WO2017061270A1 - 脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム - Google Patents

脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム Download PDF

Info

Publication number
WO2017061270A1
WO2017061270A1 PCT/JP2016/077738 JP2016077738W WO2017061270A1 WO 2017061270 A1 WO2017061270 A1 WO 2017061270A1 JP 2016077738 W JP2016077738 W JP 2016077738W WO 2017061270 A1 WO2017061270 A1 WO 2017061270A1
Authority
WO
WIPO (PCT)
Prior art keywords
program code
vulnerability
similarity
location
software
Prior art date
Application number
PCT/JP2016/077738
Other languages
English (en)
French (fr)
Inventor
明日香 中島
誠 岩村
健 矢田
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to EP16853424.6A priority Critical patent/EP3330879B1/en
Priority to CN201680057673.8A priority patent/CN108140091B/zh
Priority to JP2017544442A priority patent/JP6503084B2/ja
Priority to US15/749,174 priority patent/US10747887B2/en
Publication of WO2017061270A1 publication Critical patent/WO2017061270A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Definitions

  • the present invention relates to a vulnerability detection device, a vulnerability detection method, and a vulnerability detection program.
  • One technique for finding vulnerabilities in software is to use a code clone to find vulnerabilities.
  • the code clone refers to a similar or matching code that exists in the software.
  • This code clone is generated by the act of a software developer copying and pasting the source code of another program having a similar function in order to realize a program having a specific function during software development.
  • a vulnerability is found in the source code of the copy source, not only the source code of the copy source is corrected, but also the source code of the copy destination must be corrected in the same way.
  • the vulnerability detection method using code clones is a method of discovering unknown vulnerabilities in the software to be inspected by discovering code clones of the parts where these vulnerabilities are found in the software to be inspected.
  • Non-Patent Document 1 As a vulnerability discovery technique using a code clone, there is a method using a software source code (see Non-Patent Document 1 and Non-Patent Document 2).
  • the source code of the vulnerability part is extracted from the software for which the vulnerability has been discovered in the past, and the code of the vulnerability part included in the inspection target software is inspected by inspecting the source code of the inspection target software. It is to discover clones.
  • an object of the present invention is to solve the above-described problems and discover unknown vulnerabilities even when there is no source code of software to be inspected.
  • the present invention provides an extraction unit that extracts a first program code corresponding to an unmodified vulnerability part of software, a first program code extracted by the extraction unit, and a vulnerability Among the parameters included in the second program code of the software to be inspected for the sex location, a normalization processing unit that normalizes parameters that change depending on the compilation environment, and an arbitrary second program code after the normalization
  • a similarity calculation unit that calculates a first similarity that is a similarity to the first program code with respect to the location of the second program, and a second program in which the calculated first similarity exceeds a predetermined threshold
  • the determination unit for determining whether the second program code part is an unknown vulnerability part
  • an outputting unit for outputting a portion of the second program code determines that vulnerability point of knowledge.
  • an unknown vulnerability can be found even when there is no source code of the software to be inspected.
  • FIG. 1 is a block diagram showing the configuration of the vulnerability detection apparatus.
  • FIG. 2 is a diagram for explaining the processing of the normalization processing unit.
  • FIG. 3 is a diagram for explaining the processing of the similarity calculation unit.
  • FIG. 4 is a diagram illustrating an example of the matrix X used for similarity calculation.
  • FIG. 5 is a diagram illustrating an example of the matrix Y used for similarity calculation.
  • FIG. 6 is a diagram illustrating an example of the matrix Z used for similarity calculation.
  • FIG. 7 is a flowchart illustrating a processing procedure of the determination unit.
  • FIG. 8 is a diagram illustrating that information processing by the vulnerability discovery program is specifically realized using a computer.
  • the vulnerability discovery device 10 uses a software code clone to find a vulnerability location of software to be inspected (inspection target software). For example, the vulnerability detection apparatus 10 uses a code clone of software having an uncorrected vulnerability (that is, to which a patch is not applied) to find a vulnerability location in the program code of the software to be inspected. Then, the vulnerability detection apparatus 10 compares the vulnerability location with the program code to which the patch has been applied, and if the vulnerability location is not similar to the program code to which the patch has been applied, the vulnerability location is determined as an unknown vulnerability location. Output as a candidate.
  • the vulnerability discovery apparatus 10 includes a vulnerability related DB 11, a disassembly unit 12, a vulnerability location extraction unit 13, a normalization processing unit 14, a similarity calculation unit 15, a determination unit 16, and an output unit 17. And have.
  • Vulnerability-related DB 11 stores vulnerability-related information.
  • This vulnerability related information is, for example, an attack verification code, a common vulnerability identifier (CVE: Common Vulnerabilities and Exposures), a security patch related to the vulnerability, a patched (corrected) program code, and the like.
  • CVE Common Vulnerabilities and Exposures
  • the disassembly unit 12 performs software disassembly. For example, the disassembly unit 12 disassembles the input software to be inspected and software having an uncorrected vulnerability.
  • the vulnerability location extraction unit 13 extracts the program code of the vulnerability location from the software disassembly result. For example, when the vulnerability location extraction unit 13 receives the disassembly result of the software having the uncorrected vulnerability from the disassembly unit 12, the vulnerability location extraction unit 13 refers to the vulnerability related information in the vulnerability related DB 11 and determines the result of the disassembly result. Extract the program code of the vulnerable part.
  • the vulnerability location extraction unit 13 executes the attack verification code for the disassembled result of the software having the unmodified vulnerability location. Then, the part that becomes the starting point of the attack is extracted as the program code of the vulnerable part.
  • the vulnerability location extraction unit 13 refers to CVEDB (Common Vulnerabilities and Exposures Data Base) when using a common vulnerability identifier among vulnerability-related information, and the software having an uncorrected vulnerability location. The part specified based on the information of the software from the disassembly result is extracted as the program code of the vulnerable part.
  • CVEDB Common Vulnerabilities and Exposures Data Base
  • the normalization processing unit 14 performs program code normalization processing.
  • This normalization process is a process that abstracts the part of the program code obtained by disassembly that changes depending on the compilation environment (for example, variable parameters such as register type, memory address value to be accessed, and immediate value). It is.
  • the normalization processing unit 14 acquires the program code of the uncorrected vulnerability location from the vulnerability location extraction unit 13, and the disassembly result of the inspection target software (the program code of the inspection target software from the disassembly unit 12 ) To get. Then, the normalization processing unit 14 performs normalization processing of the program code of the unmodified vulnerability portion and the program code of the inspection target software.
  • the normalization processing unit 14 converts a portion that changes depending on the compilation environment into a character string that represents only the attribute. For example, the normalization processing unit 14 sets the values “0x10”, “00402198”, “0040189C”, “ebx, ebx” in the program code to “VAL”, “MEM”, “MEM”, “REG”, respectively. , "REG” to convert to each character string and abstract. Thereby, the normalization processing unit 14 enables accurate similarity calculation that is not affected by the environment in which the inspection target software is compiled. In the normalization process, a contracted instruction that is information obtained by removing the operand part from the machine language instruction may be used.
  • the similarity calculation unit 15 calculates the degree of similarity with the program code of the uncorrected vulnerability part after normalization by comparing any part of the program code of the inspection target software after normalization as a comparison target.
  • the similarity calculation unit 15 performs the program code (A of the uncorrected vulnerability part after normalization for any part of the program code (B) of the inspection target software after normalization. ) Calculate the similarity with the whole.
  • the similarity calculation unit 15 includes the entire program code (A) of the uncorrected vulnerability part after normalization for the part indicated by reference numeral 302 in the program code (B) of the inspection target software after normalization. Is calculated as 77%. Details of the similarity calculation unit 15 will be described later.
  • the determination unit 16 is vulnerable to the program code portion of the software to be inspected after normalization in which the similarity calculated by the similarity calculation unit 15 exceeds a predetermined threshold (for example, the portion indicated by reference numeral 301 in FIG. 3). With reference to the related DB 11, it is determined whether or not the location is an unknown vulnerability location. Details of the determination unit 16 will be described later.
