilities," in Proceedings of the 25th USENIX Security Symposium, pp. 379-395, 2016.

[25] R. Goyal, G. Ferreira, C. Kastner, and J. Herbsleb, "Identifying unusual commits on github," Journal of Software: Evolution and Process, vol. 30, no. 1, p. e1893, 2018.

[26] C. Soto-Valero, N. Harrand, M. Monperrus, and B. Baudry, "A comprehensive study of bloated dependencies in the maven ecosystem," Empirical Software Engineering, vol. 26, Mar 2021.

[27] R. Duan, O. Alrawi, R. P. Kasturi, R. Elder, B. Saltaformaggio, and W. Lee, "Towards measuring supply chain attacks on package managers for interpreted languages," arXiv preprint arXiv:2002.01139, 2020.

[28] Enduring Security Framework, "Securing the software supply chain: Recommended practices guide for developers," Cybersecurity and Infrastructure Security Agency, Washington, DC, USA, August 2022.

[29] Z. Durumeric et al., "The matter of heartbleed," in Proceedings of the ACM Internet Measurement Conference, pp. 475-488, 2014.

[30] D. Everson, L. Cheng, and Z. Zhang, "Log4shell: Redefining the web attack surface," in Proceedings of the Workshop on Measurements, Attacks, and Defenses for the Web (MADWeb), pp. 1-8, 2022.

[31] "Highly evasive attacker leverages SolarWinds supply chain to compromise multiple global victims with SUNBURST backdoor," Mandiant, available at https://www.mandiant.com/resources/blog/evasive-attackerleverages-solarwinds-supply-chain-compromises-with-sunburstbackdoor

[32] W. Enck and L. Williams, "Top five challenges in software supply chain security: Observations from 30 industry and government organizations," IEEE Security Privacy, vol. 20, no. 2, pp. 96-100,