▶ アクセンチュア グローバル ソリューションズ リミテッドの特許一覧
特表2023-545625ソフトウェアの脆弱性のトリアージのためのシステムおよび方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2023-10-31
(54)【発明の名称】ソフトウェアの脆弱性のトリアージのためのシステムおよび方法
(51)【国際特許分類】
G06F 21/57 20130101AFI20231024BHJP
【ＦＩ】
G06F21/57 370
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2023516547
(86)(22)【出願日】2021-09-10
(85)【翻訳文提出日】2023-05-08
(86)【国際出願番号】 EP2021074995
(87)【国際公開番号】W WO2022063612
(87)【国際公開日】2022-03-31
(31)【優先権主張番号】17/035,375
(32)【優先日】2020-09-28
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＪＡＶＡ
２．ＪＡＶＡＳＣＲＩＰＴ
３．ブルートゥース
４．ＣＨＥＣＫＭＡＲＸ
５．ＦＯＲＴＩＦＹ
(71)【出願人】
【識別番号】516172237
【氏名又は名称】アクセンチュア グローバル ソリューションズ リミテッド
(74)【代理人】
【識別番号】100102406
【弁理士】
【氏名又は名称】黒田 健二
(74)【代理人】
【識別番号】100100240
【弁理士】
【氏名又は名称】松本 孝
(72)【発明者】
【氏名】タラント，フィンバー
(72)【発明者】
【氏名】スリダール，ゴパル カヴァナダラ
(72)【発明者】
【氏名】キム，ジー ヒョブ
(72)【発明者】
【氏名】シャルマ，ナヴディープ
(72)【発明者】
【氏名】マルルーニー，エアンナ
(72)【発明者】
【氏名】プロトニコフ，アントン
(72)【発明者】
【氏名】コホウト，カレル
(72)【発明者】
【氏名】ラクロワ，マーリオ ラウンド
(72)【発明者】
【氏名】レヴィン，リチャード
(72)【発明者】
【氏名】オバンド，ジョニー
(57)【要約】
ソフトウェアアプリケーションにおいて識別されたセキュリティ脆弱性の分類と、自動決定木トリアージおよび／または機械学習に基づくそれらのセキュリティ脆弱性のトリアージとのためのシステムおよび方法が提供される。開示されるシステムは、検出された潜在的脆弱性問題をリストする報告を生成し、決定木を含む自動トリアージポリシーを使用するか、または報告から脆弱性特徴を抽出してその抽出された脆弱性特徴を機械学習モデルを用いて処理することによって、潜在的脆弱性問題がエクスプロイト可能であるかどうかを自動的に決定してもよい。
【特許請求の範囲】
【請求項1】
ソフトウェア脆弱性を評価するためのシステムであって、実行可能な命令を記憶するためのメモリと、
前記メモリにアクセスするように適合されたプロセッサとを含み、前記プロセッサがさらに、前記メモリに記憶された前記実行可能な命令を実行して、
複数の予め定められた脆弱性タイプに対応する複数の所定の自動トリアージポリシーを含む自動トリアージルールライブラリにアクセスすることであって、各自動トリアージポリシーが、前記複数の予め定められた脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかを決定するための決定木を含む、前記アクセスすることと、
前記予め定められた複数の予め定められた脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかの確率的決定のために機械学習モデルライブラリにアクセスすることと、
ソフトウェア製品のソースコードに基づく前記ソフトウェア製品の潜在的脆弱性問題をリストする電子文書を得ることと、
前記潜在的脆弱性問題が前記複数の予め定められた脆弱性タイプのうちの１つに関連するかどうかを決定することと、
前記潜在的脆弱性問題が前記複数の予め定められた脆弱性タイプのうちの前記１つに関連すると決定されたときに、前記複数の予め定められた脆弱性タイプのうちの前記１つおよび対応する決定木に関連する前記自動トリアージルールライブラリから読み出された自動トリアージポリシーを用いて前記電子文書を処理することに基づいて、前記ソフトウェア製品がエクスプロイト可能であるかどうかを決定し、そうでないときは、前記機械学習モデルライブラリからの機械学習モデルを用いて前記電子文書を処理することに基づいて、前記ソフトウェア製品がエクスプロイト可能であるかどうかを確率的に決定することとを行うように適合される、システム。
