Aug, 2019

利用预测评分系统（EPSS）

PDF
TL;DR本文提出了第一个开放的数据驱动的漏洞威胁评估框架，即漏洞在公开披露后的 12 个月内被利用的概率评分系统，该系统被设计为足够简单，可以由非技术专家实践者实现，同时提供准确的利用估计，且可根据更多更好的数据进行更新。我们称之为 Exploit Prediction Scoring System (EPSS)。
information securityvulnerability managementthreat assessmentscoring systemepss
发现论文，激发创造
  • 漏洞优先级排序：一种攻击性安全方法

    本文介绍了一种新的漏洞优先级排序方法，受渗透测试的启发，通过一个真实的案例来验证了机器学习自动化流程的准确性。

    Jun, 2022

  • 使用开源数据预测软件漏洞的利用

    本研究旨在研究使用机器学习模型来预测软件漏洞是否会被攻击，着重探讨了该方法的局限性和如何选择更合适的测试数据以准确预测漏洞被攻击的可能性。

    Jul, 2017

  • 自动化漏洞分析：威胁优先级和影响预测

    本研究介绍了一种名为 CVEDrill 的创新预测模型与工具，能够革新 CVE 分析和威胁优先级排序，实现精确威胁缓解和自动分类 CVE 至适当的 CWE 层级类别，从而开创了在此领域超越 ChaptGPT 等最先进工具的组织实施网络安全对策缓解的精确度和及时性。

    Sep, 2023

  • CVSS-BERT：使用自然语言理解技术从计算机安全漏洞描述中确定其严重程度

    利用自然语言处理中的 BERT 分类器，从可公开的计算机安全漏洞的文本描述中解析漏洞的特征并计算其严重性得分，以减少分析所需的时间和人力。

    Nov, 2021

  • 漏洞攻击技术与威胁识别

    该研究使用机器学习和自然语言处理技术以及多个公共数据集，提供一个易于理解的漏洞到攻击技术和威胁行为者的映射，帮助安全从业者协助客户管理和优先处理漏洞。

    Jun, 2022

  • 基于 CVE 的攻击技术预测与语义信息提取及领域特定语言模型

    该研究论文介绍了一种能够分析 CVE 描述并推测由 CVE 利用导致的可能 TTP 攻击的创新技术工具 TTPpredictor，并通过与 MITRE 的攻击功能类别的关联，实现了对威胁行为的自动分类，提高了对于潜在攻击技术的主动识别和威胁治理的能力。

    Sep, 2023

  • 改进 CVSS 的工业控制系统漏洞评估

    本研究提出一种评估工控系统（ICS）网络风险的方法，利用改进的 CVSS 在连续搅拌槽反应器模型上应用，结果显示 ICS 的物理系统级别是最高风险，控制器、工作站和人机界面是网络攻击和防御的关键组件。

    Jun, 2023

  • 评估软件项目估算中的预测系统

    提出一个新的框架来进行预测系统的评估，并检验了现有的统计指标的有效性，呈现出可靠的实验结论。

    Jan, 2021

  • 基于机器学习的安卓开源项目易受攻击代码更改预测

    本文提出了一个能够有选择地触发源代码的安全审查的框架，通过作为代码审查服务中的审查机器人，该框架能够在代码更改提交到源代码存储库之前，在提交前自动请求额外的安全审查。该框架使用经过训练的分类器来识别具有漏洞的代码更改，采用多种类型的输入特征分析审查模式、跟踪软件工程过程以及挖掘给定代码更改中的特定文本模式。经过数据优化后的分类器及其特征使用了来自所提交代码更改以及 Android 开源项目（AOSP）中报告的漏洞的数据。评估结果表明，我们的漏洞预防（VP）框架能够在数据集中识别出约 80% 的引起漏洞的代码更改，精度比大约为 98%，误报率约为 1.7%。本文探讨了在多项目环境中部署 VP 框架的影响以及 Android 安全性研究的未来方向。本文探索和验证了我们对代码更改粒度漏洞预测方法的方法，并提供了一种在提交之前预防性地检测到有漏洞代码更改的软件安全技术。

    May, 2024

  • 基于排名聚合和多目标优化的数据中心漏洞风险优先级评价

    本文主要阐述数据中心的漏洞问题和解决方案，介绍多目标优化技术在漏洞管理中的应用，以及如何开发一个有效的模型来优化漏洞的安全风险排序。

    Feb, 2022