[發明專利]一種基于依賴項檢測和開源評分體系的NET平臺開源軟件供應鏈漏洞評分方法

在審

• 申請號: 202210658233.5
• 申請日: 2022-06-10
• 公開（公告）號: CN115329336A
• 公開（公告）日: 2022-11-11
• 發明（設計）人: 周鵬;印可陽
• 申請（專利權）人: 上海大學
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 上海上大專利事務所(普通合伙) 31205
• 代理人: 何文欣

1.一種基于依賴項檢測和開源評分體系的NET平臺開源軟件供應鏈漏洞評分方法，其特征包括如下步驟：

1)依賴項檢測：使用依賴項檢測程序獲取上下游依賴項數據信息并定義指標區間；

2)開源評分體系：基于針對上下游依賴關系的評分指標提出開源評分體系及計分公式。

2.根據權利要求1所述的基于依賴項檢測和開源評分體系的NET平臺開源軟件供應鏈漏洞評分方法，其特征在于：所述步驟1)具體包括下列步驟：

步驟1.1、實現NuGet目錄讀取器的游標，標識出處理目錄資源的時間點或者時間段；

步驟1.2、確定目錄讀取器的資源鏈接，對JSON格式的資源文檔進行目錄檢索；

步驟1.3、在@type屬性標識的資源目錄中，按照對應的@id屬性讀取下一級的目錄；

步驟1.4、處理步驟1.3中獲取到的次級目錄頁，讀取對應NuGet組件的名稱、描述、大小和依賴項等信息；

步驟1.5、基于步驟1.4中獲取到的NuGet組件信息進行數據統計，并對數據結果的相關概念做出定義、歸納區間。

3.根據權利要求1所述的基于依賴項檢測和開源評分體系的NET平臺開源軟件供應鏈漏洞評分方法，其特征在于：所述步驟2)具體包括下列步驟：

步驟2.1、將CVSS可利用度評分S_e中的攻擊復雜度指標E_ac重新進行等級劃分，并作為開源評分體系的基礎評分指標，其余基礎評分指標沿用CVSS；

步驟2.2、為影響度評分S_i重新選取度量指標，并進行等級劃分和權值分配；

步驟2.3、通過開源評分體系得出漏洞的嚴重性分數S_oc，評分指標組的計分公式為：

其中作用域scope的取值為改變(C)和未改變(U)，不做具體取值。

4.根據權利要求2所述的基于依賴項檢測和開源評分體系的NET平臺開源軟件供應鏈漏洞評分方法，其特征在于：在所述步驟1.5中，基于步驟1.4獲取NuGet平臺中用戶活躍性較高的30341個組件進行依賴項的檢測與分析，其中對組件依賴關系的概念定義和區間歸納如下：

(a)基于NuGet組件下游依賴度的統計

NuGet組件的下游依賴度表示該組件被其他NuGet組件依賴的程度，數值越大，依賴該組件的依賴項個數越多。下游依賴度在很大程度上體現了NuGet組件對下游供應鏈的影響程度。

(b)基于NuGet組件上游依賴度的統計

NuGet組件的上游依賴度表示該組件依賴其他NuGet組件的程度，依賴度越大，該組件的依賴項個數越多。

根據NuGet組件的上、下依賴度可以判斷該組件處于開源工業軟件供應鏈的位置。數據顯示90％以上的NuGet組件下游依賴度都分布于10以下，尤其是下游依賴度為0的NuGet組件接近總數的50％，此類NuGet組件是面向終端用戶、可以直接使用的軟件，可被歸類于成品組件；上游依賴度集中于2以下，此類NuGet組件基本上是應用程序的重要依賴項，可歸類為基礎組件；而上、下依賴項都處于較大值的NuGet組件可歸類為中間組件。

(c)基于NuGet組件依賴深度的統計

下游依賴度只反映了某NuGet組件下一級的依賴項數量分布情況，而缺少了對該NuGet組件多級依賴關系的直觀度量，而依賴深度可作為參考指標。每一個組件存在若干下游依賴項，各個依賴項可能依舊包含下一級依賴，其中依賴的層級數被稱為依賴深度；根據所有依賴項的依賴深度總數與依賴項個數，可求得該NuGet組件的平均依賴深度；根據平均依賴深度的數據分布，可分為三組0、1～2和3～8，分別對應下游依賴項層級數量的極少、較少和較高三種情況。

(d)基于NuGet組件下載量的統計

NuG_et組件的歷史下載次數充分體現了該組件的影響力和流行度。依據下載量的數據統計，可將NuGet組件分為下載量較低(0～90)、下載量較高(90～600)和下載量極高(大于600)三個范圍區間。