基于数据融合的源代码静态分析漏洞检测技术  

Source Code Static Analysis Technology for Vulnerability Detection Based on Data Fusion

作　　者：孔德光[1] 郑烇[1] 陈超[1] 帅建梅[1] 朱明[1] 戴威[2] 

机构地区：[1]中国科学技术大学自动化系,安徽合肥230027 [2]酒泉卫星发射中心,甘肃酒泉732758

出　　处：《小型微型计算机系统》2008年第6期1109-1112,共4页Journal of Chinese Computer Systems

基　　金：国家“八六三”高技术研究发展计划基金项目(2006AA01Z449)资助

摘　　要：针对目前现有静态分析方法存在的漏报率和误报率较高的问题,提出一种基于数据融合的源代码静态分析漏洞检测技术.该技术通过对不同检测方法的分析结果进行解析和数据融合,有效地降低误报率和漏报率.设计与实现了一个可扩展的源代码静态分析工具原型,可通过用户的反馈信息自动寻优.实验结果表明:相对于单个漏洞检测方法而言,该方法的误报率和漏报率明显降低.To cope with the problem of high false positives and false negatives in source code static analysis methods,this paper presents a source code static analysis technology for vulnerability detection based on data fusion.This technology interprets and makes data fusion on the outcome of different static analysis methods,which greatly decrease the false positives and false negatives.A prototype system of scalable source code analysis tool is designed and implemented which can automatically search for the best result based on feedback of the users.It is proved by experiment that this method has a better performance with lower false positives and false negatives compared with one single method.

关 键 词：漏洞检测 静态分析 数据融合 误报率 漏报率 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]