論文の概要: The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach
- arxiv url: http://arxiv.org/abs/2409.06390v1
- Date: Tue, 10 Sep 2024 10:12:37 GMT
- ステータス: 処理完了
- システム内更新日: 2024-09-11 18:10:00.487018
- Title: The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach
- Title（参考訳）: SBOM発電機がPythonの脆弱性評価に及ぼす影響 : 比較と新しいアプローチ
- Authors: Giacomo Benedetti, Serena Cofano, Alessandro Brighente, Mauro Conti,
- Abstract要約: Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。
現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。
提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
- 参考スコア（独自算出の注目度）: 56.4040698609393
- License: http://creativecommons.org/licenses/by-sa/4.0/
- Abstract: The Software Supply Chain (SSC) security is a critical concern for both users and developers. Recent incidents, like the SolarWinds Orion compromise, proved the widespread impact resulting from the distribution of compromised software. The reliance on open-source components, which constitute a significant portion of modern software, further exacerbates this risk. To enhance SSC security, the Software Bill of Materials (SBOM) has been promoted as a tool to increase transparency and verifiability in software composition. However, despite its promise, SBOMs are not without limitations. Current SBOM generation tools often suffer from inaccuracies in identifying components and dependencies, leading to the creation of erroneous or incomplete representations of the SSC. Despite existing studies exposing these limitations, their impact on the vulnerability detection capabilities of security tools is still unknown. In this paper, we perform the first security analysis on the vulnerability detection capabilities of tools receiving SBOMs as input. We comprehensively evaluate SBOM generation tools by providing their outputs to vulnerability identification software. Based on our results, we identify the root causes of these tools' ineffectiveness and propose PIP-sbom, a novel pip-inspired solution that addresses their shortcomings. PIP-sbom provides improved accuracy in component identification and dependency resolution. Compared to best-performing state-of-the-art tools, PIP-sbom increases the average precision and recall by 60%, and reduces by ten times the number of false positives.
- Abstract（参考訳）: ソフトウェアサプライチェーン(SSC)のセキュリティは、ユーザと開発者にとっても重要な懸念事項です。
最近の出来事、例えばSolarWinds Orionの妥協は、妥協されたソフトウェアの配布による広範な影響を証明した。
現代のソフトウェアの重要な部分を占めるオープンソースコンポーネントへの依存は、このリスクをさらに悪化させます。
SSCのセキュリティを強化するため、ソフトウェア構成における透明性と検証可能性を高めるツールとして、SBOM(Software Bill of Materials)が推進されている。
しかし、その約束にもかかわらず、SBOMは制限がないわけではない。
現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされ、SSCの誤った表現や不完全な表現が生成される。
これらの制限を暴露する既存の研究にもかかわらず、セキュリティツールの脆弱性検出能力への影響はまだ分かっていない。
本稿では,SBOMを入力として受信するツールの脆弱性検出機能について,最初のセキュリティ解析を行う。
我々は、脆弱性識別ソフトウェアに出力を提供することにより、SBOM生成ツールを包括的に評価する。
本研究は,これらのツールの非効率性の根本原因を同定し,その欠点に対処する新しいピップインスパイアされたソリューションであるPIP-sbomを提案する。