【請求項2】
前記決定木が、漸進的に順序付けされた自動トリアージ方法のセットを含む、請求項１に記載のシステム。
【請求項3】
前記自動トリアージポリシーの各自動トリアージ方法が、前記電子文書を処理するときにトリアージ出力を生成するように構成される、請求項２に記載のシステム。
【請求項4】
各自動トリアージ方法からの前記トリアージ出力が、前記ソフトウェア製品がエクスプロイト不可能であるか、エクスプロイト可能であるか、または前記ソフトウェア製品のエクスプロイト可能性が決定されないことを示すトリアージ決定のうちの１つを含む、請求項３に記載のシステム。
【請求項5】
前記プロセッサが、前記自動トリアージ方法の出力が前記ソフトウェア製品はエクスプロイト可能であることを示すか、または前記ソフトウェア製品の前記エクスプロイト可能性は決定されないことを示すときには前記決定木に従って漸進的に前記自動トリアージポリシーの前記自動トリアージ方法を呼び出すことと、エクスプロイト不可能であるというトリアージ出力が得られたときには前記決定木を終了させることとによって、前記自動トリアージポリシーに基づいて前記ソフトウェア製品がエクスプロイト可能であるかどうかを決定するように適合される、請求項４に記載のシステム。
【請求項6】
前記自動トリアージポリシーの各自動トリアージ方法が、前記自動トリアージポリシーの予め定められた質問木の中の予め定められたトリアージ質問に対する回答としてトリアージ出力を決定するための１つ以上のトリアージアルゴリズムの体系化されたバージョンを含む、請求項３に記載のシステム。
【請求項7】
各トリアージポリシーおよび前記自動トリアージ方法が、別々のコンテキストデータ、経験的データ、および計算データに基づいて導出されたガイドラインのセットに基づいて確立される、請求項６に記載のシステム。
【請求項8】
前記ガイドラインのセットが、前記１つ以上のトリアージアルゴリズムの前記体系化されたバージョンを生成するために処理される所定のフォーマットでコード化される、請求項７に記載のシステム。
【請求項9】
前記プロセッサが、前記ソフトウェア製品の前記ソースコードをスキャンして前記潜在的脆弱性問題を検出することと、
検出された前記潜在的脆弱性問題に基づいて前記電子文書を生成することとを行うようにさらに適合される、請求項１に記載のシステム。
【請求項10】
前記プロセッサが、前記ソフトウェア製品がエクスプロイト可能であるかどうかを確率的に決定することを、各潜在的脆弱性問題について前記電子文書から特徴を抽出することと、
抽出された前記特徴に基づいてベクトルを決定することと、
前記ベクトルに基づいて複数の脆弱性スコア付けモデルのうちの１つを選択することであって、前記脆弱性スコア付けモデルが前記機械学習モデルライブラリから選択される、前記選択することと、
前記脆弱性スコア付けモデルの選択された前記１つを用いて前記ベクトルに基づく脆弱性精度スコアを決定することとによって行うように適合される、請求項９に記載のシステム。
【請求項11】
前記プロセッサが、ポリシーデータまたはビジネスルールのセットを受信することと、
抽出された前記特徴を前記ポリシーデータまたはビジネスルールのセットに対して比較することと、
検出された前記潜在的脆弱性問題の少なくとも１つに対応するスキャンされた前記ソースコードに基づいてトークンを決定することとを行うようにさらに適合される、請求項１０に記載のシステム。
【請求項12】
前記ベクトルが前記トークンに基づくものである、請求項１１に記載のシステム。
【請求項13】
前記プロセッサが、前記脆弱性精度スコアをユーザに対して表示するようにさらに適合される、請求項１０に記載のシステム。
【請求項14】
前記機械学習モデルライブラリが、複数のランダムフォレスト機械学習モデルを含む、請求項１に記載のシステム。
【請求項15】
ソフトウェア脆弱性を評価するための方法であって、複数の予め定められた脆弱性タイプに対応する複数の所定の自動トリアージポリシーを含む自動トリアージルールライブラリにアクセスするステップであって、各自動トリアージポリシーが、前記複数の予め定められた脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかを決定するための決定木を含む、前記アクセスするステップと、