  • the output unit 17 outputs the part determined as an unknown vulnerability part by the determination part 16 as an unknown vulnerability part candidate.
  • Similarity calculator Next, details of the processing performed by the similarity calculation unit 15 will be described with reference to FIG.
  • the program code of the uncorrected vulnerability portion after normalization is A and the program code of the software to be inspected after normalization is B
  • a portion similar to A in B is based on the score. It is specified by calculating the similarity.
  • the length of A is
  • M
  • the length of B is
  • N
  • the score is a similar character string search algorithm based on dynamic programming, Needleman-Wunsch (see Non-Patent Document 4), a method called affine gap that distinguishes deduction points according to the position in the insertion or deletion part of the character string (See Non-Patent Document 5), and the score can be calculated by changing the score calculation part.
  • the similarity calculation part 15 calculates
  • 0 ⁇ i ⁇ M, 0 ⁇ j ⁇ N ⁇ and score matrix Y ⁇ y ij
  • Each element of M, 0 ⁇ j ⁇ N ⁇ and score matrix Z ⁇ z ij
  • 0 ⁇ i ⁇ M, 0 ⁇ j ⁇ N ⁇ is calculated by the following equations (1) to (3).
  • the score matrix X is a matrix for managing match and mismatch scores between A and B.
  • the score matrix Y is a matrix for managing the insertion gap score in B. Further, the score matrix Z is a matrix for managing the deletion gap score in A.
  • the score of match (character strings match) and mismatch (character strings do not match) in equation (1) can be arbitrarily set, but match (first value)> mismatch (second value) It is preferable that
  • o open gap
  • e extended gap
  • the scores of o (third value) and e (fourth value) can be set arbitrarily, but e> mismatch, e> o, o ⁇ mismatch, e ⁇ 0, and (mismatch ⁇ 2) ⁇ A value of (e + o) is preferred. The reason for this will be described later.
  • the similarity calculation unit 15 includes a section in which a character string different from A is inserted for B, or a section in which a part of the character string of A is deleted for B (a section in which a gap is generated).
  • the similarity calculation unit 15 uses the three score matrices calculated using the above method, and based on the maximum score point j max obtained by the following equation (4), F (A, B) / F ( A, A) is calculated.
  • the similarity calculation unit 15 calculates the score matrix (matrix) X, Y, Z using the above formulas (1) to (3) for A and B illustrated in FIG.
  • the calculation results are as shown in FIGS.
  • the similarity calculation unit 15 targets other than the section where the maximum score point j max (for example, 18.5) was obtained from B in the previous similarity calculation. Then, the same processing as described above is executed, the maximum score point j max is calculated, and F (A, B) / F (A, A) is calculated. By doing in this way, the similarity calculation part 15 can calculate the similarity with A about arbitrary places of B.
  • the calculation result is stored in a predetermined area of a storage unit (not shown) of the vulnerability detection device 10 and is read out during the determination process by the determination unit 16.
  • the determination unit 16 Next, processing performed by the determination unit 16 will be described in detail with reference to FIG.
  • the similarity calculated by the similarity calculation unit 15 and the program code of the uncorrected vulnerability portion after normalization (hereinafter abbreviated as the program code of the uncorrected vulnerability portion) is predetermined.
  • the portion of the program code to be inspected after normalization that exceeds the threshold (hereinafter abbreviated as program code to be inspected) is regarded as a code clone part of the vulnerability, and it is determined whether or not the relevant part is an unknown vulnerability part To do.
  • the determination unit 16 reads out the calculation result of the similarity of each part of the inspection target program code by the similarity calculation unit 15 from the storage unit (not shown), and for each part of the inspection target program code Then, it is determined whether or not the similarity (Sim1) with the program code of the uncorrected vulnerability portion exceeds a predetermined threshold (S1).
  • the determination unit 16 determines whether or not the similarity (Sim1) with the program code of the uncorrected vulnerability portion exceeds a predetermined threshold (S1).
  • the determination unit 16 The similarity (Sim2) with the program code of the corrected vulnerability part is calculated (S2).
  • the similarity calculation here may be performed, for example, by the same method as the similarity calculation in the similarity calculation unit 15 described above, and the program code of the corrected vulnerability portion is, for example, the vulnerability related Reference is made to the information of the patch-applied program code included in the vulnerability-related information in the DB 11.
  • the determination unit 16 determines that the inspection target program code does not include a portion where the similarity (Sim1) with the program code of the uncorrected vulnerability portion exceeds a predetermined threshold (No in S1), the process is performed. finish.
  • the determination unit 16 determines the similarity (Sim2) between the program code of the corrected vulnerability part calculated in S2 and the program code of the uncorrected vulnerability part (Sim1) for the part. ) And the determination unit 16 determines that Sim2> Sim1 (Yes in S3), the process is terminated. That is, the determination part 16 complete
  • the determination unit 16 has a similarity (Sim1) with the program code of the unmodified vulnerability portion for the relevant portion equal to or higher than the similarity (Sim2) with the program code of the corrected vulnerability portion calculated in S2. If it is, it determines that the said location is an unknown vulnerability location candidate. In other words, the determination unit 16 determines that the portion determined as Sim2 is equal to or greater than Sim1 is likely to be a known vulnerability location, and excludes it from the unknown vulnerability location candidates.
  • the similarity calculation unit 15 calculates three score matrices X, Y, and Z
  • the following formula (5) that separately holds the selection order corresponding to each score matrix:
  • the pointer matrices P, Q, and R shown in FIG. 4 are created and stored in a storage unit (not shown).
  • the pointer holds the type of element matrix used for the calculation of the current element and the location of the element.
  • the similarity calculation unit 15 calculates each element of the three pointer matrices by the following equations (6) to (8).
  • the vulnerability detection apparatus 10 it is possible to find a candidate for an unknown vulnerability location using a code clone from the inspection target program code.
  • the vulnerability discovery device 10 described in the above embodiment can be implemented by installing a vulnerability discovery program for executing the above processing in a desired information processing device (computer).
  • the information processing apparatus can function as the vulnerability detection apparatus 10 by causing the information processing apparatus to execute the vulnerability detection program provided as package software or online software.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • the information processing apparatus includes mobile communication terminals such as smartphones, mobile phones and PHS (Personal Handyphone System), and slate terminals such as PDA (Personal Digital Assistants).
  • the vulnerability detection apparatus 10 may be implemented as a Web server or a cloud.
  • FIG. 8 is a diagram illustrating a computer that executes a vulnerability detection program.
  • the computer 1000 includes, for example, a memory 1010, a CPU (Central Processing Unit) 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network. Interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100, for example.
  • a mouse 1110 and a keyboard 1120 are connected to the serial port interface 1050.
  • a display 1130 is connected to the video adapter 1060.
  • the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. Each information and data described in the above embodiment is stored in, for example, the hard disk drive 1090 or the memory 1010.
  • the vulnerability discovery program is stored in the hard disk drive 1090 as a program module 1093 in which a command executed by the computer 1000 is described, for example.
  • the hard disk drive 1090 stores a program module 1093 in which each process executed by the vulnerability detection apparatus 10 described in the above embodiment is described.
  • data used for information processing by the vulnerability discovery program is stored as, for example, the hard disk drive 1090 as program data.
  • the CPU 1020 reads out the program module 1093 and the program data 1094 stored in the hard disk drive 1090 to the RAM 1012 as necessary, and executes the above-described procedures.
  • the program module 1093 and the program data 1094 related to the vulnerability detection program are not limited to being stored in the hard disk drive 1090.
  • the program module 1093 and the program data 1094 are stored in a removable storage medium, and are stored in the removable storage medium by the CPU 1020 via the disk drive 1100 or the like. It may be read out.
  • the program module 1093 and the program data 1094 related to the vulnerability detection program are stored in another computer connected via a network such as a LAN (Local Area Network) or a WAN (Wide Area Network), and the network interface 1070 is stored. Via the CPU 1020.
  • Vulnerability discovery device 11
  • Vulnerability related DB 12
  • Disassembly unit 13
  • Vulnerability location extraction unit 14
  • Normalization processing unit 15
  • Similarity calculation unit 16
  • Judgment unit 17 Output unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Stored Programmes (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

