java中字节码_人机协同 Java 字节码漏洞扫描系统

图 1 系统总体架构图

1. 项目意义

近年来，软件系统规模以及复杂性不断增大，软件安全问题层出不穷，其原因一般是程序本身在代码设计或实现过程中存在错误或缺陷(称为漏洞)。源码安全审计可以在系统开发阶段发现潜在安全漏洞，从而帮助减少 10%—50%安全漏洞。因此在源码级别对程序进行漏洞扫描，可以在源头上有效减少安全漏洞的产生，从而减少恶意攻击事件的发生，保证软件安全性。随着程序分析技术与静态扫描工具的快速发展，在系统发布前对程序进行漏洞扫描成为趋势。

但现存大多静态扫描工具基于模式匹配、数据流分析等技术，通常未能充分考虑上下文，存在大量误报漏洞。大量误报漏洞的存在不仅增加了工程师筛选真正漏洞的成本，甚至导致部分开发人员弃用漏洞扫描工具。综上，静态漏洞扫描工具存在大量误报结果，而纯人工漏洞检测需要手动检测相关代码，亦存在成本高、耗时长等缺点。因此，为了向用户提供低误报的高效 Java 漏洞扫描服务，系统扫描便于分析的字节码，通过基于特征提取与机器学习的误报过滤模型识别误报漏洞，利用众包专家(安全工程师)审核进一步人工确认正误报，结合二者生成低误报扫描报告。系统利用专家审核结果不断扩增数据集，迭代训练误报过滤模型，持续提高误报过滤效果，降低漏洞扫描误报率。