[论文解读] ThreatZoom: CVE2CWE using Hierarchical Neural Network

Ehsan Aghaei, Waseem Shadid+1 more|arXiv (Cornell University)|Sep 24, 2020

Software Engineering Research参考文献 10被引用 8

一句话总结

ThreatZoom 是首个使用分层神经网络结合 CVE 描述的统计特征与语义特征，自动将 CVE 分类为 CWE 的系统。其在 NVD 数据集上达到 92% 的细粒度准确率，在 MITRE 数据集上达到 90%，在许多情况下优于人工分类的特异性。

ABSTRACT

The Common Vulnerabilities and Exposures (CVE) represent standard means for sharing publicly known information security vulnerabilities. One or more CVEs are grouped into the Common Weakness Enumeration (CWE) classes for the purpose of understanding the software or configuration flaws and potential impacts enabled by these vulnerabilities and identifying means to detect or prevent exploitation. As the CVE-to-CWE classification is mostly performed manually by domain experts, thousands of critical and new CVEs remain unclassified, yet they are unpatchable. This significantly limits the utility of CVEs and slows down proactive threat mitigation. This paper presents the first automatic tool to classify CVEs to CWEs. ThreatZoom uses a novel learning algorithm that employs an adaptive hierarchical neural network which adjusts its weights based on text analytic scores and classification errors. It automatically estimates the CWE classes corresponding to a CVE instance using both statistical and semantic features extracted from the description of a CVE. This tool is rigorously tested by various datasets provided by MITRE and the National Vulnerability Database (NVD). The accuracy of classifying CVE instances to their correct CWE classes are 92% (fine-grain) and 94% (coarse-grain) for NVD dataset, and 75% (fine-grain) and 90% (coarse-grain) for MITRE dataset, despite the small corpus.

研究动机与目标

• 解决网络安全领域中因依赖专家手动进行 CVE 到 CWE 映射而导致的严重瓶颈，即数千个 CVE 未被分类。
• 开发一种自动化、可扩展的解决方案，通过准确将 CVE 分配到相应的 CWE 类别，缩短未打补丁漏洞的缓解时间。
• 通过文本分析和神经网络技术，提升分类粒度，超越现有手动努力，识别更具体的 CWE。
• 通过自动化 CWE 映射，提供关于漏洞根本原因和缓解策略的详细、可操作的洞察，实现主动网络防御。
• 通过与 MITRE 和 NVD 的真实世界数据集对比，验证系统性能，确保与既定分类标准一致。

提出的方法

• ThreatZoom 采用分层神经网络，根据文本分析评分和分类错误动态调整权重，以提高预测准确率。
• 从 CVE 描述中提取统计特征（如 TF-IDF）和语义特征（如词嵌入），以表示漏洞语义。
• 模型在 CVE 描述上端到端训练，学习将低层级漏洞报告映射到其在分层分类体系中的对应 CWE 类别。
• 系统采用多级分类策略，尊重 CWE 树中的父子关系，支持粗粒度与细粒度预测。
• 通过与 MITRE 分类标准对齐并使用专家标注数据集验证结果，整合领域特定知识。
• 架构支持迁移学习和增量更新，可适应新型漏洞模式和不断演变的威胁环境。

实验结果

研究问题

• RQ1 在不依赖人工专家标注的情况下，自动化系统能否实现对 CVE 到 CWE 的高准确率分类？
• RQ2 与专家级分类相比，自动化分层神经网络在精确度和粒度方面表现如何？
• RQ3 该模型在多大程度上能识别出比现有手动分类更具体的细粒度 CWE？
• RQ4 该系统能否在多样化的数据集（如规模和标注一致性不同的 MITRE 和 NVD）上实现良好泛化？
• RQ5 语义特征与统计特征的融合在捕捉漏洞根本原因、实现准确 CWE 映射方面有多有效？

主要发现

• ThreatZoom 在 NVD 数据集上实现 92% 的细粒度分类准确率，在 MITRE 数据集上实现 75% 的准确率，表明其在不同数据源间具有强大的泛化能力。
• 在粗粒度分类方面，系统在 NVD 上达到 94% 的准确率，在 MITRE 上达到 90%，表明其在更广泛 CWE 类别分配中具有高度可靠性。
• 在 47% 的情况下，ThreatZoom 提供的 CWE 分类比 MITRE 更为细粒度；在 95% 的情况下，其分类深度与 NVD 一致或更优。
• 对 100 个随机选取的 CVE 进行人工验证表明，ThreatZoom 的细粒度预测在 36% 的情况下比 MITRE 更精确、语义更准确，在 62% 的情况下优于 NVD。
• 系统成功识别出根本原因模式，如 SQL 注入中的输入不当中和，正确将 CVE-2004-0366 映射到 CWE-89（SQL 注入），甚至识别出更细粒度的子类型，如 CWE-943（数据查询或表达式中特殊元素的不当中和）。
• ThreatZoom 在特异性方面优于人工分类，特别是在识别 Windows 特定漏洞（如硬链接漏洞，例如 CWE-65）方面，其对 CVE-2001-1386 的分类精度高于 MITRE 的宽泛分类。