脆弱性発見装置（１０）は、ソフトウェアの未修正の脆弱性箇所に該当する第１のプログラムコードを抽出する脆弱性箇所抽出部（１３）と、抽出された第１のプログラムコードと、脆弱性箇所の検査対象となるソフトウェアの第２のプログラムコードとに含まれるパラメータのうち、コンパイル環境により変化するパラメータを正規化する正規化処理部（１４）と、正規化後の第２のプログラムコードの任意の箇所を比較対象として第１のプログラムコードとの類似度を算出する類似度算出部（１５）と、算出した類似度が所定の閾値を超える第２のプログラムコードの箇所について、脆弱性関連情報を参照して、当該第２のプログラムコードの箇所が未知の脆弱性箇所か否かを判定する判定部（１６）とを備える。

Description

脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム
　本発明は、脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラムに関する。
　サイバー攻撃やマルウェア感染の根本的な原因の一つとしてソフトウェア中に存在する脆弱性が挙げられる。攻撃者は脆弱性を利用する攻撃コードや、マルウェアを通じてコンピュータに悪意のある行為を行う。こうした攻撃を未然に防ぐため、攻撃者より先に脆弱性を発見・修正し、脆弱性を攻撃の足がかりとして利用させない対策が大事である。
　こうした状況から、ソフトウェアを検査し、ソフトウェア中に存在している脆弱性を発見する手法の研究が行われている。ソフトウェア中に存在している脆弱性を発見する手法の一つとして、コードクローンを用いた脆弱性発見手法がある。
　コードクローンとは、ソフトウェア中に存在している類似または一致したコードを指す。このコードクローンは、ソフトウェア開発者がソフトウェア開発中に、特定の機能のプログラムを実現するため、類似機能を持った他のプログラムのソースコードをコピー＆ペーストする行為によって発生する。ここで、コピー元のソースコードに脆弱性が発見された場合、コピー元のソースコードを修正するだけでは無く、コピー先のソースコードも同じ様に修正されなければならない。しかし、コピー元で脆弱性が発見されたとしても、開発者が発見された脆弱性部分のコードクローンを全て把握していなければ、コードクローンによって生じた脆弱性の修正は難しい。コードクローンによる脆弱性発見手法とは、これらの脆弱性が発見された部分のコードクローンを検査対象のソフトウェアにおいて発見することで、検査対象のソフトウェアにおいて未知の脆弱性を発見する手法である。
　コードクローンを用いた脆弱性発見手法として、ソフトウェアのソースコードを利用した方法（非特許文献１、非特許文献２参照）がある。この方法では、過去に脆弱性が発見されたソフトウェアから、脆弱性箇所のソースコードを抽出し、検査対象ソフトウェアのソースコードを検査することにより、検査対象ソフトウェアに内包されている脆弱性箇所のコードクローンを発見するものである。
特開２００９－１９３１６１号公報
J.　Jang,　A.　Agrawal,　and　D.　Brumley,　"ReDeBug:　Finding　Unpatched　Code　Clones　in　Entire　OS　Distributions",　In　IEEE　Symposium　on　Security　and　Privacy,　2012. Hongzhe　Li,　Hyuckmin　Kwon,　Jonghoon　Kwon,　and　Heejo　Lee,　"A　Scalable　Approach　for　Vulnerability　Discovery　Based　on　Security　Patches",　Application　and　Techniques　in　Information　Security,　2014. Andreas　Saebjoernsen,　Jeremiah　Willcock,　Thomas　Panas,　Daniel　Quinlan,　and　Zhendong　Su,　"Detecting　Code　Clones　in　Binary　Executables",　In　Proceedings　of　ISSTA　'09,　2009. SB.　Needleman,　CD.　Wunsch,　"A　General　Method　Applicable　to　the　Search　for　Similarities　in　the　Amino　Acid　Sequence　of　Two　Proteins",　Journal　of　Molecular　Biology　vol.48,　p443-453,　1970. Gotoh　Osamu,　"An　Improved　Algorithm　for　Matching　Biological　Sequences",　Journal　of　Molecular　Biology.　162,　p705-708,　1982.
　しかしながら、ソフトウェアのプログラムコードを検査対象として、コードクローンにより脆弱性を発見する技術は存在しなかった。換言すれば、ソフトウェア開発者がコードクローンによりソフトウェアの脆弱性を発見するためには、検査対象のソフトウェアのソースコードを知る必要があった。従って、ソースコードの入手や利用が困難なソフトウェア（例えば、個人所有のソフトウェア、独占排他権の設定されたソフトウェア）に関しては、未知の脆弱性の発見が困難であった。
　そこで、本発明は、前記した問題を解決し、検査対象のソフトウェアのソースコードが無い場合であっても、未知の脆弱性を発見することを課題とする。
　前記した課題を解決するため、本発明は、ソフトウェアの未修正の脆弱性箇所に該当する第１のプログラムコードを抽出する抽出部と、前記抽出部により抽出された第１のプログラムコードと、脆弱性箇所の検査対象となるソフトウェアの第２のプログラムコードとに含まれるパラメータのうち、コンパイル環境により変化するパラメータを正規化する正規化処理部と、前記正規化後の第２のプログラムコードの任意の箇所を比較対象として前記第１のプログラムコードとの類似度である第１の類似度を算出する類似度算出部と、算出した前記第１の類似度が所定の閾値を超える第２のプログラムコードの箇所について、脆弱性関連情報を参照して、当該第２のプログラムコードの箇所が未知の脆弱性箇所か否かを判定する判定部と、前記未知の脆弱性箇所と判定された第２のプログラムコードの箇所を出力する出力部とを備えることを特徴とする。
　本発明によれば、検査対象のソフトウェアのソースコードが無い場合であっても、未知の脆弱性を発見することができる。
