CN111368305A

CN111368305A - 一种代码安全风险检测方法

Info

Publication number: CN111368305A
Application number: CN201910628412.2A
Authority: CN
Inventors: 巨李岗; 从慧珅; 田伟丽
Original assignee: Beijing Keyware Co ltd
Current assignee: Beijing Keyware Co ltd
Priority date: 2019-07-12
Filing date: 2019-07-12
Publication date: 2020-07-03

Abstract

本发明涉及一种代码安全风险检测方法，包括：步骤1)构建安全信息知识库；步骤2)安全信息知识库增量维护；步骤3)漏洞代码特征信息的提取；步骤4)建立漏洞代码特征与缺陷关联知识库；步骤5)被监测代码特征提取；步骤6)被监测代码特征与漏洞代码与缺陷关联知识库进行匹配，如果匹配到信息，则该被监测代码存在安全风险，否则为安全代码，不存在安全风险。通过本发明，通过完成安全信息知识库、代码特征提取，以及漏洞代码特征与安全信息知识库的关联知识库的建立，实现对代码是否存在安全风险的检测。

Description

一种代码安全风险检测方法

技术领域

本发明涉及代码安全检测领域，尤其涉及一种代码安全风险检测方法。

背景技术

随着网络的飞速发展，各种网络应用不断成熟，各种开发技术层出不穷，上网已经成为人民日常生活中的一个重要组成部分。在享受互联网带来的各种方便之处的同时，安全问题也变得越来越重要。随着全球范围的黑客入侵不断猖獗，信息安全问题越来越严重。在对抗黑客入侵的安全技术中，实时入侵检测和漏洞扫描评估IDnA(IntrusionDetection and Assessment)的技术和产品已经开始占据越来越重要的位置。

实时入侵检测和漏洞扫描评估基于的主要方法还是“已知入侵手法检测”和“已知漏洞扫描”，换句话说就是基于知识库的技术。可见，决定一个 IDnA技术和产品的重要标志就是能够检测的入侵种类和漏洞数量。

CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。使用一个共同的名字，可以帮助用户在各自独立的各种漏洞数据库中和漏洞评估工具中共享数据，虽然这些工具很难整合在一起。这样就使得CVE成为了安全信息共享的“关键字”。如果在一个漏洞报告中指明的一个漏洞，如果有CVE名称，你就可以快速地在任何其它CVE兼容的数据库中找到相应修补的信息，解决安全问题。

虽然CVE给出了统一的漏洞名称，也在网站上列举了示例代码对漏洞予以说明，并且给出解决建议。但是对于一段代码是否存在安全风险，并不能根据cve对应的网站快速的分析出当前代码是否存在安全风险！

发明内容

为了解决上述问题，本发明提供了一种代码安全风险检测方法，针对 cve网站提供的cve漏洞及漏洞代码，首先爬取cve漏洞信息和漏洞代码，建立安全信息知识库，和漏洞代码特征与安全信息知识关联库。通过对被检测代码的特征提取，再与漏洞代码特征与安全信息知识关联库进行匹配，如果匹配到数据，则可说明被检测代码存在安全风险，另外可以定位出存在的漏洞名称(对应的cveID)；如果没有匹配到数据，则说明没有安全风险。

根据本发明的一方面，提供了一种代码安全风险检测方法，所述方法包括：

步骤1)构建安全信息知识库：从cve漏洞信息网站爬取安全信息，并且从美国国家脆弱性数据库爬取cve漏洞对应的风险等级，构建安全信息知识库；

步骤2)安全信息知识库增量维护：由于不断有新的漏洞被发现，并公布在cve漏洞信息安全网站，所以定期爬取最新的安全信息增量维护到本地安全信息知识库；

步骤3)漏洞代码特征信息的提取：在开源网站爬取有已知cve漏洞的代码文件或者片段(函数)，提取特征值；

步骤4)建立漏洞代码特征与缺陷关联知识库：将步骤3)中获取的代码特征值与对应的cve漏洞ID，建立漏洞代码特征与安全信息关联知识库；

步骤5)被检测代码特征提取：对被检测代码文件或者代码片段，提取特征值；

步骤6)被监测代码特征与漏洞代码与缺陷关联知识库进行匹配：将步骤5)获取到的被检测代码特征值，在步骤4)建立的漏洞代码特征与安全信息关联知识库中根据被检测代码特征值能否匹配到cve漏洞，如果能匹配到，则该被检测代码存在安全风险，否则不存在安全风险；

