基於拓撲不變數的軟體漏洞發現方法與技術

《基於拓撲不變數的軟體漏洞發現方法與技術》是依託北京理工大學，由單純擔任項目負責人的聯合基金項目。

基本介紹

• 中文名：基於拓撲不變數的軟體漏洞發現方法與技術
• 依託單位：北京理工大學
• 項目負責人：單純
• 項目類別：聯合基金項目

項目摘要

軟體安全漏洞的發現是信息安全技術的一項基礎性工作，目前的理論與技術基礎薄弱。隨著軟體規模的日益增大，高復用、高集成軟體的大量使用，軟體安全漏洞發現技術難度指數增大，已成為信息領域面臨的重大問題。本項目認為軟體是一種實施邏輯組織控制的代數工程系統，軟體各個組成要素均可以抽象為各種代數構件。如同機械系統裝配一樣，軟體系統的集成是由這些代數構件組裝而成。代數構件的組裝過程，在拓撲空間滿足構形配合特性。基於此，本項目擬重點採用圖論與微分幾何原理，基於拓撲不變數，提取軟體系統的“拓撲不變特徵”，提出軟體拓撲不變特徵測度方法，建立軟體安全漏洞檢測、識別、預測與評估的新方法和新技術，揭示安全漏洞形成與分布規律，形成基於拓撲不變特徵的軟體安全漏洞發現模型與技術體系，突破軟體安全漏洞發現精度與效率的技術瓶頸，為軟體安全漏洞的定量發現奠定理論基礎。

結題摘要

軟體是一種實施邏輯組織控制的代數工程系統，軟體各個組成要素（如模組、子系統）均可以抽象為各種代數構件，如同機械系統裝配一樣，軟體系統的集成是由這些代數構件組裝而成。代數構件的組裝過程，在拓撲空間滿足構形配合特性。本項目通過提取軟體系統的“拓撲不變特徵”，提出軟體拓撲不變特徵測度方法，建立軟體安全漏洞發現模型，形成基於拓撲不變特徵的軟體安全漏洞發現技術體系與基礎。按照項目的研究計畫，針對基於代數拓撲的軟體系統構件化表示，提出了基於代數拓撲的軟體系統表示模型、基於代數拓撲的軟體系統演化模型。針對基於軟體系統拓撲結構的安全漏洞形成原理，提出了原始碼級漏洞機理、二進制級漏洞機理、基於組件依賴圖的複雜性、耦合性以及內聚性指標等相關原理。針對軟體系統結構拓撲不變數描述方法，提出了軟體有向加權網路模型、Weak-Tainted漏洞描述模型等描述模型。針對軟體系統結構漏洞的檢測與評估方法，提出了軟體結構特性度量指標和度量方法、Java系統的漏洞發現方法、基於缺陷可能性、缺陷傳播代價的關鍵節點挖掘方法、基於PageRank的關鍵節點挖掘改進算法、基於模式匹配的軟體缺陷檢測方法、基於組件依賴圖的軟體安全漏洞預測方法、基於KPCA-SVM的軟體缺陷預測模型、基於NPE-SVM的軟體缺陷分布預測模型、基於LTSA-SVM的軟體缺陷預測模型、基於DBN-SVM的軟體缺陷預測模型。並研究開發了AOTA漏洞自動挖掘與利用原型系統。本項目取得的成果形成了基於拓撲不變特徵的軟體安全漏洞發現模型與技術體系，為軟體安全漏洞的定量發現奠定理論基礎，達到了各項預期目標。