図１は、脆弱性発見装置の構成を示すブロック図である。 図２は、正規化処理部の処理を説明するための図である。 図３は、類似度算出部の処理を説明するための図である。 図４は、類似度算出に用いる行列Ｘの一例を示す図である。 図５は、類似度算出に用いる行列Ｙの一例を示す図である。 図６は、類似度算出に用いる行列Ｚの一例を示す図である。 図７は、判定部の処理手順を示すフローチャートである。 図８は、脆弱性発見プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。
　以下、図面を参照しながら、本発明の実施の形態（実施形態）を説明する。本発明は以下に説明する実施形態に限定されない。
　まず、図１を用いて脆弱性発見装置１０の構成を説明する。脆弱性発見装置１０は、ソフトウェアのコードクローンを用いて、検査対象となるソフトウェア（検査対象ソフトウェア）の脆弱性箇所を発見する。例えば、脆弱性発見装置１０は、未修正の脆弱性を持つ（つまりパッチを適用していない）ソフトウェアのコードクローンを用いて、検査対象ソフトウェアのプログラムコード中から脆弱性箇所を発見する。そして、脆弱性発見装置１０は、その脆弱性箇所を、パッチを適用済みのプログラムコードと比較し、パッチを適用済みのプログラムコードと類似していなければ、当該脆弱性箇所を未知の脆弱性箇所候補として出力する。
　この脆弱性発見装置１０は、脆弱性関連ＤＢ１１と、逆アセンブル部１２と、脆弱性箇所抽出部１３と、正規化処理部１４と、類似度算出部１５と、判定部１６と、出力部１７とを有する。
　脆弱性関連ＤＢ１１は、脆弱性関連情報を記憶する。この脆弱性関連情報は、例えば、攻撃検証コード、共通脆弱性識別子（ＣＶＥ：Common　Vulnerabilities　and　Exposures）、脆弱性に関するセキュリティパッチ、パッチ適用済み（修正済み）のプログラムコード等である。
　逆アセンブル部１２は、ソフトウェアの逆アセンブルを行う。例えば、逆アセンブル部１２は、入力された検査対象ソフトウェア、未修正の脆弱性を持つソフトウェアを逆アセンブルする。
　脆弱性箇所抽出部１３は、ソフトウェアの逆アセンブル結果から脆弱性箇所のプログラムコードを抽出する。例えば、脆弱性箇所抽出部１３は、未修正の脆弱性を持つソフトウェアの逆アセンブル結果を逆アセンブル部１２から受け取ると、脆弱性関連ＤＢ１１の脆弱性関連情報を参照して、当該逆アセンブル結果から脆弱性箇所のプログラムコードを抽出する。
　具体例を挙げると、脆弱性箇所抽出部１３は、脆弱性関連情報のうち、攻撃検証コードを利用する場合、未修正の脆弱性箇所を持つソフトウェアの逆アセンブル結果に対して攻撃検証コードを実行し、攻撃の起点となる部分を、脆弱性箇所のプログラムコードとして抽出する。あるいは、脆弱性箇所抽出部１３は、脆弱性関連情報のうち、共通脆弱性識別子を利用する場合、ＣＶＥＤＢ（Common　Vulnerabilities　and　Exposures　Data　Base）を参照して、未修正の脆弱性箇所を持つソフトウェアの逆アセンブル結果から当該ソフトウェアの情報を基に特定された部分を、脆弱性箇所のプログラムコードとして抽出する。
　正規化処理部１４は、プログラムコードの正規化処理を行う。この正規化処理とは、逆アセンブルにより得られたプログラムコードのうち、コンパイル環境により変化する箇所（例えば、レジスタの種類、アクセス先のメモリアドレスの値、即値等の可変パラメータ）を抽象化する処理である。
　例えば、正規化処理部１４は、脆弱性箇所抽出部１３から未修正の脆弱性箇所のプログラムコードを取得し、また、逆アセンブル部１２から検査対象ソフトウェアの逆アセンブル結果（検査対象ソフトウェアのプログラムコード）を取得する。そして、正規化処理部１４は、この未修正の脆弱性箇所のプログラムコードおよび検査対象ソフトウェアのプログラムコードの正規化処理を行う。
　具体例を挙げると、図２に示す様に、正規化処理部１４は、コンパイル環境により変化する箇所を、その属性だけを表す文字列に変換する。例えば、正規化処理部１４は、プログラムコード中の“0x10”、“00402198”、“0040189C”、“ebx,ebx”の各値を、それぞれ“VAL”、“MEM”、“MEM”、“REG,REG”の各文字列に変換することにより抽象化する。これにより、正規化処理部１４は、検査対象ソフトウェアがコンパイルされた環境に左右されない正確な類似度計算を可能とする。なお、正規化処理では、機械語命令からオペランド部分を除いた情報である縮約命令を用いてもよい。
　類似度算出部１５は、正規化後の検査対象ソフトウェアのプログラムコードの任意の箇所を比較対象として、正規化後の未修正の脆弱性箇所のプログラムコードとの類似度を算出する。
　例えば、類似度算出部１５は、図３に示すように、正規化後の検査対象ソフトウェアのプログラムコード（Ｂ）の任意の箇所について、正規化後の未修正の脆弱性箇所のプログラムコード（Ａ）全体との類似度を算出する。例えば、類似度算出部１５は、正規化後の検査対象ソフトウェアのプログラムコード（Ｂ）のうち、符号３０２に示す箇所について、正規化後の未修正の脆弱性箇所のプログラムコード（Ａ）全体との類似度を７７％と算出する。この類似度算出部１５の詳細は後記する。
　判定部１６は、類似度算出部１５により算出された類似度が所定の閾値を超える正規化後の検査対象ソフトウェアのプログラムコードの箇所（例えば、図３の符号３０１に示す箇所）について、脆弱性関連ＤＢ１１を参照して、当該箇所が未知の脆弱性箇所か否かを判定する。この判定部１６の詳細は後記する。
　出力部１７は、判定部１６により未知の脆弱性箇所と判定された箇所を未知の脆弱性箇所候補として出力する。
（類似度算出部）
　次に、図３を参照しながら、類似度算出部１５が行う処理の詳細を説明する。ここで、正規化後の未修正の脆弱性箇所のプログラムコードをＡ、正規化後の検査対象ソフトウェアのプログラムコードをＢとすると、Ｂの中でＡと類似した箇所を、スコアを基にした類似度の算出により特定する。
　ここでは、Ａの長さを｜Ａ｜＝Ｍ、Ｂの長さを｜Ｂ｜＝Ｎとし、Ａ＝ａ１ Ｍ＝ａ１，ａ２，ａ３，…，ａＭ，Ｂ＝ｂ１ Ｍ＝ｂ１，ｂ２，ｂ３，…，ｂＮとする。スコアは動的計画法に基づいた類似文字列検索アルゴリズムであるNeedleman-Wunsch（非特許文献４参照）に、文字列の挿入または削除部分中の位置に応じて減点を区別するアフィンギャップと呼ばれる手法（非特許文献５参照）を適用し、さらにスコア算出部分を変更することによって算出できる。そして、類似度算出部１５は、Ａ，Ｂ間のスコアをＦ（Ａ，Ｂ）とすると、Ｆ（Ａ，Ｂ）／Ｆ（Ａ，Ａ）を求めることでＡ，Ｂ間の類似度を算出することがきる。
