完善漏洞知識圖譜中漏洞和軟體元件之間的可追溯性連結

• 摘要

摘要

軟體漏洞和它們相應的軟體元件資訊通常儲存在不同的位置，並有不同的表示方法。在它們之間建立準確的追溯連結，形成統一的知識圖譜，對漏洞擴散分析、元件依賴性管理和關係推理都有很大幫助。

在本文中，我們首先提出了一個軟體漏洞知識圖譜模型，它整合了CVE資訊、Maven庫中的Java元件元資料和Github上的專案協作資料。為了構建知識圖，我們提出了兩種本體匹配方法。第一種方法以URL文字匹配的方式連結Maven專案和Github專案。第二種方法引入了隨機森林演算法，基於16個明確定義的特徵將CVE專案版本和Maven專案版本聯絡起來。

實驗結果表明，CVE專案版本和Maven專案版本之間的匹配是非常有希望的，準確率高達99.8%。基於我們的方法，漏洞和軟體元件之間的可追溯性聯絡可以更加準確。