基于软件工程中主流静态分析工具的分类模型

  本篇论文是一篇软件工程硕士论文范文，首先，我们对源代码分析报告中的各特征进行了简单的介绍。接着，在数据预处理部分，．对于：特征ｓｕｍｍａｒｙ我们采用／ＮＬＰ（Ｎａｔｕｒａｌ Ｌａｎｇｕａｇｅ Ｐｒｏｃｅｓｓｉｎｇ）的相关方法进行处理，然后，针对数据量大且需要打标签的现实困难，我们提出了采用半监督学习算法来利用机器打标签的思路。最后，采用ＬｉｇｈｔＧＢＭ进行分类模型的训练。

  随着互联网的快速发展和软件项目复杂性的增大，软件安全问题越来越突出。一般来说，一个软件项ｇ从开发到成功上线都会经历代码编写、线下测试和线上测试等几个环节，具体如图１．１。而项目的安全问题主要是由代码漏洞引起的。提高软件项目安全性的方法有很多，比如培养开发人员良好的编程素养，采用完善的开发模式等。而近年来，静态检测作为线下测试中一种高效的程序分析技术受到人们的麗视。静态检测是指不需要运行程序，接通过对代码的分析，发现其的漏洞。静态检测可以在代码编写完成后查找代码中的漏洞，因此非常方便和高效。源代码静态测试根据检测手段分为人工审查和专Ｍ具检测。审查代码的测试方式，因测试人员的评判标准不同，测试效果差异很大。专业的工具检测是基于规则的检查，这些规则是从事嵌入式系统开发的专家们积累的典型错误的集合。充分利用这些规则和静态测试工具，及时开展静态测试，可大大提高软件产品的正确性、安全性和可靠性。本文选取的分析工具主要采取市场上普遍认可的数据流分析技术，比如Ｃｏｖｅｒｉｔｙ和ＫｌｏｃＷｏｒｋ。这些工具也是目前商业领域最主流的静态分析工具。在实际项目中，如图１．１所示，获取到诊断报告后，需要由审核员评估代码缺陷的有效性。手动审计所有警报和修复己确认的代码漏洞所需的工作通常超出了项目的预估。审核员需要能够对警报进行分类的工具，这样可以有效的提高审核效率。本文描述了我们进行的研究，即采用分类模型来预测静态分析警报是否是真的代码错误。我们首先采用多个静态分析工具对同一项目代码进行扫描，得到诊断报告。然后，使用这些诊断报告分别创建警报分类模型，并测试这些模型。实验证明，我们提出的分类模型取得了很好的分类效果。由于不同工具生成的诊断报告中都含有对警报的一些描述，即自然语言描述。我们在数据预处理部分采用了当前比较主流的自然语言处理方式（分词、去除停用词、将文本转为ＴＦ－ＩＤＦ向量和用ＬＳＩ来保证向量的维度一致等技术）将文本数据转化为机器熟悉的数字向量，为模型训练做好数据准备。由于机器学习需要大量标记好的训练数据来训练模型，而数据标记又是一项庞大繁复的工作，因此我们尝试用半监督学习算法，使用少量己标记好的数据通过机器学习算法来标记剩余的大量数据，从而进一步提高项目效率。我们比较的是机器学习中经典的四种分类算法，即ＲＦ （Ｒａｎｄｏｍ  Ｆｏｒｅｓｔ，随机森林）、ＣＡＲＴ（Ｃｌａｓｓｉｆｉｃａｔｉｏｎ  Ａｎｄ  Ｒｅｇｒｅｓｓｉｏｎ  Ｔｒｅｅ，分类与回归树）、ＸＧＢｏｏｓｔ（ｅｘｔｒｅｍｅ Ｇｒａｄｉｅｎｔ  Ｂｏｏｓｔｉｎｇ，极端梯度增强）和ＬｉｇｈｔＧＢＭ。这些算法根据概率将警报分配到各个类，在模型复杂性、针对数据集大小等方面各有优劣。我们希望使用这些分类算法来创建模型，以便将诊断报告中的警报自动分类为预测正确或者预测错误，从而大幅度降低警报审核员的工作强度，提高实际工作中的项目效率。