　スコア算出のための具体的な処理内容について説明する。まず、類似度算出部１５は、Ａ，Ｂ間で、３つのスコア行列Ｘ＝｛ｘｉｊ｜０≦ｉ≦Ｍ，０≦ｊ≦Ｎ｝、スコア行列Ｙ＝｛ｙｉｊ｜０≦ｉ≦Ｍ，０≦ｊ≦Ｎ｝、スコア行列Ｚ＝｛ｚｉｊ｜０≦ｉ≦Ｍ，０≦ｊ≦Ｎ｝の各要素を下記の式（１）～式（３）で算出する。なお、このスコア行列Ｘは、Ａ，Ｂ間のmatch，mismatchスコアを管理する行列である。また、スコア行列Ｙは、Ｂにおける挿入のギャップスコアを管理する行列である。さらに、スコア行列Ｚは、Ａにおける削除のギャップスコアを管理する行列である。
Figure JPOXMLDOC01-appb-M000001
Figure JPOXMLDOC01-appb-M000002
Figure JPOXMLDOC01-appb-M000003
　なお、式（１）におけるmatch（文字列同士が合致する）、mismatch（文字列同士が合致しない）のスコアは任意に設定できるが、match（第１の値）＞mismatch（第２の値）となり、かつ｜match｜と｜mismatch｜が極端に離れすぎない値が好ましい。また、式（２）および式（３）における、o（open　gap）はギャップ(文字列の挿入または削除)の開始スコアとし、e（extended　gap）はギャップの継続スコアとする。o（第３の値）とe（第４の値）のスコアは任意の値を設定できるが、e＞mismatch、e＞o、o＜mismatch、e＜０、かつ、（mismatch×２）＜（e＋o）となる値が好ましい。この理由については後記する。
　例えば、類似度算出部１５は、図３に示すように、match、mismatch、o（open　gap）、e（extended　gap）それぞれの設定スコアとして、match＝＋２、mismatch＝－２、o（open　gap）＝－３、e（extended　gap）＝－０．５を用いる。
　つまり、類似度算出部１５は、Ｂの文字列のうち、Ａの文字列と同じ文字列の箇所についてはスコアを「match＝＋２」とし、Ｂの文字列のうち、Ａの文字列と異なる文字列の箇所についてはスコアを「mismatch＝－２」とする。
　また、類似度算出部１５は、ＢについてＡとは異なる文字列が挿入されている区間、または、ＢについてＡの文字列が一部削除されている区間（ギャップが生じている区間）がある場合、当該区間の開始点の文字列についてはスコアを「o＝－３」とし、当該区間の継続点の文字列についてはスコアを「e＝－０．５」とする。
　例えば、類似度算出部１５が、図３に示すＢの符号３０２に示す箇所について、Ａ全体と比較すると、符号３０１に示す箇所は、Ａと同じ文字列が並んでいるが、符号３０２に示す区間はＡとは異なる文字列が挿入されている。したがって、類似度算出部１５は、スコアの算出にあたり、Ｂの符号３０１に示す箇所のうち、符号３０２に示す区間の文字列以外の文字列についてはそれぞれ「２」を加算する（match＝＋２）。一方、類似度算出部１５は、符号３０２に示す区間の開始点（符号３０３に示す文字列）については「３」を減算し（o＝－３）、区間の継続点（符号３０４に示す文字列）についてはそれぞれ「０．５」を減算する（e＝－０．５）。
　なお、ここでは説明を省略しているが、類似度算出部１５は、Ｂの符号３０２に示す箇所にＡの文字列と異なる文字列があれば当該文字列についてそれぞれ「２」を減算し（mismatch＝－２）、ＢについてＡの文字列が一部削除されている区間がある場合、当該区間の開始点の文字列については「３」を減算し（o＝－３）、当該区間の継続点の文字列についてはそれぞれ「０．５」を減算する（e＝－０．５）。
　また、上記のスコア算出において、o＝－３、e＝－０．５のように、e＞oとなり、かつ、（mismatch×２）＜（e＋o）となるような値を用いることで、Ｂに、Ａの一部分が挿入または削除された区間（ギャップの生じている区間）があった場合に、当該挿入または削除を反映したスコア算出を行うことができる。
　例えば、類似度算出部１５が、図３の符号３０２に示す区間の文字列すべてについてmismatchであるとして、それぞれ「－２」としてスコア算出を行うと、当該区間のスコアは「－２×５＝－１０」となってしまうが、上記のo＝－３、e＝－０．５のように（mismatch×２）＜（e＋o）となるような値を用いることで当該区間のスコアは「－３＋（－０．５）×４＝－５」となる。
　さらに、類似度算出部１５が、o、eについて、上記のo＝－３、e＝－０．５のように、e＞oとなるような値を用いることで、Ｂにおけるギャップの生じている区間の長さによってスコアの値に大きな差が生じないようにすることができる。例えば、Ｂにおけるギャップの生じている区間の長さが「２」である場合、スコアは「－３＋（－０．５）＝－３．５」となる。一方、Ｂにおけるギャップの生じている区間の長さが「５」である場合、スコアは「－３＋（－０．５）×４＝－５」となる。したがって、Ｂにおけるギャップの生じている区間が「２」である場合と「５」である場合とで、それぞれのスコアの差は「１．５」程度にすることができる。
　類似度算出部１５は、上記手法を用いて計算した３つのスコア行列を利用して、以下の式（４）で得られる最大スコア点ｊｍａｘを基に、Ｆ（Ａ，Ｂ）／Ｆ（Ａ，Ａ）を算出する。
Figure JPOXMLDOC01-appb-M000004
　例えば、類似度算出部１５は、図３に例示したＡ，Ｂを対象として上記の式（１）～式（３）を用いて、スコア行列（行列）Ｘ，Ｙ，Ｚを算出すると、その算出結果はそれぞれ図４～図６に示すようになる。ここで、類似度算出部１５が式（４）に基づき、最大スコア点ｊｍａｘを算出すると「１８．５」になる（図４に示す行列Ｘのｊｍａｘ参照）。つまり、Ｆ（Ａ，Ｂ）＝ｊｍａｘ＝１８．５となる。また、Ｆ（Ａ，Ａ）＝match×｜Ａ｜＝２４となる。したがって、類似度算出部１５は、図３のＢの符号３０１に示す箇所について、Ａ全体との類似度を、Ｆ（Ａ，Ｂ）／Ｆ（Ａ，Ａ）＝１８．５／２４≒類似度７７％と算出する。
　なお、類似度算出部１５は、ＢからさらにＡの類似箇所を探索するためには、Ｂから前回の類似度算出で最大スコア点ｊｍａｘ（例えば、１８．５）となった区間以外を対象として、上記と同様の処理を実行し、最大スコア点ｊｍａｘを算出し、Ｆ（Ａ，Ｂ）／Ｆ（Ａ，Ａ）を算出する。このようにすることで、類似度算出部１５は、Ｂの任意の箇所について、Ａとの類似度を算出することができる。なお、算出結果については、脆弱性発見装置１０の記憶部（図示省略）の所定領域に記憶しておき、判定部１６による判定処理時に読み出される。
（判定部）
　次に、判定部１６が行う処理について、図７を用いて詳しく説明する。判定部１６では、まず類似度算出部１５で算出された、正規化後の未修正の脆弱性箇所のプログラムコード（以下、未修正の脆弱性箇所のプログラムコードと略す）との類似度が所定の閾値を超える正規化後の検査対象プログラムコード（以下、検査対象プログラムコードと略す）の箇所について、脆弱性のコードクローン部分であるとみなし、当該箇所が未知の脆弱性箇所か否かを判定する。
