CN110826071A - 软件漏洞风险预测方法、装置、设备及存储介质 - Google Patents

Abstract

本申请实施例公开了一种软件漏洞风险预测方法、装置、设备及存储介质，涉及信息安全检测技术领域。该方法包括：接收待预测的软件文件；选用预设的评估模型，确定评估模型中所需的目标预测因子；基于目标预测因子获取软件文件对应的关联信息，进而根据关联信息中记录的统计数据确定目标预测因子的参数值；结合所述目标预测因子的参数值和所述评估模型生成用于评估软件文件漏洞风险的预测概率。所述方法可以避免在无关数据中浪费时间和资源，使目的明确且减小工作量，并能够将软件文件产生漏洞的风险提示前置，在开发阶段就能实现预警，以及提前给与测试人员足够的警示，从而更有效地规避漏洞风险，减小后期工作量，提高开发和测试效率。

Description

软件漏洞风险预测方法、装置、设备及存储介质

技术领域

本申请涉及信息安全检测技术领域，特别是一种基于软件漏洞风险预测方法、装置、设备及存储介质。

背景技术

在软件业蓬勃兴起的大背景下，我们需要不断提高软件交付的质量以满足用户日益提高的标准。其中，代码用于正确且详细地描述软件，是软件的最终载体，代码的质量对软件的质量具有重要意义，然而，由于编程人员技术水平参差不齐，编写出来的代码的质量也参差不齐，通常，用代码编写的东西，都会存在不同程度的漏洞。代码的漏洞往往会导致软件的许多程序漏洞，代码漏洞是软件文件中漏洞的主要来源。

而目前针对软件文件中漏洞的检测，只能是在测试阶段进行测试发现漏洞，发现时机较晚，导致测试和漏洞的修复时间都很短，而且后期的测试会消耗额外的时间及人力成本，加剧开发人员和测试人员的工作量。

发明内容

本申请实施例所要解决的技术问题是，提供一种软件漏洞风险预测方法、装置、设备及存储介质，能够将软件文件产生漏洞的风险提示前置，在开发阶段就能实现预警。

为了解决上述技术问题，本申请实施例所述的一种软件漏洞风险预测方法，采用了如下所述的技术方案：

一种软件漏洞风险预测方法，包括：

接收待预测的软件文件；

选用预设的评估模型，并获取所述软件文件的使用场景，根据所述使用场景确定所述评估模型中所需的目标预测因子；

基于所述目标预测因子获取所述软件文件对应的关联信息，进而根据所述关联信息中记录的统计数据确定所述目标预测因子的参数值；

结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率。

本申请实施例所述的软件漏洞风险预测方法，根据不同的使用场景确定目标预测因子，可以避免在无关数据中浪费时间和资源，使目的明确且减小工作量，并能够将软件文件产生漏洞的风险提示前置，在开发阶段就能实现预警，让开发人员着重注意修改代码的对象，在一定程度上规避开发软件时的程序漏洞的产生，以及提前给与测试人员足够的警示，在测试时优先测试风险较大的文件，从而能够更有效地规避漏洞风险，减小后期工作量，提高开发和测试效率。

进一步的，所述的软件漏洞风险预测方法，所述选用预设的评估模型的步骤之前，所述方法还包括步骤：

选取函数值的缓动方式为先慢后快的缓动函数作为所述评估模型的初始模型；

调整所述初始模型并配置参数以生成所述评估模型。

进一步的，所述的软件漏洞风险预测方法，所述调整所述初始模型并配置参数以生成所述评估模型的步骤包括：

获取包含所述评估模型中的所述目标预测因子的历史统计数据；

通过调整所述初始模型中各参数的值对初始模型进行优化，以使由所述初始模型基于所述历史统计数据计算出的预测概率不断趋于真实概率，从而生成所述评估模型。

进一步的，所述的软件漏洞风险预测方法，在所述根据所述使用场景确定所述评估模型中所需的目标预测因子的步骤之前，所述方法还包括步骤：以软件文件的创建时间距离当前时间的时间差、历史缺陷数量、历史提交次数、历史提交人数、总代码量、提交人的历史代码质量作为待选预测因子，存储于因子库中；