前記予め定められた複数の予め定められた脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかの確率的決定のために機械学習モデルライブラリにアクセスするステップと、
ソフトウェア製品のソースコードに基づく前記ソフトウェア製品の潜在的脆弱性問題をリストする電子文書を得るステップと、
前記潜在的脆弱性問題が前記複数の予め定められた脆弱性タイプのうちの１つに関連するかどうかを決定するステップと、
前記潜在的脆弱性問題が前記複数の予め定められた脆弱性タイプのうちの前記１つに関連すると決定されたときに、前記複数の予め定められた脆弱性タイプのうちの前記１つおよび対応する決定木に関連する前記自動トリアージルールライブラリから読み出された自動トリアージポリシーを用いて前記電子文書を処理することに基づいて、前記ソフトウェア製品がエクスプロイト可能であるかどうかを決定し、そうでないときは、前記機械学習モデルライブラリからの機械学習モデルを用いて前記電子文書を処理することに基づいて、前記ソフトウェア製品がエクスプロイト可能であるかどうかを確率的に決定するステップとを含む、方法。
【請求項16】
前記決定木が、漸進的に順序付けされた自動トリアージ方法のセットを含む、請求項１５に記載の方法。
【請求項17】
前記自動トリアージポリシーの各自動トリアージ方法が、前記電子文書を処理するときにトリアージ出力を生成するように構成される、請求項１６に記載の方法。
【請求項18】
各自動トリアージ方法からの前記トリアージ出力が、前記ソフトウェア製品がエクスプロイト不可能であるか、エクスプロイト可能であるか、または前記ソフトウェア製品のエクスプロイト可能性が決定されないことを示すトリアージ決定のうちの１つを含む、請求項１７に記載の方法。
【請求項19】
前記自動トリアージポリシーに基づいて前記ソフトウェア製品がエクスプロイト可能であるかどうかを決定することが、前記自動トリアージ方法の出力が前記ソフトウェア製品はエクスプロイト可能であることを示すか、または前記ソフトウェア製品の前記エクスプロイト可能性は決定されないことを示すときには、前記決定木に従って漸進的に前記自動トリアージポリシーの前記自動トリアージ方法を呼び出すことと、
エクスプロイト不可能であるというトリアージ出力が得られたときには前記決定木を終了させることとを含む、請求項１８に記載の方法。
【請求項20】
前記自動トリアージポリシーの各自動トリアージ方法が、前記自動トリアージポリシーの予め定められた質問木の中の予め定められたトリアージ質問に対する回答としてトリアージ出力を決定するための１つ以上のトリアージアルゴリズムの体系化されたバージョンを含む、請求項１７に記載の方法。
【請求項21】
前記ソフトウェア製品がエクスプロイト可能であるかどうかを確率的に決定することが、各潜在的脆弱性問題について前記電子文書から特徴を抽出することと、
抽出された前記特徴に基づいてベクトルを決定することと、
前記ベクトルに基づいて複数の脆弱性スコア付けモデルのうちの１つを選択することであって、前記脆弱性スコア付けモデルが前記機械学習モデルライブラリから選択される、前記選択することと、
前記脆弱性スコア付けモデルの選択された前記１つを用いて前記ベクトルに基づく脆弱性精度スコアを決定することとを含む、請求項１５に記載の方法。
【請求項22】
プロセッサによって実行されるように構成された命令を含む非一時的コンピュータ可読媒体であって、実行される前記命令が、複数の予め定められた脆弱性タイプに対応する複数の所定の自動トリアージポリシーを含む自動トリアージルールライブラリにアクセスすることであって、各自動トリアージポリシーが、前記複数の予め定められた脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかを決定するための決定木を含む、前記アクセスすることと、
前記予め定められた複数の予め定められた脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかの確率的決定のために機械学習モデルライブラリにアクセスすることと、
ソフトウェア製品のソースコードに基づく前記ソフトウェア製品の潜在的脆弱性問題をリストする電子文書を得ることと、
前記潜在的脆弱性問題が前記複数の予め定められた脆弱性タイプのうちの１つに関連するかどうかを決定することと、