　具体的には、まず、判定部１６は、記憶部（図示省略）から、類似度算出部１５による検査対象プログラムコードの各箇所の類似度の算出結果を読み出し、検査対象プログラムコードの各箇所について、未修正の脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ１）が所定の閾値を超えるか否かを判定する（Ｓ１）。ここで、検査対象プログラムコードに、未修正の脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ１）が所定の閾値を超える箇所があれば（Ｓ１でＹｅｓ）、判定部１６は、当該箇所について、修正済みの脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ２）を算出する（Ｓ２）。ここでの類似度の算出は、例えば、前記した類似度算出部１５での類似度算出と同様の方法で行えばよく、また、修正済みの脆弱性箇所のプログラムコードは、例えば、脆弱性関連ＤＢ１１内の脆弱性関連情報に含まれるパッチ適用済みのプログラムコードの情報を参照する。一方、判定部１６は、検査対象プログラムコードに、未修正の脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ１）が所定の閾値を超える箇所がないと判定した場合（Ｓ１でＮｏ）、処理を終了する。
　Ｓ２の後、判定部１６は、当該箇所について、Ｓ２で算出した修正済みの脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ２）と、未修正の脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ１）とを比較し、判定部１６がＳｉｍ２＞Ｓｉｍ１と判定した場合（Ｓ３でＹｅｓ）、処理を終了する。つまり、判定部１６は、当該箇所について、未修正の脆弱性箇所のプログラムコードよりも、修正済みの脆弱性箇所のプログラムコードと類似している場合、処理を終了する。一方、判定部１６が、Ｓｉｍ２≦Ｓｉｍ１と判定した場合（Ｓ３でＮｏ）、当該箇所を未知の脆弱性箇所候補と判定する（Ｓ４）。つまり、判定部１６は、当該箇所についての未修正の脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ１）が、Ｓ２で算出した修正済みの脆弱性箇所のプログラムコードとの類似度（Ｓｉｍ２）以上である場合、当該箇所を未知の脆弱性箇所候補と判定する。換言すると、判定部１６は、Ｓｉｍ２がＳｉｍ１以上と判定した箇所については、既知の脆弱性箇所である可能性が高いと判断し、未知の脆弱性箇所候補から除外する。
　なお、当該箇所が、検査対象プログラムコードにおけるどの箇所であるかは、類似度算出部１５で算出した最大スコア点ｊｍａｘを起点に、ｊｍａｘ算出までに至った各行列（スコア行列Ｘ，Ｙ，Ｚ）の算出式の中の要素選択順序を逆順に、i＝１になるまで辿っていくことで求めることができる。この操作をトレースバックと呼ぶ。トレースバックでは、現在着目している要素を算出した１つ前の要素、つまり、（ｉ－１，ｊ－１）、（ｉ－１，ｊ）、（ｉ，ｊ－１）のいずれかを辿ることになる。具体的には、トレースバックを行うには、類似度算出部１５が３つのスコア行列Ｘ，Ｙ，Ｚを算出する際に、別途各スコア行列に応じた選択順序を保持した以下の式（５）に示すポインタ行列Ｐ，Ｑ，Ｒを作成しておき、記憶部（図示省略）に記憶しておく。なお、ポインタとしては、現在の要素の計算に使われた要素の行列の種類と要素の場所が保持される。
Figure JPOXMLDOC01-appb-M000005
　類似度算出部１５は、３つのポインタ行列の各要素を下記の式（６）～式（８）により算出する。
Figure JPOXMLDOC01-appb-M000006
Figure JPOXMLDOC01-appb-M000007
Figure JPOXMLDOC01-appb-M000008
　以上説明した脆弱性発見装置１０によれば、検査対象プログラムコードからコードクローンを用いて、未知の脆弱性箇所の候補を発見することができる。
　また、上記の実施形態で述べた脆弱性発見装置１０は、上記の処理を実行する脆弱性発見プログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記の脆弱性発見プログラムを情報処理装置に実行させることにより、情報処理装置を脆弱性発見装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistants）等のスレート端末等がその範疇に含まれる。また、脆弱性発見装置１０を、Ｗｅｂサーバやクラウドとして実装してもよい。
（プログラム）
　図８は、脆弱性発見プログラムを実行するコンピュータを示す図である。図８に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central　Processing　Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ（Random　Access　Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
　ここで、図８に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報、データは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
　また、脆弱性発見プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した脆弱性発見装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。
　また、脆弱性発見プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、脆弱性発見プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、脆弱性発見プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local　Area　Network）やＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１０　　脆弱性発見装置
　１１　　脆弱性関連ＤＢ
　１２　　逆アセンブル部
　１３　　脆弱性箇所抽出部
　１４　　正規化処理部
　１５　　類似度算出部
　１６　　判定部
　１７　　出力部

