计算机应用

作者：文敏, 王荣存, 姜淑娟

单位：1.矿山数字化教育部工程研究中心(中国矿业大学), 江苏 徐州 221116；2.中国矿业大学 计算机科学与技术学院, 江苏 徐州 221116；3.高安全系统的软件开发与验证技术工业和信息化部重点实验室(南京航空航天大学), 南京 211106

关键词：漏洞检测,代码属性图,关系图卷积网络,深度学习,预测模型

基金：国家自然科学基金资助项目(61673384);江苏省自然科学基金资助项目(BK20181353);高安全系统的软件开发与验证技术工业和信息化部重点实验室开放基金资助项目(1015-56XCA18164)

软件安全的根源在于软件开发人员开发的源代码，但随着软件规模和复杂性不断提高，仅靠人工检测漏洞代价高昂且难以扩展，而现有的代码分析工具有较高的误报率与漏报率。为此，提出一种基于关系图卷积网络（RGCN）的自动化漏洞检测方法以进一步提高漏洞检测的精度。首先将程序源代码转换为包含语法、语义特征信息的CPG；然后使用RGCN对图结构进行表示学习；最后训练神经网络模型预测程序源代码中的漏洞。为验证所提方法的有效性，在真实的软件漏洞样本上开展了实验验证，结果表明所提方法的漏洞检测结果的召回率和F1值分别达到了80.27%和63.78%。与Flawfinder、VulDeepecker和基于图卷积网络（GCN）的同类方法相比，所提方法的F1值分别提高了182%、12%和55%，可见所提方法能有效提高漏洞检测能力。

来源：2022年第6期

《计算机应用》期刊编辑部

查看计算机应用杂志2022年第6期