PIP-sbomは、コンポーネント識別と依存性解決の精度を向上させる。
最先端のツールと比較して、PIP-sbomは平均精度とリコールを60%増加させ、偽陽性の10倍減少させる。
関連論文リスト
- Comparison of Static Application Security Testing Tools and Large Language Models for Repo-level Vulnerability Detection [11.13802281700894]
静的アプリケーションセキュリティテスト(SAST)は通常、セキュリティ脆弱性のソースコードをスキャンするために使用される。
ディープラーニング(DL)ベースの手法は、ソフトウェア脆弱性検出の可能性を実証している。
本稿では,ソフトウェア脆弱性を検出するために,15種類のSASTツールと12種類の最先端のオープンソースLLMを比較した。
論文 参考訳（メタデータ） (2024-07-23T07:21:14Z) - A Landscape Study of Open Source and Proprietary Tools for Software Bill
of Materials (SBOM) [3.1190983209295076]
Software Bill of Materials (SBOM) は、アプリケーションで使用されるすべてのサードパーティのコンポーネントと依存関係を在庫するリポジトリである。
最近のサプライチェーンの侵害は、ソフトウェアのセキュリティと脆弱性のリスクを高める緊急の必要性を浮き彫りにしている。
本研究では,SBOMに関連するオープンソースおよびプロプライエタリツールの現在の状況を評価するための実証分析を行う。
論文 参考訳（メタデータ） (2024-02-17T00:36:20Z) - Identifying the Risks of LM Agents with an LM-Emulated Sandbox [68.26587052548287]
言語モデル(LM)エージェントとツールは、豊富な機能セットを可能にすると同時に、潜在的なリスクを増幅する。
これらのエージェントを高いコストでテストすることは、高いリスクと長い尾のリスクを見つけるのをますます困難にします。
ツール実行をエミュレートするためにLMを使用し、さまざまなツールやシナリオに対してLMエージェントのテストを可能にするフレームワークであるToolEmuを紹介します。
論文 参考訳（メタデータ） (2023-09-25T17:08:02Z) - On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。
Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。
検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
論文 参考訳（メタデータ） (2023-06-08T20:14:46Z) - AIBugHunter: A Practical Tool for Predicting, Classifying and Repairing
Software Vulnerabilities [27.891905729536372]
AIBugHunterは、C/C++言語用のMLベースのソフトウェア脆弱性分析ツールで、Visual Studio Codeに統合されている。
本稿では,新たな多目的最適化(MOO)に基づく脆弱性分類手法と,AIBugHunterが脆弱性タイプを正確に識別し,重症度を推定するためのトランスフォーマーに基づく評価手法を提案する。
論文 参考訳（メタデータ） (2023-05-26T04:21:53Z) - A survey on hardware-based malware detection approaches [45.24207460381396]
ハードウェアベースのマルウェア検出アプローチは、ハードウェアパフォーマンスカウンタと機械学習技術を活用する。
このアプローチを慎重に分析し、最も一般的な方法、アルゴリズム、ツール、および輪郭を形成するデータセットを解明します。
この議論は、協調的有効性のための混合ハードウェアとソフトウェアアプローチの構築、ハードウェア監視ユニットの不可欠な拡張、ハードウェアイベントとマルウェアアプリケーションの間の相関関係の理解を深めている。
論文 参考訳（メタデータ） (2023-03-22T13:00:41Z) - Free Lunch for Generating Effective Outlier Supervision [46.37464572099351]
本稿では, ほぼ現実的な外乱監視を実現するための超効率的な手法を提案する。
提案したtextttBayesAug は,従来の方式に比べて偽陽性率を 12.50% 以上削減する。
論文 参考訳（メタデータ） (2023-01-17T01:46:45Z) - Federated Learning with Unreliable Clients: Performance Analysis and
Mechanism Design [76.29738151117583]
Federated Learning(FL)は、分散クライアント間で効果的な機械学習モデルをトレーニングするための有望なツールとなっている。
しかし、低品質のモデルは信頼性の低いクライアントによってアグリゲータサーバにアップロードすることができ、劣化やトレーニングの崩壊につながる。
クライアントの信頼できない振る舞いをモデル化し、このようなセキュリティリスクを軽減するための防御メカニズムを提案する。
論文 参考訳（メタデータ） (2021-05-10T08:02:27Z) - Detecting Security Fixes in Open-Source Repositories using Static Code
Analyzers [8.716427214870459]
機械学習(ML)アプリケーションにおけるコミットを表現する機能として,既製の静的コードアナライザの出力がどの程度使用されるかを検討する。
埋め込みの構築やMLモデルをトレーニングして、脆弱性修正を含むソースコードコミットを自動的に識別する方法について検討する。
当社のメソッドとcommit2vecの組み合わせは,脆弱性を修正するコミットの自動識別において,最先端技術よりも明確な改善であることがわかった。
論文 参考訳（メタデータ） (2021-05-07T15:57:17Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。