Claims (6)

  1. 　ソフトウェアの未修正の脆弱性箇所に該当する第１のプログラムコードを抽出する抽出部と、
    　前記抽出部により抽出された第１のプログラムコードと、脆弱性箇所の検査対象となるソフトウェアの第２のプログラムコードとに含まれるパラメータのうち、コンパイル環境により変化するパラメータを正規化する正規化処理部と、
    　前記正規化後の第２のプログラムコードの任意の箇所を比較対象として前記第１のプログラムコードとの類似度である第１の類似度を算出する類似度算出部と、
    　算出した前記第１の類似度が所定の閾値を超える第２のプログラムコードの箇所について、脆弱性関連情報を参照して、当該第２のプログラムコードの箇所が未知の脆弱性箇所か否かを判定する判定部と、
    　前記未知の脆弱性箇所と判定された第２のプログラムコードの箇所を出力する出力部と
    　を備えることを特徴とする脆弱性発見装置。
  2. 　前記類似度算出部は、前記第１の類似度を算出する際、前記正規化後の第２のプログラムコードのうち、前記第１のプログラムコードの文字列と同じ文字列の箇所については第１の値を加算し、前記第１のプログラムコードの文字列と異なる文字列の箇所については前記第１の値よりも低い第２の値を加算し、前記正規化後の第２のプログラムコードに、前記第１のプログラムコードとは異なる文字列が挿入されている区間、または、前記第１のプログラムコードの文字列が一部削除されている区間がある場合、前記区間の開始点の文字列については前記第２の値よりも低い第３の値を加算し、当該区間の継続点の文字列については前記第３の値よりも高く、かつ、０よりも低い第４の値を加算することを特徴とする請求項１に記載の脆弱性発見装置。
  3. 　前記類似度算出部は、前記第３の値および前記第４の値として、前記第３の値および前記第４の値の合計値が、前記第２の値の２倍の値よりも高くなるような値を設定することを特徴とする請求項２に記載の脆弱性発見装置。
  4. 　前記判定部は、前記第１の類似度が所定の閾値を超える第２のプログラムコードの箇所について、当該箇所の前記脆弱性関連情報に登録される修正済みの脆弱性箇所のプログラムコードとの類似度である第２の類似度を算出し、算出した前記第２の類似度が前記第１の類似度以上の場合、当該第２のプログラムコードの箇所を未知の脆弱性箇所から除外することを特徴とする請求項１に記載の脆弱性発見装置。
  5. 　ソフトウェアの未修正の脆弱性箇所に該当する第１のプログラムコードを抽出するステップと、
    　抽出された第１のプログラムコードと、脆弱性箇所の検査対象となるソフトウェアの第２のプログラムコードとに含まれるパラメータのうち、コンパイル環境により変化するパラメータを正規化するステップと、
    　前記正規化後の第２のプログラムコードの任意の箇所を比較対象として前記第１のプログラムコードとの類似度である第１の類似度を算出するステップと、
    　算出した前記第１の類似度が所定の閾値を超える第２のプログラムコードの箇所について、脆弱性関連情報を参照して、当該第２のプログラムコードの箇所が未知の脆弱性箇所か否かを判定するステップと、
    　前記未知の脆弱性箇所と判定された第２のプログラムコードの箇所を出力するステップと
    　を含んだことを特徴とする脆弱性発見方法。
  6. 　ソフトウェアの未修正の脆弱性箇所に該当する第１のプログラムコードを抽出するステップと、
    　抽出された第１のプログラムコードと、脆弱性箇所の検査対象となるソフトウェアの第２のプログラムコードとに含まれるパラメータのうち、コンパイル環境により変化するパラメータを正規化するステップと、
    　前記正規化後の第２のプログラムコードの任意の箇所を比較対象として前記第１のプログラムコードとの類似度である第１の類似度を算出するステップと、
    　算出した前記第１の類似度が所定の閾値を超える第２のプログラムコードの箇所について、脆弱性関連情報を参照して、当該第２のプログラムコードの箇所が未知の脆弱性箇所か否かを判定するステップと、
    　前記未知の脆弱性箇所と判定された第２のプログラムコードの箇所を出力するステップと
    　をコンピュータに実行させるための脆弱性発見プログラム。
PCT/JP2016/077738 2015-10-09 2016-09-20 脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム WO2017061270A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP16853424.6A EP3330879B1 (en) 2015-10-09 2016-09-20 Vulnerability discovering device, vulnerability discovering method, and vulnerability discovering program
CN201680057673.8A CN108140091B (zh) 2015-10-09 2016-09-20 漏洞发现装置、漏洞发现方法以及存储介质
JP2017544442A JP6503084B2 (ja) 2015-10-09 2016-09-20 脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム
US15/749,174 US10747887B2 (en) 2015-10-09 2016-09-20 Vulnerability detection device, vulnerability detection method, and vulnerability detection program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015201165 2015-10-09
JP2015-201165 2015-10-09

Publications (1)

Publication Number Publication Date
WO2017061270A1 true WO2017061270A1 (ja) 2017-04-13

Family

ID=58487541

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/077738 WO2017061270A1 (ja) 2015-10-09 2016-09-20 脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム

Country Status (5)

Country Link
US (1) US10747887B2 (ja)
EP (1) EP3330879B1 (ja)
JP (1) JP6503084B2 (ja)
CN (1) CN108140091B (ja)
WO (1) WO2017061270A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018230194A1 (ja) * 2017-06-14 2018-12-20 日本電信電話株式会社 特定支援装置、特定支援方法及び特定支援プログラム
JP2020013385A (ja) * 2018-07-19 2020-01-23 富士通株式会社 情報処理装置、パッチ適用確認システム、パッチ適用確認方法、およびパッチ適用確認プログラム
EP3779702A4 (en) * 2018-05-30 2021-05-12 Samsung Electronics Co., Ltd. ELECTRONIC DEVICE FOR DETECTING SOFTWARE SUSPECTIVITY AND PROCEDURES FOR OPERATING THEREOF