前記潜在的脆弱性問題が前記複数の予め定められた脆弱性タイプのうちの前記１つに関連すると決定されたときに、前記複数の予め定められた脆弱性タイプのうちの前記１つおよび対応する決定木に関連する前記自動トリアージルールライブラリから読み出された自動トリアージポリシーを用いて前記電子文書を処理することに基づいて、前記ソフトウェア製品がエクスプロイト可能であるかどうかを決定し、そうでないときは、前記機械学習モデルライブラリからの機械学習モデルを用いて前記電子文書を処理することに基づいて、前記ソフトウェア製品がエクスプロイト可能であるかどうかを確率的に決定することとを前記プロセッサに行わせるように適合される、非一時的コンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は一般的にソフトウェアセキュリティの分野に関し、特に、ソフトウェアアプリケーションの開発の際にそのセキュリティ脆弱性をスキャンおよび改善するための方法およびシステムに関する。
【背景技術】
【0002】
ソフトウェアおよびアプリケーションの開発の際の、セキュリティ脆弱性に対するスキャン、分析、および改善の手順は典型的に低速かつ手動である。当該技術分野における基本的な技術およびツールは、脆弱性をスキャンして識別することが公知である。しかし、専門家が結果を解釈し、最も関連性の高い脆弱性を明らかにし、解決策を提案することが必要とされる。これは通常かなりの時間を要し、かつこうしたサイバーセキュリティの専門家は不足している。ソフトウェア開発者は、専門家の分析の品質を維持し、かつ要求を満たし得るより迅速なプロセスを望んでいる。ソフトウェアアプリケーションの開発段階でそれらをより効率的かつ効果的にスキャンするための知能が望まれている。
【0003】
本開示の実施形態に対する前述およびその他の目的、特徴、および利点は、添付の図面に示された実施形態の以下のより特定的な説明から明らかとなり、図面における参照文字はさまざまな図面にわたって同じ部分を示す。図面は必ずしも縮尺通りではなく、代わりに本開示の原理を示すところが強調されている。
【図面の簡単な説明】
【0004】
【図1】本開示の特定の実施形態による、例示的システムに対するアーキテクチャの例を示すブロック図である。
【図7】本開示の特定の実施形態による、例示的システムを実装するための自動トリアージ方法の例を示すチャート図である。
【図8(a)】本開示の特定の実施形態による、例示的システムによって実施されたスキャン結果の例を示すチャート図である。
【図8(b)】本開示の特定の実施形態による、例示的システムによって実施されたスキャン結果の例を示すチャート図である。
【図9】本開示の特定の実施形態による、例示的システムによって実装される方法の例を示すブロック図である。
【図10】本開示の特定の実施形態による、例示的システムによって実装される方法の例を示す流れ図である。
【図11】自動トリアージポリシー（ＡＴＰ：ａｕｔｏｍａｔｅｄ ｔｒｉａｇｅ ｐｏｌｉｃｙ）ルールライブラリの例と、ＡＴＰを生成するためのステップの例と、ＡＴＰに対応する自動トリアージ方法（ＡＴＭ：ａｕｔｏｍａｔｅｄ ｔｒｉａｇｅ ｍｅｔｈｏｄｓ）とを示す図である。
【図12】ＡＴＰと脆弱性とのマッピングの例を示す図である。
【発明を実施するための形態】
【0005】
ここで本開示の実施形態が詳細に参照され、その実施形態の例が添付の図面に示されている。
【0006】
本開示は、ソフトウェアアプリケーションにおけるセキュリティ脆弱性をスキャンおよび修正するためのシステム、方法、コンピュータ可読媒体、またはサービスとしてのプラットフォーム（ＰａａＳ：ｐｌａｔｆｏｒｍ－ａｓ－ａ－ｓｅｒｖｉｃｅ）製品を含むさまざまな形態で具現化されてもよい。いくつかの例において、本明細書に記載される開示の技術的利点は、ソフトウェアアプリケーションの開発段階でスキャンされたそのセキュリティ脆弱性の識別を含んでもよい。別の技術的利点は、スキャン結果における誤検出および重複の低減であってもよい。さらに別の技術的利点は、脆弱性の根本的原因の分析であってもよい。別の技術的利点は、人間のセキュリティアナリストに追加の情報を提供することで、その分析範囲を低減させて効率を高めることを含んでもよい。技術的利点は、識別されたセキュリティ脆弱性の分類と、機械学習に基づくそれらの自動トリアージとを含んでもよい。特定の例において、技術的利点は、スキャン結果を翻訳または解釈して、スキャンによって識別されたセキュリティ脆弱性の改善を決定することを含んでもよい。ある例において、技術的利点は、ソフトウェアアプリケーションの安全な開発を可能にするために、ユーザインターフェースまたはスキャン報告を介してソフトウェア開発者への提案を提示することを含んでもよい。したがって、本開示の例示的な利益は、セキュリティアナリストが脆弱性を評価するための時間の低減と、開発されるソフトウェアアプリケーションのセキュリティの信頼性の改善とを含んでもよい。脆弱性を検出する基本的なスキャン結果をセキュリティアナリストに提供する非効率的な技術が存在するが、本開示の技術的利点は、スキャン結果の評価と、実際の脆弱性対誤検出の決定とを含んでもよい。
