針對企業(yè)信息系統(tǒng)源代碼中可能存在的安全漏洞，可以運(yùn)用基于歷史漏洞信息的智能學(xué)習(xí)技術(shù)進(jìn)行檢測。通過采集海量開源代碼并提取其中漏洞代碼的方法構(gòu)建樣本集，提取漏洞比對特征進(jìn)行模型訓(xùn)練，形成原型系統(tǒng)，實(shí)現(xiàn)對系統(tǒng)源代碼進(jìn)行安全性檢測，并輔助工程人員快速進(jìn)行源代碼漏洞的定位與修復(fù)，大幅提高代碼安全檢測與維護(hù)的工作效率?？傮w目標(biāo)如下：
（1）使用多渠道、多版本、多來源的軟件模塊代碼采集技術(shù)，對企業(yè)信息系統(tǒng)開發(fā)代碼、開源代碼和第三方代碼分別進(jìn)行爬??；針對開源代碼各個(gè)模塊的不同歷史版本，采集完整歷史版本代碼形成開源代碼庫；針對API及庫函數(shù)等不同調(diào)用方式對第三方代碼進(jìn)行處理，形成第三方代碼庫。
（2）基于采集到的代碼庫，利用git、svn等版本控制工具提供的歷史提交信息檢索方法，結(jié)合棧溢出和堆溢出等漏洞關(guān)鍵詞，檢索代碼庫中各個(gè)模塊代碼的實(shí)現(xiàn)性漏洞，對漏洞成因、代碼位置、修補(bǔ)信息等進(jìn)行存儲，依據(jù)漏洞類型分別形成相應(yīng)類型的漏洞庫，獲得完整漏洞代碼庫。
（3）基于生成的漏洞代碼庫，實(shí)現(xiàn)從語法相似性、語義相似性、變量相似性、代碼結(jié)構(gòu)相似性等比對結(jié)果中進(jìn)行特征提?。贿M(jìn)一步通過將單獨(dú)特征進(jìn)行相乘或計(jì)算笛卡爾積的方式，形成高質(zhì)量的能更好表征代碼安全性的合成特征。
（4）利用決策樹、神經(jīng)網(wǎng)絡(luò)、SVM等機(jī)器學(xué)習(xí)算法對比對結(jié)果進(jìn)行判別，得到目標(biāo)網(wǎng)絡(luò)密碼模塊代碼的漏洞信息；提取軟件模塊的漏洞信息，并形成安全性比對報(bào)告，最終形成代碼安全性比對判別原型系統(tǒng)。
源代碼智能審計(jì)功能
源代碼智能安全審計(jì)平臺軟件功能主要包括：項(xiàng)目管理、源代碼倉庫管理、代碼采集、漏洞掃描、源代碼安全分析、智能學(xué)習(xí)等模塊。
（1）多渠道軟件代碼采集及源代碼管理平臺
使用多種版本控制系統(tǒng)協(xié)議支持模塊，最后形成廣域分布式的多種版本控制系統(tǒng)聚合爬取技術(shù)的代碼采集模塊。
建設(shè)形成了基于歷史版本且具有表征能力的代碼倉庫和離線開源代碼框架倉庫，滿足對項(xiàng)目代碼歷史信息和修改記錄、歷史版本獲取的需求；
建立了本地源代碼倉庫，搭建源代碼管理平臺，方便對源代碼進(jìn)行統(tǒng)一管理管理，為后續(xù)的源代碼掃描做好準(zhǔn)備的工作。
生成基于歷史版本管理的源代碼倉庫。
生成基于歷史版本管理的離線開源代碼倉庫。
（2）漏洞特征庫
通過程序靜態(tài)分析技術(shù)等方法，提取歷史漏洞能夠表征漏洞信息的初步特征，結(jié)合保留語義的抽象化方法實(shí)現(xiàn)在初步特征基礎(chǔ)上生成更為優(yōu)質(zhì)的漏洞優(yōu)化特征，形成企業(yè)代碼漏洞特征庫。可對漏洞優(yōu)化特征的數(shù)據(jù)管理，實(shí)現(xiàn)了對特征的逐條及批量的增刪或?qū)?，并且無需重新構(gòu)建或編譯整個(gè)模型。
（3）基于機(jī)器學(xué)習(xí)的源代碼漏洞比對與分析
將漏洞采集、漏洞定位、特征提取和特征優(yōu)化結(jié)合中間表示轉(zhuǎn)化、機(jī)器學(xué)習(xí)模型訓(xùn)練與預(yù)測。
已達(dá)到掃描速度每1萬行代碼檢測時(shí)間≤5分鐘
在沒有機(jī)器學(xué)習(xí)前，審計(jì)準(zhǔn)確率在50%60%左右，但采用學(xué)習(xí)得到的漏洞庫后，審計(jì)準(zhǔn)確率能提升到80%95%。