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10592677B2 (en) * 2018-05-30 2020-03-17 Paypal, Inc. Systems and methods for patching vulnerabilities
CN109344622A (zh) * 2018-09-26 2019-02-15 杭州迪普科技股份有限公司 漏洞攻击的入侵检测方法及相关设备
US11106791B2 (en) 2018-10-01 2021-08-31 Blackberry Limited Determining security risks in binary software code based on network addresses
US11347850B2 (en) 2018-10-01 2022-05-31 Blackberry Limited Analyzing binary software code
US10984102B2 (en) * 2018-10-01 2021-04-20 Blackberry Limited Determining security risks in binary software code
CN110766402B (zh) * 2019-06-27 2021-09-03 深圳市润鹏华通创新科技有限公司 交易顺序依赖漏洞检测方法、系统、电子装置及存储介质
US11514171B2 (en) * 2019-10-29 2022-11-29 Dell Products L.P. Code vulnerability detection and remediation
WO2021130943A1 (ja) * 2019-12-25 2021-07-01 日本電気株式会社 リスク分析結果表示装置、方法、及びコンピュータ可読媒体
WO2021156966A1 (ja) * 2020-02-05 2021-08-12 日本電気株式会社 分析システム、方法およびプログラム
US12093396B2 (en) * 2020-07-16 2024-09-17 Bank Of America Corporation System and method for associating a common vulnerability and exposures (CVE) with a computing device and applying a security patch
CN111866023A (zh) * 2020-08-04 2020-10-30 深圳供电局有限公司 一种异常用户行为审计方法和装置
CN112651028B (zh) * 2021-01-05 2022-09-30 西安工业大学 基于上下文语义和补丁验证的漏洞代码克隆检测方法
CN114785574B (zh) * 2022-04-07 2023-09-29 国网浙江省电力有限公司宁波供电公司 一种基于ai辅助的远程漏洞精确验证方法
CN118260764A (zh) * 2024-03-25 2024-06-28 中国人民解放军61660部队 一种联合实体抽取的漏洞归一化深度学习方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6282698B1 (en) * 1998-02-09 2001-08-28 Lucent Technologies Inc. Detecting similarities in Java sources from bytecodes
JP2011086147A (ja) * 2009-10-16 2011-04-28 Nippon Telegr & Teleph Corp <Ntt> 類似性算出装置、類似性算出方法および類似性算出プログラム
US8819856B1 (en) * 2012-08-06 2014-08-26 Google Inc. Detecting and preventing noncompliant use of source code

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7284273B1 (en) * 2003-05-29 2007-10-16 Symantec Corporation Fuzzy scanning system and method
JP5009186B2 (ja) 2008-02-12 2012-08-22 日本電信電話株式会社 逆アセンブル方法および逆アセンブル装置
TWI515598B (zh) * 2013-08-23 2016-01-01 國立交通大學 產生純化惡意程式的方法、偵測惡意程式之方法及其系統
JP6088713B2 (ja) 2014-08-20 2017-03-01 日本電信電話株式会社 脆弱性発見装置、脆弱性発見方法、及び脆弱性発見プログラム
CN107229563B (zh) * 2016-03-25 2020-07-10 中国科学院信息工程研究所 一种跨架构的二进制程序漏洞函数关联方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6282698B1 (en) * 1998-02-09 2001-08-28 Lucent Technologies Inc. Detecting similarities in Java sources from bytecodes
JP2011086147A (ja) * 2009-10-16 2011-04-28 Nippon Telegr & Teleph Corp <Ntt> 類似性算出装置、類似性算出方法および類似性算出プログラム
US8819856B1 (en) * 2012-08-06 2014-08-26 Google Inc. Detecting and preventing noncompliant use of source code

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
J. PEWNY ET AL.: "Cross-Architecture Bug search in Binary executables", 36TH IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 18 May 2015 (2015-05-18), pages 709 - 724, XP055371769, Retrieved from the Internet <URL:http://www.ieeesecurity.org/TC/SP2015/papers-archived/6949a709.pdf> [retrieved on 20161020] *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018230194A1 (ja) * 2017-06-14 2018-12-20 日本電信電話株式会社 特定支援装置、特定支援方法及び特定支援プログラム
JPWO2018230194A1 (ja) * 2017-06-14 2019-11-07 日本電信電話株式会社 特定支援装置、特定支援方法及び特定支援プログラム
US11609998B2 (en) 2017-06-14 2023-03-21 Nippon Telegraph And Telephone Corporation Device, method, and computer program for supporting specification
EP3779702A4 (en) * 2018-05-30 2021-05-12 Samsung Electronics Co., Ltd. ELECTRONIC DEVICE FOR DETECTING SOFTWARE SUSPECTIVITY AND PROCEDURES FOR OPERATING THEREOF
US11861014B2 (en) 2018-05-30 2024-01-02 Samsung Electronics Co., Ltd Electronic device detecting software vulnerability and method for operating same
JP2020013385A (ja) * 2018-07-19 2020-01-23 富士通株式会社 情報処理装置、パッチ適用確認システム、パッチ適用確認方法、およびパッチ適用確認プログラム
JP7075011B2 (ja) 2018-07-19 2022-05-25 富士通株式会社 情報処理装置、パッチ適用確認システム、パッチ適用確認方法、およびパッチ適用確認プログラム

Also Published As

Publication number Publication date
CN108140091B (zh) 2021-12-31
EP3330879B1 (en) 2019-12-18
JP6503084B2 (ja) 2019-04-17
EP3330879A1 (en) 2018-06-06
CN108140091A (zh) 2018-06-08
US20180225460A1 (en) 2018-08-09
EP3330879A4 (en) 2019-04-03
JPWO2017061270A1 (ja) 2018-02-22
US10747887B2 (en) 2020-08-18

Similar Documents

Publication Publication Date Title
WO2017061270A1 (ja) 脆弱性発見装置、脆弱性発見方法、および、脆弱性発見プログラム
JP6088713B2 (ja) 脆弱性発見装置、脆弱性発見方法、及び脆弱性発見プログラム
US10339315B2 (en) Apparatus and method for detecting malicious mobile app
JP6670907B2 (ja) スクリプトの実行をブロックするシステム及び方法
Alazab et al. Malware detection based on structural and behavioural features of API calls
US8931092B2 (en) System and method for computer inspection of information objects for shared malware components
WO2018066516A1 (ja) 攻撃コード検知装置、攻撃コード検知方法及び攻撃コード検知プログラム
US10607010B2 (en) System and method using function length statistics to determine file similarity
US10198576B2 (en) Identification of mislabeled samples via phantom nodes in label propagation
US10255436B2 (en) Creating rules describing malicious files based on file properties
US20180285565A1 (en) Malware detection in applications based on presence of computer generated strings
CN116868193A (zh) 固件组件标识和漏洞评估
US11366902B2 (en) System and method of detecting malicious files based on file fragments
Hu et al. Robust app clone detection based on similarity of ui structure
US11550910B2 (en) Creating generic rules in a high dimensional sparse feature space using negative feedback
WO2019002558A1 (en) STANDARDIZATION OF ENTRY POINT INSTRUCTIONS IN EXECUTABLE PROGRAM FILES
US9223569B1 (en) Automatic software catalog content creation based on bio-inspired computing prediction
EP3767510A1 (en) System and method of detecting malicious files based on file fragments
US12067152B2 (en) Verification device, verification system, verification method, and verification program
WO2021149317A1 (ja) 推定システム、推定方法及び推定プログラム
WO2022254729A1 (ja) 解析装置、解析方法、および、解析プログラム
于颖超 et al. Binary Code Similarity Analysis and Its Applications on Embedded Device Firmware Vulnerability Search

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16853424

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017544442

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15749174

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2016853424

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE