基于数据融合的源代码静态分析.pdfVIP

第34卷 第20期 计 算 机 工 程 2008年 10月 Vo1．34 No．2D ComputerEngineering October2008 · 软件技术与数据库 · 文章编号：10o 428(2o08)2 删6 3 文献标识码；A 中圈分类号。TP311 基于数据融合的源代码静态分析 陈 超，李 俊 ，孔德光 (中国科学技术大学 自动化系，合肥 230027) 摘 要：采用数据融合技术对源代码进行静态分析，实现可扩展的原型系统。对现有静态分析工具的分析结果进行解析和数据融合，并对 相应的参数进行估计。为便于读取和分析输出结果，采用XML格式输出结果。对常用网络软件进行测试，结果表明相对于单个源代码分 析工具，该技术有效地降低了误报率和漏报率。 关健词：漏洞检测；静态分析；数据融合；误报率；漏报率 SourceCodeStaticAnalysisBasedOilDataFusion CHENChao，LIJun，KONGDe-guang (DepartmentofAutomation，UniversityofScienceTechnologyofChina，Hefei230027) [Abstract]Thispaperpresentsanewsourcecodestaticanalysistechnologybasedondatafusionandimplementsanextendedprototypesystem．It interpretsandmakesdatafusionontheoutcomeofdifferentsatticanalysistoolsnadevaluatesthecorrespondingpraameters．Toreadna dnaalyze easily，theoutcomeofthesystem adoptsXMLform．Aftertestingcommonnetworksoftware，experimentalresultshowshtatcompraedwithsingle sourcecodeanalysis，thistechnologycanreducefalsepositivesandfalsenegativeseffectively． [Keywordslvulnerabilitydetection；staticanalysis；datafusion；falsepositives；falsenegatives 1 概述 使漏洞结果之间互为补充。一方面，降低源代码静态分析的 软件静态分析主要是对源代码进行静态安全性分析，即 漏报率 ，尽可能多发现存在的漏洞；另一方面，通过对融合 通过在程序运行前分析源代码以尽早发现源程序存在的脆弱 的结果进行等级评估，漏洞的误报率也会降低。 性和安全问题。评价静态分析工具的好坏有 2个重要指标： 本文的研究主要基于2个假设： (1)漏报率(falsenegatives)：程序中含有安全问题但没有找出 (1)一个被多数工具识别的漏洞极有可能是漏洞； 的比率；(2)误报率 (~lsepositives)：报出程序原本不存在的 (2)被所有工具误报的一个漏洞出现的概率相对较低。 安全 问题的比率 。 ． 设有n个静态分析工具，第 i个静态分析工具的可信赖 对于已有的源代码静态分析工具，虽然各 自的分析机理 度权值为 w(i)，正确报告率是 TP(i)，则误报率是 FP(f)=1一 不同，但都有一个共同弱点，产生大量的误报和漏报 J。主 丁_P()，漏报率是FN(i)。w()的大小与FP()和FN(i)的大小成 要