【论文笔记】A Large-Scale Empirical Study of Security Patches

这是17年CCS研究patch的一篇study。

abstract

研究how the“patching treadmill”对于指导安全组织去理解patch的发展进程和patch的特征非常重要。研究现状安全patch的发展可以告知我们现有patch进行中的缺点，提供我们提高现有实践的思路。原文如下：

it behooves the security community to understand the patch development process and characteristics of the resulting fixes. Illumination of the nature of security patch development can inform us of shortcomings in existing remediation processes and provide insights for improving current practices.

1、本文调查了NVD中4000多个bug fixes，超过3000个漏洞，影响682个开源软件。
组织分析了patch发展生命周期的各个方面，信息来源于relevant external
references, affected software repositories, and their associated security fixes。
分析的内容包括：patch发展生命周期，包括调查漏洞对代码库的影响持续时间，开发人员修复安全可靠的补丁的程度，对比了安全补丁和其他非安全补丁，探索不同类型patch的复杂度和他们对于代码库的影响。