在所述因子库中建立所述待选预测因子与使用场景的映射关系；

所述根据所述使用场景确定所述评估模型中所需的目标预测因子的步骤包括：

从预设的所述因子库中选取至少两项与所述软件文件的使用场景匹配的待选预测因子作为所述评估模型所需的目标预测因子。

进一步的，所述的软件漏洞风险预测方法，所述结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率的步骤之前，所述方法还包括步骤：

为确定的每项所述评估模型所需的目标预测因子分配权重。

进一步的，所述的软件漏洞风险预测方法，所述为确定的每项所述评估模型所需的目标预测因子分配权重的步骤包括：

为每项目标预测因子分配初始权重，并将每项目标预测因子的参数值与为每项目标预测因子预设的风险阈值进行比较，确定参数值超过风险阈值的目标预测因子并选取其中一项作为风险因子；

调整各项目标预测因子的所述初始权重，以满足以下规则：以预设额度提升所述风险因子的初始权重，并根据除所述风险因子外的其他目标预测因子的比例，将所述预设额度分配至所述其他目标预测因子处，对其他目标预测因子的初始权重进行降低。

进一步的，所述的软件漏洞风险预测方法，所述结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率的步骤之后，所述方法还包括步骤：

生成包含所述预测概率的告警消息；

将所述告警消息发送至目标人员，以向所述目标人员提醒所述软件文件的漏洞风险。

为了解决上述技术问题，本申请实施例还提供一种软件漏洞风险预测装置，采用了如下所述的技术方案：

一种软件漏洞风险预测装置，包括：

数据接收模块，用于接收待预测的软件文件；

公式调用模块，用于选用预设的评估模型，并获取所述软件文件的使用场景，根据所述使用场景确定所述评估模型中所需的目标预测因子；

数值获取模块，用于基于所述目标预测因子获取所述软件文件对应的关联信息，进而根据所述关联信息中记录的统计数据确定所述目标预测因子的参数值；

概率计算模块，用于结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率。

本申请实施例所述的软件漏洞风险预测装置，根据不同的使用场景确定目标预测因子，可以避免在无关数据中浪费时间和资源，使目的明确且减小工作量，并能够将软件文件产生漏洞的风险提示前置，在开发阶段就能实现预警，让开发人员着重注意修改代码的对象，在一定程度上规避开发软件时的程序漏洞的产生，以及提前给与测试人员足够的警示，在测试时优先测试风险较大的文件，从而能够更有效地规避漏洞风险，减小后期工作量，提高开发和测试效率。

为了解决上述技术问题，本申请实施例还提供一种计算机设备，采用了如下所述的技术方案：

一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器执行所述计算机程序时实现如上述任意一项技术方案所述的软件漏洞风险预测方法的步骤。

为了解决上述技术问题，本申请实施例还提供一种计算机可读存储介质，采用了如下所述的技术方案：

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述任意一项技术方案所述的软件漏洞风险预测方法的步骤。

与现有技术相比，本申请实施例主要有以下有益效果：

本申请实施例公开了一种软件漏洞风险预测方法、装置、设备及存储介质，本申请实施例所述的软件漏洞风险预测方法，接收待预测的软件文件后；选用预设的评估模型，并获取所述软件文件的使用场景，根据所述使用场景确定所述评估模型中所需的目标预测因子；基于所述目标预测因子获取所述软件文件对应的关联信息，进而根据所述关联信息中记录的统计数据确定所述目标预测因子的参数值；结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率。所述方法根据不同的使用场景确定目标预测因子，可以避免在无关数据中浪费时间和资源，使目的明确且减小工作量，并能够将软件文件产生漏洞的风险提示前置，在开发阶段就能实现预警，让开发人员着重注意修改代码的对象，在一定程度上规避开发软件时的程序漏洞的产生，以及提前给与测试人员足够的警示，在测试时优先测试风险较大的文件，从而能够更有效地规避漏洞风险，减小后期工作量，提高开发和测试效率。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例可以应用于其中的示例性系统架构图；

图2为本申请实施例中所述软件漏洞风险预测方法的一个实施例的流程图；

图3为本申请实施例中缓动函数的函数值的变化趋势示意图；

图4为本申请实施例中所述软件漏洞风险预测装置的一个实施例的结构示意图；

图5为本申请实施例中计算机设备的一个实施例的结构示意图。

具体实施方式

除非另有定义，本文所使用的所有的技术和科学术语与属于本申请的技术领域的技术人员通常理解的含义相同。本文中在本申请的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本申请。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“包括”、“包含”和“具有”以及它们任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其他步骤或单元。在本申请的权利要求书、说明书以及说明书附图中的术语，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体/操作/对象与另一个实体/操作/对象区分开来，而不一定要求或者暗示这些实体/操作/对象之间存在任何这种实际的关系或者顺序。