【0007】
図１は、たとえばハードウェア、ソフトウェア、ミドルウェア、アプリケーションプログラムインターフェース（ＡＰＩ：ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｇｒａｍ ｉｎｔｅｒｆａｃｅｓ）、および／または回路の特徴を実装するためのその他のコンポーネントなどの、本明細書に記載される回路の任意の組み合わせを含むさまざまなコンポーネントおよびモジュールを用いて、多くの異なるやり方で実装され得るこうしたシステム１００の実施形態を示す。システム１００は、スキャンエンジン１０１、脆弱性報告エンジン１０２、抽出エンジン１０３、フォーマットエンジン１０４、ベクトルエンジン１０５、分類エンジン１０６、出力エンジン１０７、レビューエンジン１０８、および／または報告エンジン１０９を含んでもよい。ある実施形態において、開示される方法のステップは、これらのエンジン１０１～１０９によって実現されてもよい。
【0008】
ある実施形態において、システム１００はコンピュータデバイス１１０を含んでもよく、コンピュータデバイス１１０はメモリ１１１およびプロセッサ１１２を含んでもよい。システム１００は、生成されたユーザインターフェース（ＵＩ：ｕｓｅｒ ｉｎｔｅｒｆａｃｅｓ）１１３、および図２に示されるリプレゼンテーショナルステートトランスファー（ＲＥＳＴ：Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ）ＡＰＩ１１４も含んでもよく、これはコンポーネント、モジュール、およびデータベース間の通信を可能にするように適合されてもよい。以下に考察されるとおり、ユーザはＵＩ１１３を介してシステム１００とインターフェースしてもよい。いくつかの実施形態において、メモリ１１１は、前述のエンジン１０１～１０９、ＵＩ１１３、およびＲＥＳＴ ＡＰＩ１１４を含む、システム１００のコンポーネントおよびモジュールを含んでもよい。システム１００は、ソースコードデータベース１１５、脆弱性報告データベース１１６、セキュリティ脆弱性データベース１１７、ｊａｖａコードリポジトリもしくはデータベース１１８、および／またはトレーニング済モデルデータベース１１９も含んでもよい。さらに、システム１００は、ソフトウェア－セキュリティサーバ１２０およびルータを含んでもよい。
【0009】
コンピュータデバイス１１０、データベース１１５～１１９、ソフトウェア－セキュリティサーバ１２０、およびルータは、本開示の特定の実施形態に従って、多くの異なるやり方で論理的および物理的に組織化されてもよい。データベース１１５～１１９は、異なるタイプのデータ構造（たとえばリンクリスト、ハッシュテーブル、または暗黙的ストレージ機構など）によって実装されてもよく、リレーショナルデータベースおよび／またはオブジェクトリレーショナルデータベースを含んでもよい。データベース１１５～１１９は、デバイス１１０のメモリ１１１および／もしくはソフトウェア－セキュリティサーバ１２０に記憶されてもよく、またはそれらは複数のデバイス、サーバ、処理システム、もしくはリポジトリの間で分散されてもよい。たとえば、脆弱性報告データベース１１６はソフトウェア－セキュリティサーバ１２０と通信するように構成されてもよく、脆弱性報告エンジン１０２および抽出エンジン１０３はソフトウェア－セキュリティサーバ１２０と通信するように構成されてもよい。特定の実施形態において、コンピュータデバイス１１０は、図１に示されるコンポーネントおよびモジュールを介して以下に考察されるプロセスステップを行うために、プロセッサ１１２によって制御され得る通信インターフェース、ディスプレイ回路、および入力／出力（Ｉ／Ｏ：ｉｎｐｕｔ／ｏｕｔｐｕｔ）インターフェース回路を含んでもよい。以下に考察されるとおり、ユーザは、ディスプレイ回路によって表示されるＵＩ１１３を介してシステム１００とインターフェースしてもよい。
【0010】
