[論文レビュー] Software Vulnerability Analysis Using CPE and CVE

Luis Alberto Benthin Sanguino, Rafael Uetz|arXiv (Cornell University)|May 15, 2017

Information and Cyber Security参考文献 6被引用数 14

ひとこと要約

本稿では、CPE Well-Formed Names (WFN) の文字列類似度を用いて、ソフトウェア製品のための優先順位付きCPE識別子のリストを推薦する、3段階の手法—CPEマッチング、CPE割り当て、CVEマッチング—を提案する。本手法は、CPE辞書とCVEフィードの不整合を是正することを目的としている。評価結果から、完全に自動化されたCPE割り当ては誤りを起こしやすく、本稿で提案するインタラクティブな手法は、実稼働環境で運用されているオープンソースのVMS「IVA」において、脆弱性検出の正確性を顕著に向上させた。

ABSTRACT

In this paper, we analyze the Common Platform Enumeration (CPE) dictionary and the Common Vulnerabilities and Exposures (CVE) feeds. These repositories are widely used in Vulnerability Management Systems (VMSs) to check for known vulnerabilities in software products. The analysis shows, among other issues, a lack of synchronization between both datasets that can lead to incorrect results output by VMSs relying on those datasets. To deal with these problems, we developed a method that recommends to a user a prioritized list of CPE identifiers for a given software product. The user can then assign (and, if necessary, adapt) the most suitable CPE identifier to the software so that regular (e.g., daily) checks can find known vulnerabilities for this software in the CVE feeds. Our evaluation of this method shows that this interaction is indeed necessary because a fully automated CPE assignment is prone to errors due to the CPE and CVE shortcomings. We implemented an open-source VMS that employs the proposed method and published it on GitHub.

研究の動機と目的

• 自動化された脆弱性スキャンの信頼性を損なう、CPE辞書およびCVEフィードにおける深刻な不整合を特定すること。
• CPE参照の欠落、スペルミス、CPEとCVEデータセット間の同期性欠如といった問題に対処すること。
• 特定のソフトウェア製品に対して最も可能性の高いCPE識別子を推薦することで、CPE割り当てにおける人的ミスを低減する手法を開発すること。
• 現実世界の脆弱性検出において、インタラクティブなCPE割り当てと完全自動化アプローチの有効性を評価すること。
• 提案手法を統合した実用的でオープンソースのソリューション（IVA）を提供し、機能的な脆弱性管理システム（VMS）として実装すること。

提案手法

• 本手法は、CPE Well-Formed Names (WFN) の個々の属性（ベンダー、製品、バージョンなど）に対して、特に編集距離（edit distance）を用いた文字列類似度アルゴリズムを適用し、候補となるCPEとターゲットソフトウェアを比較する。
• URIではなくWFN形式のCPEを処理することで、属性レベルでの細かい比較が可能になり、マッチングの正確性が向上する。
• 類似度スコアに基づいて優先順位付きの候補CPEリストを生成し、ユーザーによる検証や手動での選択・調整を可能にする。
• 選択されたCPEを用いてCVEマッチングを実行し、CVEフィードから既知の脆弱性を取得する。
• 本手法は、GitHubに公開されたオープンソースのVMS「IVA」（Inventory Vulnerability Analysis）に実装されており、自動スキャンとインタラクティブなCPE割り当ての両方をサポートしている。
• 評価では、自動CPE割り当てと本手法のインタラクティブなアプローチを比較し、CVE検出における誤検出率（false positive rate）と誤未検出率（false negative rate）を測定した。

実験結果

リサーチクエスチョン

• RQ1 CPE辞書およびCVEフィードにおける不整合は、自動化システムにおける誤った脆弱性検出をどの程度引き起こすか？
• RQ2 WFNに基づく文字列類似度アプローチは、ソフトウェア製品の正確なCPE識別子を推薦するのにどの程度有効か？
• RQ3 完全自動化された割り当てと比較して、インタラクティブなCPE割り当ては、脆弱性スキャンにおける誤検出および誤未検出を顕著に低減できるか？
• RQ4 CPEとCVEの同期性に影響を与える主なデータ品質上の問題は何か？ それらは脆弱性管理にどのように影響を与えるか？
• RQ5 バージョニング形式の不整合や名前の一意でない問題が生じる現実世界のシナリオにおいて、本手法はどの程度の性能を示すか？

主な発見

• 分析から4つの主要な問題が判明した：CVEエントリにCPE参照がないこと、ソフトウェア製品にCPEが割り当てられていないこと、CPEエントリにスペルミスがあること、CPEとCVEデータセット間の同期性欠如。
• データの不整合のため、完全に自動化されたCPE割り当てプロセスは著しく誤りを起こしやすく、脆弱性検出において顕著な誤検出および誤未検出を引き起こす。
• 本稿で提案する手法は、WFNに基づく文字列類似度を用いて優先順位付きのCPE候補リストを推薦するが、自動割り当てに比べてマッチングの正確性が顕著に向上する。
• IVAシステムを用いた評価では、ユーザーによるCPE選択がより信頼性の高いCVEマッチングを実現し、既知の脆弱性の検出を改善することを示した。
• 本研究では、CPE辞書に根強く存在する問題として、バージョニング形式の不整合や名前の曖昧さが、正確な脆弱性相関を妨げる要因であると特定した。
• 著者らは、NISTがCPEとCVEデータセット間の同期メカニズムを導入すべきであると結論づけた。これにより、データの整合性とシステムの信頼性が向上する。