在本文中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其他实施例互斥的独立的或备选的实施例。本领域技术人员显式地和隐式地理解的是，本文所描述的实施例可以与其他实施例相结合。

为了使本技术领域的人员更好地理解本申请的方案，下面将结合本申请实施例中的相关附图，对本申请实施例中的技术方案进行清楚、完整地描述。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器(Moving Picture ExpertsGroup Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving PictureExperts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对终端设备101、102、103上显示的页面提供支持的后台服务器。

需要说明的是，本申请实施例所提供的软件漏洞风险预测方法一般由服务器/终端设备执行，相应地，软件漏洞风险预测装置一般设置于服务器/终端设备中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

继续参考图2，示出了本申请实施例中所述软件漏洞风险预测方法的一个实施例的流程图。所述软件漏洞风险预测方法，包括以下步骤：

步骤201：接收待预测的软件文件。

本申请实施例中，所述软件漏洞风险预测方法主要针对于软件文件中可能存在的漏洞风险进行预测，而软件文件中的漏洞风险主要来源于其中的软件代码，针对漏洞风险进行预警的目标用户主要为软件文件的开发人员和测试人员。

于是在该方法的实施过程中，首先确定哪些软件文件属于仍需要开发人员继续修改提交的软件文件和需要测试人员进行测试的软件文件，将上述软件文件视为需要执行漏洞风险预测的软件文件，再通过通信连接传输，在执行所述方法的服务器设备上接收所述软件文件。

在本申请实施例中，所述软件漏洞风险预测方法运行于其上的电子设备(例如图1所示的服务器/终端设备)可以通过有线连接方式或者无线连接方式接收软件文件。需要指出的是，上述无线连接方式可以包括但不限于3G/4G连接、WiFi连接、蓝牙连接、WiMAX连接、Zigbee连接、UWB(ultra wideband)连接、以及其他现在已知或将来开发的无线连接方式。

步骤202：选用预设的评估模型，并获取所述软件文件的使用场景，根据所述使用场景确定所述评估模型中所需的目标预测因子。

本申请实施例中，对于所述软件文件中存在的漏洞风险的预测，主要是根据预设的评估模型计算得出的预测概率进行判断。

而以先选用预设的所述评估模型，再获取和确定所述评估模型中所需的目标预测因子有哪些的顺序来实施所述软件漏洞风险预测方法，可以避免该方法的后续步骤在无需涉及的无用数据中浪费时间和资源，降低预测效率。

本申请中评估模型一般指概率公式，而概率公式中能够影响得出的函数值的变量，实质是指影响软件文件漏洞风险的因素。进一步理解，概率公式的函数值即指预测概率，变量即指目标预测因子。所述目标预测因子包括哪些内容可以根据历史统计经验获知后任意配置。如可以选取影响软件文件漏洞风险的因素中最主要的几项因素共同作为所述目标预测因子。

具体地，对于软件文件的不同使用场景，有时需要选用不同的目标预测因子。因此可以预先根据软件文件的不同使用场景在评估模型中配置好不同的目标预测因子，从而在接收了软件文件后，能根据所述软件文件的使用场景进行快速匹配，确定评估模型中所需的目标预测因子有哪些。

在本申请实施例的一种具体实施方式中，在所述步骤202之前，所述软件漏洞风险预测方法还包括步骤：

选取函数值的缓动方式为先慢后快的缓动函数作为所述评估模型的初始模型；

调整所述初始模型并配置参数以生成所述评估模型。

预先设置所述评估模型时，需要根据实际需求选取一种能适合本提案中所述方法的各种使用场景的函数公式，然后通过大量实验数据进行计算和比较，调整该函数公式的结构后选取最为合适的参数值代入该函数公式作为其参数，以此得到经验算和优化后的函数公式作为所述评估模型。

进一步参考图3，上述步骤中选用的缓动方式为先慢后快的缓动函数，其函数值的变化趋势即如图所示。

该缓动函数对应的所述初始模型为：

其中，p为函数值，t为变量，b、c和d均为具体参数。

本申请实施例中，应用缓动函数的原因是：在整体状态比较良好的情况下，软件文件产生漏洞的概率比较小，但在某些点之后，发生漏洞的概率会陡增，此类情况与缓动函数的变化趋势较为吻合。