図２は、ソースコードデータベース１１５に記憶されたソースコード１２５をスキャンするように構成されたスキャンエンジン１０１の実施形態を示す。ある実施形態において、コンピュータデバイス１１０は、システム１００の任意の所望の機能を実装し得るシステム回路を含んでもよい。以下に考察されるとおり、いくつかの実施形態において、スキャンエンジン１０１は、セキュリティ脆弱性１２７についてソースコード１２５をスキャンするように構成されてもよい。たとえば、スキャンエンジン１０１は、システム１００によってスキャンされるべきソースコード１２５を記憶するソースコードデータベース１１５と通信するように構成され得る、以下にさらに考察されるアプリケーション－スキャンクライアント１２８において実装されてもよい。ある実施形態において、アプリケーション－スキャンクライアント１２８はコンピュータデバイス１１０を含んでもよい。代替的に、ソースコードデータベース１１５は、ディスプレイ１２９と通信するように適合され得る別のデバイスにおいて実装されるアプリケーション－スキャンクライアント１２８と通信するように構成され得るコンピュータデバイス１１０において実装されてもよい。いくつかの実施形態において、図２に示されるとおり、スキャンエンジン１０１は脆弱性報告１３０を生成して、その脆弱性報告１３０を脆弱性報告エンジン１０２に送信するようにさらに構成されてもよい。
【0011】
特定の実施形態において、開示される方法の最初のステップとして、スキャンエンジン１０１はソースコード１２５をスキャンするためのスキャン要求を受信してもよい。いくつかの実施形態において、これはプロセスの最初の段階であってもよく、ここでクライアントまたはユーザは、ソースコード１２５内にあるか、またはそれに関係するセキュリティ脆弱性または脅威１２７の検出のために、ソースコード１２５の分析を要求する。ある例において、この最初の分析は、システム１００がコードアナライザ１３３と共に行ってもよい。特定の実施形態において、スキャンエンジン１０１のコードアナライザ１３３は、コマーシャルパッケージまたはオープンソースソリューションによって実装されてもよい。たとえば、コードアナライザ１３３は、たとえばＶｅｒａｃｏｄｅ、ＨＣＬ ＡｐｐＳｃａｎ、Ｃｈｅｃｋｍａｒｘ、および／またはＦｏｒｔｉｆｙなどのスキャンツールを含んでもよい。一般的に、コードアナライザ１３３は、脆弱性報告１３０を使用することによって、ビジネスに不可欠なソフトウェアアプリケーションにおけるセキュリティ欠陥からシステムを保護しようと試みる。コードアナライザ１３３は、ソフトウェア製品またはアプリケーション１３５のソースコード１２５をスキャンして、脆弱性報告１３０を生成してもよい。特定の実施形態において、脆弱性報告エンジン１０２が脆弱性報告１３０を生成してもよい。
【0012】
いくつかの実施形態において、クライアント１３２が選択、受信、および／または識別したアプリケーション１３５に対するソースコード１２５は、ソースコードデータベース１１５内に記憶されてもよい。これは、セキュリティアナリストがエクスプロイト可能とみなし得るセキュリティ脆弱性１２７をソースコード１２５が含むかどうかを決定するために評価または分析することをクライアント１３２が要求するソースコード１２５を含んでもよい。ある実施形態において、ソースコード１２５は、アプリケーション－スキャンクライアント１２８にプッシュまたは送信されてもよい。アプリケーション－スキャンクライアント１２８は、静的アプリケーションセキュリティテストソフトウェアを含んでもよい。特定の実施形態において、ユーザまたはクライアント１３２は、アプリケーション－スキャンクライアント１２８にソフトウェアアプリケーション１３５のソースコード１２５を入力、インプット、提出、または送信してもよい。
【0013】
アプリケーション－スキャンクライアント１２８は、ソースコード１２５のスキャンに対応する脆弱性報告１３０を生成してもよい。典型的に、セキュリティアナリストは、セキュリティ脆弱性／脅威１２７であり得るソースコード１２５を決定することと、無視してもよい誤検出を決定することとを行うために、アプリケーション－スキャンクライアント１２８を介してこうしたファイルをレビューするために長時間を費やすことがある。脆弱性報告１３０は、ソフトウェア－セキュリティサーバ１２０に記憶されてもよい。脆弱性報告１３０は、コードアナライザ１３３によって使用されるスキャンプロジェクトコードを含んでもよく、これはセキュリティの専門家がセキュリティ問題について企業ソフトウェアをスキャンするために使用する一連のツールを含んでもよい。