更具体地，在所述的代码安全风险检测方法的方法中：在步骤1)中，从cve漏洞信息网站爬取的安全信息有：cve漏洞ID，状态、类型及对应的解决办法，从美国国家脆弱性数据库可以爬取到CVSS漏洞风险评估等级，等级分为V2和V3两种。

更具体地，在所述的代码安全风险检测方法的方法中：在步骤3)中和步骤5)，代码如果为文件形式，则提取的特征值有：文件名称、大小、 MD5；如果是代码片段(函数)，则提取的特征值有：代码字符长度、 MD5。

更具体地，在所述的代码安全风险检测方法的方法中：在步骤4)中，漏洞代码特征与安全信息关联知识库主要包含漏洞代码的MD5和cve漏洞ID。

更具体地，在所述的代码安全风险检测方法的方法中：在步骤6)中，被检测代码特征与漏洞代码与缺陷关联知识库进行匹配时，是根据被检测代码的MD5进行匹配。

本发明针对混源代码结构复杂的难题，利用函数接口，代码接口等多级特征来智能分析，实现对混源代码的分析和开源代码的定位，围绕开源软件的复杂和许可证的多样性带来的安全和知识产权分析，重点突破混源代码的智能检测与分析技术。

附图说明

以下将结合附图对本发明的实施方案进行描述，其中：

图1为根据本发明实施方案示出的代码安全风险检测方法的步骤流程图。

图2、图3、图4、图5为根据本发明实施方案示出的混源文件许可冲突检测方法的步骤流程图的详解图。

具体实施方式

下面将参照附图对本发明的代码安全风险检测方法的实施方案进行详细说明。

目前基于“已知入侵手法检测”和“已知漏洞扫描”方式检测代码安全风险的CVE相关产品。虽然CVE给出了统一的漏洞名称，也在网站上列举了示例代码对漏洞予以说明，并且给出解决建议。但是对于一段代码是否存在安全风险，并不能根据cve对应的网站快速的分析出当前代码是否存在安全风险！

为了克服上述不足，本发明搭建了一种代码安全风险检测方法，能够有效解决上述技术问题。

图1为根据本发明实施方案示出的混源文件许可冲突检测方法的步骤流程图，所述方法包括：

其中，安全信息，漏洞代码信息是从漏洞信息网站通过爬取，对安全信息、漏洞代码进行收集，以及漏洞代码特征值的提取并构建安全信息库与漏洞代码特征与安全信息关联库，做到定时更新维护，保证数据的完整性。

综上，通过本发明，能够完成对代码特征的提取，实现对代码是否存在安全风险的准确判断。

可以理解的是，虽然本发明已以较佳实施例披露如上，然而上述实施例并非用以限定本发明。对于任何熟悉本领域的技术人员而言，在不脱离本发明技术方案范围情况下，都可利用上述揭示的技术内容对本发明技术方案做出许多可能的变动和修饰，或修改为等同变化的等效实施例。因此，凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所做的任何简单修改、等同变化及修饰，均仍属于本发明技术方案保护的范围内。

Claims

1.一种代码安全风险检测方法，其特征在于，所述方法包括：

步骤6)被监测代码特征与漏洞代码与缺陷关联知识库进行匹配：将步骤5)获取到的被检测代码特征值，在步骤4)建立的漏洞代码特征与安全信息关联知识库中根据被检测代码特征值能否匹配到cve漏洞，如果能匹配到，则该被检测代码存在安全风险，否则不存在安全风险。

2.如权利要求1所述的代码安全风险检测方法，其特征在于：

在步骤1)中，从cve漏洞信息网站爬取的安全信息有：cve漏洞ID，状态、类型及对应的解决办法，从美国国家脆弱性数据库可以爬取到CVSS漏洞风险评估等级，等级分为V2和V3两种。

3.如权利要求1所述的代码安全风险检测方法，其特征在于：

在步骤3)中和步骤5)，代码如果为文件形式，则提取的特征值有：文件名称、大小、MD5；如果是代码片段(函数)，则提取的特征值有：代码字符长度、MD5。

4.如权利要求1所述的代码安全风险检测方法，其特征在于：

在步骤4)中，漏洞代码特征与安全信息关联知识库主要包含漏洞代码的MD5和cve漏洞ID。

5.如权利要求1所述的代码安全风险检测方法，其特征在于：

在步骤6)中，被检测代码特征与漏洞代码与缺陷关联知识库进行匹配时，是根据被检测代码的MD5进行匹配。