  随着互联网技术的快速发展，静态分析技术也从最初简单的特定词分析发展到现在利用成熟的工具全面检测分析，保证了软件项目的高效率、高质量上线。在静态分析的相关研究中，由于不同项目对效率、安全等方面的需求有所差异，导致警报的分类和命名一直不曾统一。Ｄｅｌａｉｔｒｅ的评级系统在分析静态工具有效性的研究中经历了多次演变，最终将用于描述警报的词汇确定为“ｓｅｃｕｒｉｔｙｒｅｌａｔｅｄ（与安全相关的）”，“ｑｕａｌｉｔｙ－ｒｅｌａｔｅｄ（质量相关）”、“ｉｎｓｉｇｎｉｆｉｃａｎｔ（无关紧要）”和“ｆａｌｓｅ（错误）”。Ｃｉｒｉｅｌｌ〇的分析只是使用了“Ｃ＋＋测试问题”和“Ｆａｌｓｅ  Ｐｏｓｉｔｉｖｅ（假阳性）”两个词汇决定。Ｂａｃａ使用静态分析来改进软件安全性的工作中使用了三个词汇：“ＦａｌｓｅＰｏｓｉｔｉｖｅ（假阳性）”表示未正确识别的错误不影响与安全性相关的指定参数、“Ｔｒｕｅｐｏｓｉｔｉｖｅ（真阳性）”表示正确识别的错误不影响与安全性相关的指定参数、“Ｓｅｃｕｒｉｔｙ（安全性）”表示正确的警告可能传播导致用户的系统产生故障。Ｃａｒｌｓｓｏｎ使用静态分析工具进行的研究中使用了四个词汇：“ｆａｌｓｅ  Ｐｏｓｉｔｉｖｅ （假阳性）”、“ｐｏｓｓｉｂｌｅ ｓｅｃｕｒｉｔｙｉｍｐｒｏｖｅｍｅｎｔ（可能的安全改进）”、“ｓｅｃｕｒｉｔｙ  ｒｉｓｋ  ｗｉｔｈ  ｃｏｎｓｅｑｕｅｎｃｅｓ（带有后果的安全风险）”和“ｆａｌｓｅ  ｎｅｇａｔｉｖｅ（假阴性）”。Ｃｉｆｕｅｎｔｅｓ描述了Ｏｒａｃｌｅ  内部对Ｐａｒｆａｉｔ 静态分析工具的部署，他们的服务器使用“ｔｒｕｅ”、“ｆａｌｓｅｐｏｓｉｔｉｖｅ”和“ｗｏｎ’ｔ  ｆｉｘ”等词汇来描述每个代码库的历史扫描情况，包括夜间运行结果、总体报告状态和扫描结果。由于本文只针对分析报告产生后造成的人工审核量过大的问题进行研究，因此我们采用所有研究都认可的真假限定词：“Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ”和“Ｔｒｕｅ ｐｏｓｉｔｉｖｅ”来对分析报告中的警报进行描述。Ｂｅｓｓｅｙ等人在实践中发现了使用静态分析的许多问题。比如，一些忽略结构的工具，导致产生许多假阳性警报（程序中并不存在的ｂｕｇ），使用户错误的将这些假阳性警告标记为真正的ｂｕｇ，加重了程序员修改ｂｕｇ的工作量。Ｄｅｌａｉｔｒｅ等人发现，在不复杂的基本测试用例中，静态分析工具平均能发现约２０％的错误。他们使用了一组匿名静态分析工具进行扫描，发现复杂的控制流和数据流结构会显著降低这些工具的扫描准确率。由于单个静态分析工具对问题代码的覆盖范围有限（对某些错误发出警告，但对其他错误不发出警告），所以可以使用多个静态分析工具来查找更多的代码错误。这种方法会使警报数量剧增，并且其中包含了大量的误报。Ｂｅｌｌｅｒ等人发现大部分开源项目都没有与其工作流程紧密集成的静态分析工具，而且很多项目并不要求代码库是完全无警报的。Ｋｏｎｇ等人使用警报风险评级和置信度对警报进行优先级排序。他们认为如果一个警报是由多个工具报告的，则其优先级较之其它警报会更高，并且提供了３个代码库的实验分析结果。但是他们没有使用代码库的特征来对警报进行分类，他们的方法也不能分析比较复杂的置信度因子。例如，工具Ａ、工具Ｂ和工具Ｃ有不同的置信度因子，若Ａ为０．４，Ｂ为０．８，Ｃ为０．３，当工具Ａ和工具Ｃ发出警报而工具Ｂ不发出警报时，我们更相信工具Ｂ的判断，认为此程序不含有错误。Ｍｅｎｇ等人［１７］提出了一种合并多个工具扫描结果的方法，并给出了两个策略对结果进行优先级排序。他们先是根据警报的严重程度对警报进行排序，然后根据生成该类型警报的工具数量对代码中该位置的警报进行排序。这种方法并没有对警报的正确性进行分析。Ｋｒｅｍｅｎｅｋ利用工具和代码库的特性，根据每个静态分析工具的相关数据对警报进行排序？。但是，该方法对来自不同工具的警报集进行排序时，不做警报融合，只是单纯的使来自一个工具的所有警报的优先级低于来自另一个工具的所有警报的优先级。Ｈｅｃｋｍａｎ和Ｗｉｌｌｉａｍｓ对警报的分类和优先级进行了广泛的调查，详细介绍了２１项同行评审的研究。ＨｅｃｋｍａｉＴＭｉ用开发人员反馈的误报和修复真报，以及警报等级、特有数据等自适应地对警报进行分级。她的模型在只调查了２０％的警报后，发现了８１％的真正警报。Ｋｒｅｍｅｎｅｋ等人使用的公式适用于人工对静态分析工具输出的检测。由于人工审核人员都是从（当前）己排序警报集的顶部对每个警报进行审核，因此可以采用公式动态地利用相关信息对警报重新排序。Ｒｕｔｈｒｕｆｆ等人构建了模型来预测警告是否为假阳性。如果为真，则预测开发人员是否会对缺陷采取行动（如果为真，则对项目本身无实质影响，但不太规则的代码格式及潜在影响是否需要修改则需要项目经理来决定）。他们采用了逻辑回归来预测，用到的特征包括程序大小、文件最近的更改历史、文件发布以来的文件年龄和最近的故障历史。在谷歌进行的案例研究中，生成的模型在预测假阳性方面的准确率超过８５％，在识别真实警报方面的准确率超过７０％。我们的工作就是继续采用谷歌的预测思想，但不是直接对代码文件的相关特征建模，而是对当前主流的静态分析工具结果建立一个针对其规则、警报严重性等该工具特有的规则属性的分类模型，使其在生成其它项目警报时能直接预测其假阳性的概率。同时，我们针对数据集需大量标注的情况，采用了半监督学习算法来进行数据标记。实验证明，我们提出的基于半监督数据标记的分类模型取得了很好的效果。