[發明專利]一種固件漏洞檢測及數據安全治理方法和系統

有效

• 申請號: 202310101003.3
• 申請日: 2023-02-13
• 公開（公告）號: CN116032654B
• 公開（公告）日: 2023-06-30
• 發明（設計）人: 楊明;魯帥;吳曉明;梁艷;穆超;王鑫;陳振婭
• 申請（專利權）人: 山東省計算中心（國家超級計算濟南中心）;齊魯工業大學（山東省科學院）
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/12;G06F21/57;G06F21/56
• 代理公司: 山東竹森智壤知識產權代理有限公司 37382
• 代理人: 呂利敏

1.一種固件漏洞檢測及數據安全治理方法，其特征在于，包括：

（1）固件解析：將待檢測的物聯網設備固件進行：固件解壓、提取可執行文件以及提取可執行文件的相關數據；

（2）函數預篩選：將可執行文件通過函數漏洞庫、Hash計算、反匯編機制以獲取可疑漏洞函數；

（3）函數相似度匹配：通過檢測固件中的可疑漏洞函數是否為已知漏洞函數的同源函數，以此判斷，該檢測固件中是否包含相應的漏洞；

所述步驟（3）函數相似度匹配方法包括：

（3-1）將所述可疑漏洞函數進行匯編代碼預處理，以得到可疑漏洞函數對應的函數文本；

（3-2）所述函數文本作為SBFS模型的輸入，得到兩個嵌入向量；

（3-3）使用余弦相似度計算兩個嵌入向量的相似得分：

如果相似得分大于預設的相似度閾值，則認為可疑漏洞函數為已知漏洞函數的同源函數；

分別對可疑漏洞函數和已知漏洞函數進行函數基本塊重排序、VEX?IR中間表示和無意義詞匯的處理；

所述函數基本塊重排序：用于使可疑漏洞函數的基本塊按照深度優先遍歷的序列排序、使已知漏洞函數的基本塊按照深度優先遍歷的序列排序；

所述VEX?IR中間表示：選用VEX?IR代碼作為二進制函數基本塊的中間表示；

所述無意義詞匯的處理：在所述VEX?IR中間表示之后還包括抽象規則，即對VEX?IR代碼中的低頻詞匯進行標記；

所述步驟（3）函數相似度匹配方法中，

對所述SBFS模型進行訓練：

選用MIPS架構下的二進制函數代碼作為訓練集和評估集，其他架構的數據作為測試集來驗證所述SBFS模型跨架構的性能；

給定一個二進制函數文本，采用BERT的語言掩碼模型MLM，在訓練過程中，以?15%的概率將二進制函數文本的?VEX?IR?指令替換成?MASK，以迫使BERT自然語言模型依賴上下文信息去預測VEX?IR指令；然后將BERT自然語言模型輸出的函數文本中的所有VEX?IR指令的嵌入式向量的平均值作為二進制函數文本的嵌入向量；

所述SBFS模型是由BERT自然語言模型使用MIPS架構數據集訓練得來的，用于提取二進制函數的語義信息。

2.根據權利要求1所述一種固件漏洞檢測及數據安全治理方法，其特征在于，所述方法的步驟（1）固件解析的具體方法包括：

（1-1）利用逆向工具binwalk對所述物聯網設備固件進行解壓得到系統文件；

（1-2）在所述系統文件中，對所有文件使用file命令提取可執行文件；

（1-3）提取所述可執行文件的相關數據，包括：名字、架構以及版本號。

3.根據權利要求1所述一種固件漏洞檢測及數據安全治理方法，其特征在于，所述方法的步驟（2）函數預篩選中，所述函數漏洞庫為函數級CVE漏洞數據庫；

所述函數漏洞庫記錄漏洞函數的元數據，所述元數據包括：函數名、架構、所在文件以及CVE漏洞的基本信息；所述Hash計算用于計算可執行文件的hash值；所述反匯編機制用于獲取可執行文件的函數；

所述函數預篩選的具體方法包括：

（2-1）按照可執行文件的相關數據在所述函數漏洞庫中檢索文件記錄，將所述可執行文件的hash值和所述文件記錄中的hash值進行比較：

如果hash值比較結果相同，則可執行文件包含文件記錄中的漏洞函數，結束對當前函數的預篩選工作；

否則，執行步驟（2-2）;

（2-2）利用二進制代碼分析工具對可執行文件進行反匯編機制，以獲取可執行文件對應的函數集合：

若所述函數集合中包含所述文件記錄的漏洞函數，則將所述函數集合中的對應函數標記為可疑漏洞函數；

否則，執行步驟（2-3）；

（2-3）將所述可疑漏洞函數作為函數相似度匹配的輸入。