进一步的，所述调整所述初始模型并配置参数以生成所述评估模型的步骤包括：

获取包含所述评估模型中的所述目标预测因子的历史统计数据；

通过调整所述初始模型中各参数的值对初始模型进行优化，以使由所述初始模型基于所述历史统计数据计算出的预测概率不断趋于真实概率，从而生成所述评估模型。

在一种具体实施方式中，上述步骤中生成最终的评估模型之前，首先会对所述初始模型进行调整以生成一个中间模型，生成的所述中间模型为：

其中，a、b、c和d均为具体参数，i表示t作为该函数的变量，p为函数值。而由初始模型调整后得到的中间模型中，两处位置取绝对值的目的是使计算结果不小于0，a参数表示初始模型中对应位置的数值1，a的值还可以根据实际数据验算后设置为其他具体数值，该中间模型中除以100的目的是为了将函数值换算为表示概率的百分比值。

调整初始模型为所述中间模型的函数公式后，然后根据历史统计数据中记录的实际情况，不断对参数的具体数值进行优化配置，其具体过程为：设置初始模型中各参数的值后，代入目标预测因子i的值，根据该初始模型计算预测概率p，而根据对历史统计数据的总结可以获知对应于目标预测因子i的值最接近的真实概率，为了使预测概率p尽可能地趋近真实概率，可以基于大量的对比数据不断调整参数的值。本申请中，最终生成的较理想的评估模型为：

其中，i表示由目标预测因子表示的函数变量，c取1.1是经实际数据统计的验算后确定的较为合适的参数值，c取1不会产生放大效果，c取1.2对预测概率的放大效果过于明显，超过理想的概率范围。如在一次实际验算中，c取1.1时预测概率p的计算结果为69.23％，c取1.2时预测概率p的计算结果为75.52％，而根据历史统计来看，69％的概率更加接近事实，即c的值取1.1时对预测概率p的计算结果更为准确。

同理，a的值取3和d的值取2同样是经实际数据统计的验算后确定的较为合适的参数值。而b的值取0，则是因为若软件文件的质量较好时，其出现漏洞的概率无限趋近于0。

上述a、b、c、d参数的具体数值均为根据实际的历史统计数据验算后所取的较为合适的值，如此取值，能使该函数模型的函数值更为接近准确的预测概率。

步骤203：基于所述目标预测因子获取所述软件文件对应的关联信息，进而根据所述关联信息中记录的统计数据确定所述目标预测因子的参数值。

所述关联信息中记录有关于各个目标预测因子的统计数据，由所述关联信息可以确定所述目标预测因子的具体参数值。

首先确定所需的目标预测因子后再根据目标预测因子获取数据，而不是首先获取海量数据，再从海量数据中寻找跟所需的目标预测因子相关的数据，可以避免服务器在无关数据中浪费过多的时间和资源，目的明确且工作量较小。

步骤204：将所述目标预测因子的参数值输入所述评估模型执行计算，生成用于评估所述软件文件漏洞风险的预测概率。

所述预测概率的具体数值即表示所述软件文件产生漏洞的风险，通过所述预测概率即可较好地评估所述软件文件的安全隐患。本申请实施例中，一次预测过程，即执行一次所述软件漏洞风险预测方法时，只对一个软件文件进行预测。

在开发阶段，开发人员可以根据该预测概率着重注意需要修改代码的软件文件，使开发人员在一定程度上规避开发软件时的程序漏洞的产生。对于测试人员，测试人员则可以在测试前获得足够的警示，根据该预测概率判断哪些软件文件风险更大，从而在测试时优先和着重测试风险较大的软件文件。

