[发明专利]一种代码安全风险检测方法

说明书

本发明涉及一种代码安全风险检测方法，包括：步骤1)构建安全信息知识库；步骤2)安全信息知识库增量维护；步骤3)漏洞代码特征信息的提取；步骤4)建立漏洞代码特征与缺陷关联知识库；步骤5)被监测代码特征提取；步骤6)被监测代码特征与漏洞代码与缺陷关联知识库进行匹配，如果匹配到信息，则该被监测代码存在安全风险，否则为安全代码，不存在安全风险。通过本发明，通过完成安全信息知识库、代码特征提取，以及漏洞代码特征与安全信息知识库的关联知识库的建立，实现对代码是否存在安全风险的检测。

技术领域

本发明涉及代码安全检测领域，尤其涉及一种代码安全风险检测方 法。

背景技术

随着网络的飞速发展，各种网络应用不断成熟，各种开发技术层出不 穷，上网已经成为人民日常生活中的一个重要组成部分。在享受互联网带 来的各种方便之处的同时，安全问题也变得越来越重要。随着全球范围的 黑客入侵不断猖獗，信息安全问题越来越严重。在对抗黑客入侵的安全技 术中，实时入侵检测和漏洞扫描评估IDnA(IntrusionDetection and Assessment)的技术和产品已经开始占据越来越重要的位置。

实时入侵检测和漏洞扫描评估基于的主要方法还是“已知入侵手法检 测”和“已知漏洞扫描”，换句话说就是基于知识库的技术。可见，决定一个 IDnA技术和产品的重要标志就是能够检测的入侵种类和漏洞数量。

CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露 出来的弱点给出一个公共的名称。使用一个共同的名字，可以帮助用户在 各自独立的各种漏洞数据库中和漏洞评估工具中共享数据，虽然这些工具 很难整合在一起。这样就使得CVE成为了安全信息共享的“关键字”。如果 在一个漏洞报告中指明的一个漏洞，如果有CVE名称，你就可以快速地 在任何其它CVE兼容的数据库中找到相应修补的信息，解决安全问题。

虽然CVE给出了统一的漏洞名称，也在网站上列举了示例代码对漏 洞予以说明，并且给出解决建议。但是对于一段代码是否存在安全风险， 并不能根据cve对应的网站快速的分析出当前代码是否存在安全风险！

发明内容

为了解决上述问题，本发明提供了一种代码安全风险检测方法，针对 cve网站提供的cve漏洞及漏洞代码，首先爬取cve漏洞信息和漏洞代码， 建立安全信息知识库，和漏洞代码特征与安全信息知识关联库。通过对被 检测代码的特征提取，再与漏洞代码特征与安全信息知识关联库进行匹 配，如果匹配到数据，则可说明被检测代码存在安全风险，另外可以定位 出存在的漏洞名称(对应的cveID)；如果没有匹配到数据，则说明没有 安全风险。

根据本发明的一方面，提供了一种代码安全风险检测方法，所述方法 包括：

步骤1)构建安全信息知识库：从cve漏洞信息网站爬取安全信息， 并且从美国国家脆弱性数据库爬取cve漏洞对应的风险等级，构建安全信 息知识库；

步骤2)安全信息知识库增量维护：由于不断有新的漏洞被发现，并 公布在cve漏洞信息安全网站，所以定期爬取最新的安全信息增量维护到 本地安全信息知识库；

步骤3)漏洞代码特征信息的提取：在开源网站爬取有已知cve漏洞 的代码文件或者片段(函数)，提取特征值；

步骤4)建立漏洞代码特征与缺陷关联知识库：将步骤3)中获取的 代码特征值与对应的cve漏洞ID，建立漏洞代码特征与安全信息关联知识 库；

步骤5)被检测代码特征提取：对被检测代码文件或者代码片段，提 取特征值；

步骤6)被监测代码特征与漏洞代码与缺陷关联知识库进行匹配：将 步骤5)获取到的被检测代码特征值，在步骤4)建立的漏洞代码特征与 安全信息关联知识库中根据被检测代码特征值能否匹配到cve漏洞，如果 能匹配到，则该被检测代码存在安全风险，否则不存在安全风险；