أين هو؟ تتبع الملفات المتعلقة بالثغرات من تقارير الثغرات

مع الاستخدام الواسع للبرمجيات مفتوحة المصدر، أصبحت الهجمات القائمة على سلسلة التوريد والتي تتضمن SolarWind وLog4Shell تشكل مخاطر كبيرة على أمان البرمجيات. حاليًا، يعتمد الناس على قواعد بيانات الاستشارة المتعلقة بالثغرات أو فواتير المواد البرمجية التجارية (SBOM) للدفاع ضد المخاطر المحتملة. للأسف، لا توفر هذه المجموعات المعلومات الدقيقة على مستوى الملفات المتعلقة بالثغرات، مما يعرض فعاليتها للخطر. لم تعالج الأعمال السابقة هذه القضية بشكل كافٍ، ولطرق الكشف الرئيسية عن الثغرات عيوب تعوق معالجة هذه الفجوة. مدفوعين بالاحتياجات الحقيقية، نقترح إطار عمل يمكنه تتبع الملف المتعلق بالثغرات لكل ثغرة تم الكشف عنها. تعتمد طريقتنا على أوصاف NVD مع البيانات الوصفية كمدخلات، وتستخدم سلسلة من الاستراتيجيات مع نموذج LLM ومحرك بحث وطريقة مطابقة نصوص قائمة على التجريب ومصنف تعلم عميق للتوصية بأكثر الملفات المتعلقة بالثغرات احتمالاً، مما يعزز بشكل فعال اكتمال بيانات NVD الحالية. تؤكد تجاربنا على كفاءة الإطار المقترح، حيث حقق CodeBERT 0.92 AUC و0.85 MAP، ودراستنا للمستخدمين تثبت أن طريقتنا يمكن أن تساعد بفعالية في الكشف عن الملفات المتعلقة بالثغرات. إلى أفضل معرفتنا، يُعتبر عملنا الأول الذي يركز على تتبع الملفات المتعلقة بالثغرات، مما يمهد الطريق لبناء فواتير مواد برمجية واعية بالثغرات على مستوى دقيق.