在本申请的一些实施例中，步骤202中，所述根据所述使用场景确定所述评估模型中所需的目标预测因子的步骤之前，所述软件漏洞风险预测方法还包括步骤：

以软件文件的创建时间距离当前时间的时间差、历史缺陷数量、历史提交次数、历史提交人数、总代码量、提交人的历史代码质量作为待选预测因子，存储于因子库中；

在所述因子库中建立所述待选预测因子与使用场景的映射关系。

所述根据所述使用场景确定所述评估模型中所需的目标预测因子的步骤则包括：

从预设的所述因子库中选取至少两项与所述软件文件的使用场景匹配的待选预测因子作为所述评估模型所需的目标预测因子。

目标预测因子为能够影响预测概率的变量，目标预测因子的选取可以根据实际经验从影响软件文件的漏洞产生的因素中选取。

本申请实施例中，主要将以下六个方面的因素作为待选预测因子：

1、软件文件的创建时间距离当前时间的时间差。

一般而言，软件文件的创建时间越久，越容易产生漏洞，所述时间差的以“天”作为单位代入所述评估模型进行计算。

2、软件文件的历史缺陷数量。

一般而言，软件文件的历史缺陷数量越多，越容易产生漏洞，所述历史缺陷数量以“个”作为单位代入所述评估模型进行计算。

3、软件文件的历史提交次数。

一般而言，软件文件的历史提交次数越多，越容易产生漏洞，所述历史提交次数以“次”作为单位代入所述评估模型进行计算。

4、软件文件的历史提交人数。

一般而言，软件文件的历史提交人数越多，越容易产生漏洞，所述历史提交人数以“人”作为单位代入所述评估模型进行计算。

5、软件文件的总代码量。

一般而言，软件文件的总代码量越多，越容易产生漏洞，所述总代码量以“行”作为单位代入所述评估模型进行计算。

6、软件文件的提交人的历史代码质量。

一般而言，软件文件的提交人的历史代码质量越低，越容易产生漏洞。而关于提交人的历史代码质量，可以通过系统或评分负责人以总分100分的形式对其进行评分后记录下评分的数值，然后用100减去评分的数值记为所述提交人的历史代码质量，所述提交人的历史代码质量以“分”作为单位代入所述评估模型进行计算。

实施所述软件漏洞风险预测方法进行概率预测时，便需要根据预先选取上述六个因素中的至少两项作为所述评估模型所需的目标预测因子。

进一步的，所述步骤204之前，所述软件漏洞风险预测方法还包括步骤：为确定的每项所述评估模型所需的目标预测因子分配权重。

通过使用场景确定了所述评估模型所需的目标预测因子后，需要为各项目标预测因子分配合适的权重，从而通过对多项目标预测因子的数值进行计算获得评估模型中的变量值。

而为各项目标预测因子分配权重的依据则同样根据历史经验数据进行分析评定。以上述步骤中提及的较理想的评估模型为例，所述i的运算规则可以表示为i＝w1q1+w2q2+w3q3+w4q4+w5q5+w6q6。其中，目标预测因子分别表示为q1、q2……q6，而各项目标预测因子对应的权重便分别为w1、w2……w6。本申请中，所述权重w1、w2……w6的总和为1，以使通过所述评估模型生成的为百分比数值，能够较直观地表示出预测概率。

在一种具体实施方式中，所述为确定的每项所述评估模型所需的目标预测因子分配权重的步骤包括：

为每项目标预测因子分配初始权重，将每项目标预测因子的参数值与为每项目标预测因子预设的风险阈值进行比较，确定参数值超过风险阈值的目标预测因子并选取其中一项作为风险因子；

调整各项目标预测因子的所述初始权重，以满足以下规则：以预设额度提升所述风险因子的初始权重，并根据除所述风险因子外的其他目标预测因子的比例，将所述预设额度分配至所述其他目标预测因子处，对其他目标预测因子的初始权重进行降低。

首先根据历史经验相关的数据，判断各目标预测因子的参数值以及对漏洞风险影响的重要程度分配好初始权重。可以预先为每项目标预测因子设置一个或多个风险阈值，其中每项风险阈值分别表示一种为目标预测因子设置的权重等级。通过比较目标预测因子的参数值与风险阈值，若有参数值超过风险阈值的目标预测因子，筛选出所有满足该条件的目标预测因子后从中选取一项作为风险因子。在当前所有目标预测因子中，风险因子可以理解为是其中最容易使软件文件产生漏洞风险的因素，因此需提高风险因子的权重。

如获取到的软件文件的文件创建时间超过一定时间，可以相应的提升该预测因子对应的权重；如软件文件的历史缺陷数量超过一定数量，则可以相应的提升该目标预测因子对应的权重；如软件文件的历史提交次数超过一定数量，则可以相应的提升该目标预测因子对应的权重；如软件文件的历史提交人数超过一定数量，则可以相应的提升该目标预测因子对应的权重；如软件文件的总代码量超过一定数量，则可以相应的提升该目标预测因子对应的权重；如软件文件的提交人的历史代码质量低于一定分值，则可以相应的提升该目标预测因子对应的权重。

调整时，可以通过预先规定需为风险因子的权重提升的预设额度，将所述风险因子的权重提升所述预设额度的同时，由于所有目标预测因子的权重总和不变，因此需将除风险因子外的目标预测因子的权重相应调低。

具体地，统计所述其他目标预测因子的权重总和，计算所述其他目标预测因子中每项目标预测因子的权重占该权重总和的比例，所述预设额度乘以各项目标预测因子对应的所述比例即是各项目标预测因子的权重应降低的程度。

在本申请的一些实施例中，所述步骤204之后，所述软件漏洞风险预测方法还包括步骤：

生成包含所述预测概率的告警消息；

将所述告警消息发送至目标人员，以向所述目标人员提醒所述软件文件的漏洞风险。

所述目标人员可以为开发人员或测试人员等。在步骤201中接收所述软件文件时，自动获取了软件文件的文件名、文件路径、文件编号等具体信息。所述告警消息中可以包括软件文件的文件名、文件路径、文件编号等具体信息以提醒目标人员具体是哪个文件，并将预测概率以及部分目标预测因子对应的数据发送给操作人员，以方便操作人员定位及分析问题，缩短分析时间，提高开发和测试效率。

本申请实施例所述的软件漏洞风险预测方法，根据不同的使用场景确定目标预测因子，可以避免在无关数据中浪费时间和资源，使目的明确且减小工作量，并能够将软件文件产生漏洞的风险提示前置，在开发阶段就能实现预警，让开发人员着重注意修改代码的对象，在一定程度上规避开发软件时的程序漏洞的产生，以及提前给与测试人员足够的警示，在测试时优先测试风险较大的文件，从而能够更有效地规避漏洞风险，减小后期工作量，提高开发和测试效率。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，该计算机程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，前述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)等非易失性存储介质，或随机存储记忆体(Random Access Memory，RAM)等。

应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

进一步参考图4，图4示出了为本申请实施例中所述软件漏洞风险预测装置的一个实施例的结构示意图。作为对上述图2所示方法的实现，本申请提供了一种软件漏洞风险预测装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图4所示，本实施例所述的软件漏洞风险预测装置包括：

数据接收模块301；用于接收待预测的软件文件。

公式调用模块302；用于选用预设的评估模型，并获取所述软件文件的使用场景，根据所述使用场景确定所述评估模型中所需的目标预测因子。

数值获取模块303；用于基于所述目标预测因子获取所述软件文件对应的关联信息，进而根据所述关联信息中记录的统计数据确定所述目标预测因子的参数值。

概率计算模块304；用于结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率。

在本申请实施例的一种具体实施方式中，所述软件漏洞风险预测装置还包括：公式生成模块。所述公式生成模块用于选取函数值的缓动方式为先慢后快的缓动函数作为所述评估模型的初始模型；调整所述初始模型并配置参数以生成所述评估模型。

进一步的，所述公式生成模块用于获取包含所述评估模型中的所述目标预测因子的历史统计数据；通过调整所述初始模型中各参数的值对初始模型进行优化，以使由所述初始模型基于所述历史统计数据计算出的预测概率不断趋于真实概率，从而生成所述评估模型。

在本申请一些实施例中，所述软件漏洞风险预测装置还包括：预测因子配置模块。所述预测因子配置模块用于以软件文件的创建时间距离当前时间的时间差、历史缺陷数量、历史提交次数、历史提交人数、总代码量、提交人的历史代码质量作为待选预测因子，存储于因子库中；在所述因子库中建立所述待选预测因子与使用场景的映射关系。所述公式调用模块302还用于从预设的所述因子库中选取至少两项与所述软件文件的使用场景匹配的待选预测因子作为所述评估模型所需的目标预测因子。

在本申请实施例的一种具体实施方式中，所述软件漏洞风险预测装置还包括：权重配置模块。在所述概率计算模块304结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率之前，所述权重配置模块用于为确定的每项所述评估模型所需的目标预测因子分配权重。

进一步的，所述权重配置模块还包括：权重调整子模块。所述权重调整子模块用于为每项目标预测因子分配初始权重，将每项目标预测因子的参数值与为每项目标预测因子预设的风险阈值进行比较，确定参数值超过风险阈值的目标预测因子并选取其中一项作为风险因子；调整各项目标预测因子的所述初始权重，以满足以下规则：以预设额度提升所述风险因子的初始权重，并根据除所述风险因子外的其他目标预测因子的比例，将所述预设额度分配至所述其他目标预测因子处，对其他预测因子的初始权重进行降低。

在本申请的一些实施例中，所述软件漏洞风险预测装置还包括：消息告警模块。所述消息告警模块用于生成包含所述预测概率的告警消息；将所述告警消息发送至目标人员，以向所述目标人员提醒所述软件文件的漏洞风险。

本申请实施例所述的软件漏洞风险预测装置，根据不同的使用场景确定目标预测因子，可以避免在无关数据中浪费时间和资源，使目的明确且减小工作量，并能够将软件文件产生漏洞的风险提示前置，在开发阶段就能实现预警，让开发人员着重注意修改代码的对象，在一定程度上规避开发软件时的程序漏洞的产生，以及提前给与测试人员足够的警示，在测试时优先测试风险较大的文件，从而能够更有效地规避漏洞风险，减小后期工作量，提高开发和测试效率。

为解决上述技术问题，本申请实施例还提供计算机设备。具体请参阅图5，图5为本实施例计算机设备基本结构框图。

所述计算机设备6包括通过系统总线相互通信连接存储器61、处理器62、网络接口63。需要指出的是，图中仅示出了具有组件61-63的计算机设备6，但是应理解的是，并不要求实施所有示出的组件，可以替代的实施更多或者更少的组件。其中，本技术领域技术人员可以理解，这里的计算机设备是一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的设备，其硬件包括但不限于微处理器、专用集成电路(ApplicationSpecific Integrated Circuit，ASIC)、可编程门阵列(Field－Programmable GateArray，FPGA)、数字处理器(Digital Signal Processor，DSP)、嵌入式设备等。

所述计算机设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述计算机设备可以与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互。

所述存储器61至少包括一种类型的可读存储介质，所述可读存储介质包括闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘等。在一些实施例中，所述存储器61可以是所述计算机设备6的内部存储单元，例如该计算机设备6的硬盘或内存。在另一些实施例中，所述存储器61也可以是所述计算机设备6的外部存储设备，例如该计算机设备6上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(FlashCard)等。当然，所述存储器61还可以既包括所述计算机设备6的内部存储单元也包括其外部存储设备。本实施例中，所述存储器61通常用于存储安装于所述计算机设备6的操作系统和各类应用软件，例如软件漏洞风险预测方法的程序代码等。此外，所述存储器61还可以用于暂时地存储已经输出或者将要输出的各类数据。

所述处理器62在一些实施例中可以是中央处理器(Central Processing Unit，CPU)、控制器、微控制器、微处理器、或其他数据处理芯片。该处理器62通常用于控制所述计算机设备6的总体操作。本实施例中，所述处理器62用于运行所述存储器61中存储的程序代码或者处理数据，例如运行所述软件漏洞风险预测方法的程序代码。

所述网络接口63可包括无线网络接口或有线网络接口，该网络接口63通常用于在所述计算机设备6与其他电子设备之间建立通信连接。

本申请还提供了另一种实施方式，即提供一种计算机可读存储介质，所述计算机可读存储介质存储有软件漏洞风险预测程序，所述软件漏洞风险预测程序可被至少一个处理器执行，以使所述至少一个处理器执行如上述的软件漏洞风险预测方法的步骤。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本申请各个实施例所述的方法。

在本申请所提供的上述实施例中，应该理解到，所揭露的装置和方法，可以通过其他的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如，多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。

所述模块或组件可以是或者也可以不是物理上分开的，作为模块或组件显示的部件可以是或者也可以不是物理模块，既可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块或组件来实现本实施例方案的目的。

本申请不限于上述实施方式，以上所述是本申请的优选实施方式，该实施例仅用于说明本申请而不用于限制本申请的范围，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，其依然可以对前述各具体实施方式所记载的技术方案进行若干改进和修饰，或者对其中部分技术特征进行等效替换。凡是利用本申请说明书及附图内容所做的等效结构，直接或间接运用在其他相关的技术领域，均同理应视为包括在本申请的保护范围之内。

显然，以上所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例，附图中给出了本申请的较佳实施例，但并不限制本申请的专利范围。本申请可以以许多不同的形式来实现，相反地，提供这些实施例的目的是使对本申请的公开内容的理解更加透彻全面。尽管参照前述实施例对本申请进行了详细的说明，对于本领域的技术人员来而言，其依然可以对前述各具体实施方式所记载的技术方案进行修改，或者对其中部分技术特征进行等效替换。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，以及凡是利用本申请说明书及附图内容所做的等效结构，直接或间接运用在其他相关的技术领域，均同理在本申请专利保护范围之内。

Claims (10)

1.一种软件漏洞风险预测方法，其特征在于，包括：

接收待预测的软件文件；

选用预设的评估模型，并获取所述软件文件的使用场景，根据所述使用场景确定所述评估模型中所需的目标预测因子；

基于所述目标预测因子获取所述软件文件对应的关联信息，进而根据所述关联信息中记录的统计数据确定所述目标预测因子的参数值；

结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率。

2.根据权利要求1所述的软件漏洞风险预测方法，其特征在于，所述选用预设的评估模型的步骤之前，所述方法还包括步骤：

选取函数值的缓动方式为先慢后快的缓动函数作为所述评估模型的初始模型；

调整所述初始模型并配置参数以生成所述评估模型。

3.根据权利要求2所述的软件漏洞风险预测方法，其特征在于，所述调整所述初始模型并配置参数以生成所述评估模型的步骤包括：

获取包含所述评估模型中的所述目标预测因子的历史统计数据；

通过调整所述初始模型中各参数的值对初始模型进行优化，以使由所述初始模型基于所述历史统计数据计算出的预测概率不断趋于真实概率，从而生成所述评估模型。

4.根据权利要求1所述的软件漏洞风险预测方法，其特征在于，所述根据所述使用场景确定所述评估模型中所需的目标预测因子的步骤之前，所述方法还包括步骤：

以软件文件的创建时间距离当前时间的时间差、历史缺陷数量、历史提交次数、历史提交人数、总代码量、提交人的历史代码质量作为待选预测因子，存储于因子库中；

在所述因子库中建立所述待选预测因子与使用场景的映射关系；

所述根据所述使用场景确定所述评估模型中所需的目标预测因子的步骤包括：

从预设的所述因子库中选取至少两项与所述软件文件的使用场景匹配的待选预测因子作为所述评估模型所需的目标预测因子。

5.根据权利要求4所述的软件漏洞风险预测方法，其特征在于，所述结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率的步骤之前，所述方法还包括步骤：为确定的每项所述评估模型所需的目标预测因子分配权重。

6.根据权利要求5所述的软件漏洞风险预测方法，其特征在于，所述为确定的每项所述评估模型所需的目标预测因子分配权重的步骤包括：

为每项目标预测因子分配初始权重，并将每项目标预测因子的参数值与为每项目标预测因子预设的风险阈值进行比较，确定参数值超过风险阈值的目标预测因子并选取其中一项作为风险因子；

调整各项目标预测因子的所述初始权重，以满足以下规则：以预设额度提升所述风险因子的初始权重，并根据除所述风险因子外的其他目标预测因子的比例，将所述预设额度分配至所述其他目标预测因子处，对其他目标预测因子的初始权重进行降低。

7.根据权利要求1-6任意一项所述的软件漏洞风险预测方法，其特征在于，所述结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率的步骤之后，所述方法还包括步骤：

生成包含所述预测概率的告警消息；

将所述告警消息发送至目标人员，以向所述目标人员提醒所述软件文件的漏洞风险。

8.一种基于信息安全的漏洞风险预测装置，其特征在于，包括：

数据接收模块，用于接收待预测的软件文件；

公式调用模块，用于选用预设的评估模型，并获取所述软件文件的使用场景，根据所述使用场景确定所述评估模型中所需的目标预测因子；

数值获取模块，用于基于所述目标预测因子获取所述软件文件对应的关联信息，进而根据所述关联信息中记录的统计数据确定所述目标预测因子的参数值；

概率计算模块，用于结合所述目标预测因子的参数值和所述评估模型生成用于评估所述软件文件漏洞风险的预测概率。

9.一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器执行所述计算机程序时实现如权利要求1-7中任意一项所述的软件漏洞风险预测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1-7中任意一项所述的软件漏洞风险预测方法的步骤。

Images