V2W-BERT: 一种有效的软件漏洞层次多类分类框架

KDDFeb, 2021

V2W-BERT: 一种有效的软件漏洞层次多类分类框架

V2W-BERT: A Framework for Effective Hierarchical Multiclass Classification of Software Vulnerabilities

Siddhartha Shankar Das, Edoardo Serra, Mahantesh Halappanavar, Alex Pothen, Ehab Al-Shaer

TL;DR本文介绍了一种基于 Transformer 学习框架的新方法 (V2W-BERT)，通过自然语言处理、链接预测和迁移学习等思想，自动将 Common Vulnerabilities and Exposures (CVE) 映射到 Common Weakness Enumerations (CWE)，准确地解决了在网络安全方面的问题，可应用于寻找软件漏洞和缓解网络攻击。

Abstract

Weaknesses in computer systems such as faults, bugs and errors in the architecture, design or implementation of software provide vulnerabilities that can be exploited by attackers to compromise the security of a system. Common Weakness Enumerations (CWE) are a hierarchically designed dictionary of software weaknesses that provide a means to understand softwa

common weakness enumerations common vulnerabilities and exposures transformer-based learning framework link prediction cybersecurity

发现论文，激发创造

威胁分析：使用分层神经网络对 CVE2CWE 进行分类

本文介绍了第一个自动将 CVE 分类到 CWE 的工具 ——ThreatZoom，它利用一种新颖的学习算法，该算法采用自适应层次神经网络，基于文本分析分数和分类错误进行权重调整，通过从 CVE 的描述中提取的统计和语义特征自动估计 CWE 类别，经过 MITRE 和国家漏洞数据库（NVD）提供的各种数据集的严格测试，将 CVE 实例正确分类到其正确的 CWE 类别的精度为 92％（细粒度）和 94％（粗粒度）对于 NVD 数据集，并为 MITRE 数据集 75％（细粒度）和 90％（粗粒度），尽管数据集很小。

Sep, 2020

将 CVE 漏洞记录自动映射到 MITRE CWE 弱点

本研究旨在通过 Sentence-BERT 和 rankT5 等深度学习模型将 CVE 记录映射为 MITRE CWE 弱点，并发布了包含 4,012 个记录的手动注释数据集，以用于弥补缺乏公共可用数据集的问题。

Apr, 2023

硬件弱点脆弱性映射框架 HW-V2W-Map: GPT 辅助缓解建议的根本原因分析

现代计算框架的复杂性不断增加，导致从业人员向国家漏洞数据库（NVD）报告的网络安全漏洞激增。尽管 NVD 具有提供最新洞察的重要性，但在没有适用的技术方法的情况下，从如此大量的非结构化数据中提取有意义的趋势仍然具有挑战性。该研究提出了一种综合策略，包括解决漏洞、分数预测和从 CWE 和 CVE 数据库中提取相关洞察的知识生成系统。为了应对物联网设备的硬件攻击不断增长的问题，作者提出了基于机器学习的硬件漏洞到弱点映射（HW-V2W-Map）框架，该框架使用本体驱动叙事框架自动更新本体以识别漏洞随时间的演变趋势，并提供解决漏洞的方法。该框架还利用生成式预训练转换器（GPT）大型语言模型提供解决方案建议。

Dec, 2023

自动化漏洞分析：威胁优先级和影响预测

本研究介绍了一种名为 CVEDrill 的创新预测模型与工具，能够革新 CVE 分析和威胁优先级排序，实现精确威胁缓解和自动分类 CVE 至适当的 CWE 层级类别，从而开创了在此领域超越 ChaptGPT 等最先进工具的组织实施网络安全对策缓解的精确度和及时性。

Sep, 2023

揭示未见安全实体之间的隐藏链接

VulnScopper 是一种创新方法，利用多模态表示学习，结合知识图谱和自然语言处理，自动化和增强对软件漏洞的分析，显著提高了公共漏洞和曝光、常见弱点枚举和常见平台枚举之间的链接预测准确率。

Mar, 2024

CVSS-BERT：使用自然语言理解技术从计算机安全漏洞描述中确定其严重程度

利用自然语言处理中的 BERT 分类器，从可公开的计算机安全漏洞的文本描述中解析漏洞的特征并计算其严重性得分，以减少分析所需的时间和人力。

Nov, 2021

语义漏洞嵌入的漏洞聚类与其他机器学习应用

利用自然语言处理技术获得漏洞空间的简洁表示，并作为机器学习应用的基础，支持网络安全研究人员和分析师进行风险评估等相关活动。

Aug, 2023

双向 Transformer vs. word2vec：发现提升编译代码中的漏洞

利用自然语言处理（NLP）中的 word2vec、BERT 和 RoBERTa 等嵌入技术，通过学习中间表示（LLVM）代码的语义，利用长短期记忆（LSTM）神经网络对 Juliet 数据集中近 118k 个 LLVM 函数的嵌入进行训练，进而检测编译二进制文件中的漏洞。研究结果显示，与复杂的上下文 NLP 嵌入相比，word2vec 连续词袋（CBOW）模型在检测漏洞方面取得了 92.3% 的验证准确率，表明当用来训练双向变压器模型的数据样本数量有限（例如 118K）时，简单的 word2vec 模型在这个任务中可能更有优势。这些比较结果为选择用于学习编译器独立语义代码表示的最佳嵌入提供了新的见解，推动了编译二进制文件中漏洞的机器学习检测的发展。

May, 2024

基于机器学习的自动化软件漏洞检测

利用机器学习和深度神经网络，针对 C++ 程序开发了一种基于数据驱动的漏洞检测方法，研究结果表明结合源代码和神经网络特征，可以获得更可靠的漏洞检测结果，最高检测能力达到 0.87。

Feb, 2018

CPE-Identifier：采用深度学习和自然语言处理的自动 CPE 标识和 CVE 摘要注释

针对国家漏洞数据库（NVD）每年新漏洞数量的急剧增加，导致 NVD 分析师将通用平台枚举（CPE）与公共漏洞和暴露（CVE）摘要相关联的工作量越发繁重和缓慢，本研究提出了自动标注和提取 CPE 的 CPE-Identifier 系统，通过深度学习模型，自动生成和标注数据，应用自然语言处理（NLP）命名实体识别（NER）识别文本中的新技术术语，并在自动化 CVE-CPE 标注方面表现优异。

May, 2024