[發(fā)明專利]基于知識(shí)圖譜的第三方庫安全風(fēng)險(xiǎn)分析方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202110382640.3
• 申請日: 2021-04-09
• 公開（公告）號(hào): CN113139192A
• 公開（公告）日: 2021-07-20
• 發(fā)明（設(shè)計(jì)）人: 孫洲;薄莉莉;孫小兵;王一帆;周媛媛;李斌
• 申請（專利權(quán)）人: 揚(yáng)州大學(xué)
• 主分類號(hào): G06F21/57
• 分類號(hào): G06F21/57;G06F21/56
• 代理公司: 南京蘇高專利商標(biāo)事務(wù)所(普通合伙) 32204
• 代理人: 孟紅梅

1.基于知識(shí)圖譜的第三方庫安全風(fēng)險(xiǎn)分析方法，其特征在于，所述方法包括以下步驟：

(1)采集項(xiàng)目依賴配置文件作為初始數(shù)據(jù)集，并從采集的文件中迭代獲取多層第三方庫lib信息及api調(diào)用關(guān)系，生成記錄所有的第三方庫實(shí)體的文件，以及記錄第三方庫實(shí)體間的精確到api級(jí)別的調(diào)用關(guān)系文件；

(2)根據(jù)步驟(1)中獲取的lib信息在NVD數(shù)據(jù)庫中索引CVE以搜集第三方庫的漏洞信息，生成記錄所有的漏洞實(shí)體的文件；

(3)根據(jù)漏洞實(shí)體的URLs屬性獲取含有漏洞的第三方庫中受影響的api信息，生成記錄第三方庫和漏洞關(guān)系的文件；

(4)將步驟(1)-(3)生成的記錄實(shí)體和關(guān)系的文件導(dǎo)入知識(shí)圖譜工具生成知識(shí)圖譜；

(5)通過構(gòu)建好的知識(shí)圖譜實(shí)現(xiàn)第三方庫安全風(fēng)險(xiǎn)分析，得到CVE漏洞直接和間接影響到的第三方庫。

2.根據(jù)權(quán)利要求1所述的基于知識(shí)圖譜的第三方庫安全風(fēng)險(xiǎn)分析方法，其特征在于，所述步驟(1)中使用并行迭代算法思想實(shí)現(xiàn)lib信息及api調(diào)用關(guān)系的數(shù)據(jù)爬取與整理，其中第三方庫實(shí)體的屬性包括lib的編號(hào)、版本號(hào)、類別和發(fā)布時(shí)間，具體步驟包括：

(1.1)從項(xiàng)目依賴配置文件中抽取出第一層第三方庫信息lib₁；

(1.2)通過網(wǎng)絡(luò)爬蟲獲取lib₁中第三方庫的實(shí)體屬性信息，更新生成lib₁.csv文件并下載對應(yīng)的代碼文件，以分析第三方庫之間的api調(diào)用關(guān)系，生成相應(yīng)csv文件；

(1.3)使用并行迭代的方法，將lib_n-1.csv文件中的第三方庫列表通過網(wǎng)絡(luò)爬蟲獲取調(diào)用lib_n-1第三方庫列表的lib信息，并生成lib_n中第三方庫列表完整實(shí)體屬性信息，更新生成lib_n.csv文件并下載對應(yīng)的代碼文件，以分析第三方庫之間的api調(diào)用關(guān)系，生成相應(yīng)的lib_n-1_lib_n.csv文件；其中n表示分析的第三方庫調(diào)用的層數(shù)；

(1.4)將lib₁.csv…lib_n.csv文件進(jìn)行l(wèi)ib條目去重，合并生成記錄所有第三方庫實(shí)體的lib_all.csv文件；

(1.5)將lib₁_lib₂.csv…lib_n-1_lib_n.csv文件中api調(diào)用關(guān)系條目進(jìn)行去重，合并生成記錄第三方庫實(shí)體間的精確到api級(jí)別的調(diào)用關(guān)系的lib_relationship.csv文件。

3.根據(jù)權(quán)利要求1所述的基于知識(shí)圖譜的第三方庫安全風(fēng)險(xiǎn)分析方法，其特征在于，所述步驟(2)中在復(fù)制到本地的NVD數(shù)據(jù)庫中索引CVE，具體步驟包括：

(2.1)在本地?cái)?shù)據(jù)庫中添加NVD數(shù)據(jù)庫中的CVE相關(guān)信息，將步驟(1)中的生成記錄所有的第三方庫實(shí)體的文件里lib條目與其匹配，篩選出對應(yīng)的CVE條目；

(2.2)將CVE條目通過爬蟲工具在CVE、CVEdetails兩個(gè)平臺(tái)進(jìn)行CVE信息更新，將兩個(gè)網(wǎng)站中的數(shù)據(jù)取并集，生成CVE實(shí)體條目，其中CVE實(shí)體的屬性包括CVE的編號(hào)、漏洞類型、漏洞描述和URLs，生成記錄所有的漏洞實(shí)體的CVE.csv文件，并自動(dòng)更新。

4.根據(jù)權(quán)利要求1所述的基于知識(shí)圖譜的第三方庫安全風(fēng)險(xiǎn)分析方法，其特征在于，所述步驟(3)生成記錄第三方庫和漏洞關(guān)系的文件的具體步驟包括：

(3.1)掃描CVE實(shí)體條目中的URLs屬性，篩選出patch或者commit，通過URL中信息提取出含有漏洞的第三方庫中受影響的api，并保存；

(3.2)建立lib條目與CVE條目之間的關(guān)系，關(guān)系的屬性包括對應(yīng)受影響的api信息，生成記錄第三方庫和漏洞關(guān)系的lib_CVE.csv文件。