いくつかの実施形態において、脆弱性報告１３０は脆弱性報告データベース１１６に記憶されてもよく、これはリレーショナルデータベースサービス（ＲＤＳ：ｒｅｌａｔｉｏｎａｌ ｄａｔａｂａｓｅ ｓｅｒｖｉｃｅ）を含んでもよい。脆弱性報告データベース１１６に記憶された脆弱性報告１３０は、ソフトウェア－セキュリティサーバ１２０に送信されてもよい。ある実施形態において、図２に示される脆弱性報告エンジン１０２と抽出エンジン１０３との間の大きい矢印によって示されるとおり、ソフトウェア－セキュリティサーバ１２０は、ＲＥＳＴ ＡＰＩ１１４を介して抽出エンジン１０３に脆弱性報告１３０を送信するように構成されてもよい。
【0014】
図３は、ソフトウェア－セキュリティサーバ１２０と通信するように構成され得る抽出エンジン１０３によって実装される特徴抽出プロセスの実施形態を示す。開示される方法の特徴抽出プロセスは、ソースコード１２５の一部が脆弱であり得るか、またはコードアナライザ１３３によって生成された脆弱性報告１３０に基づいていないことを示す特徴１３８を脆弱性報告１３０から抽出することと、その特徴１３８をフォーマットエンジン１０４に送信することとを含んでもよい。このプロセスは、ＲＥＳＴ ＡＰＩ１１４を介してソフトウェア－セキュリティサーバ１２０から脆弱性報告１３０を受信する最初のステップ（ブロック３０１）を含んでもよい。セキュリティ脆弱性１２７の異なるコンポーネントを含む特徴１３８が読み出されてもよい（ブロック３０２）。特定の実施形態において、こうして読み出された特徴１３８は、対応する脆弱性報告１３０に基づいてソースコード１２５のセキュリティ脆弱性１２７に関連する脅威を識別してもよい。
【0015】
特徴抽出プロセスは、ソースコード抽出のステップも含んでもよい。ブロック３０３を参照されたい。このステップは図２に示されるソースコードエクストラクタ３００によって実行されてもよく、ソースコードエクストラクタ３００は、スキャンおよび／またはテストされたアプリケーション１３５から元のソースコード１２５を抽出する。図３のブロック３０３を参照されたい。抽出されたソースコード１２５は、読み出された特徴１３８に対応するコード１２５を含んでもよい。よって、ソースコードエクストラクタ３００は、ソースコードデータベース１１５と直接通信するか、または図２に示されるとおりに間接的に通信するように構成されてもよい。加えて、このプロセスは、抽出されたソースコード１２５のセキュリティ脆弱性１２７を脆弱性データベース１１７にプッシュまたは送信するステップ（図３のブロック３０４）を含んでもよい。この伝達は、フォーマットエンジン１０４を介して行われてもよい。したがって、すべてのセキュリティ脆弱性１２７がコードアナライザ１３３によって検出されてもよく、ソースコード１２５は、システム１００によるさらなる処理のために脆弱性データベース１１７に送信されて記憶されてもよい。
【0016】
ある実施形態において、フォーマットエンジン１０４は、抽出エンジン１０３のソースコードエクストラクタ３００から受信したセキュリティ脆弱性１２７をフォーマットして、脆弱性データベース１１７に受信されるように構成されたフォーマットにしてもよい。ある例において、受信されるセキュリティ脆弱性１２７は、システム１００に適合するか、またはシステム１００によって使用可能なフォーマットで記憶されてもよい。フォーマットエンジン１０４は、コードアナライザ１３３によって識別された、抽出エンジン１０３から受信したすべてのセキュリティ脆弱性１２７を、システム１００によるセキュリティ脆弱性１２７の変換を可能にするように適合されたフォーマットで記憶してもよい。そのフォーマットはシステム１００によって可読であってもよい。このフォーマットで、クリーンにされたかまたは再フォーマットされた脆弱性１２７は、システム１００によって実行される分析実験を介して分析されてもよい。脆弱性データベース１１７に記憶されるクリーンにされた脆弱性１２７は、システム１００によるさらなる変換に適合されてもよい。特定の実施形態において、脆弱性データベース１１７は、クリーンにされたセキュリティ脆弱性１２７をベクトルエンジン１０５に送信するように適合されてもよい。
【0017】
図４は、ベクトルエンジン１０５の例を示し、加えてエンジン間の大きい矢印で示されるとおり、ベクトルエンジン１０５と他のエンジン１０４および１０６のコンポーネントとの相互作用を示す。ベクトルエンジン１０５は、セキュリティ脆弱性１２７が実際に脅威であるかどうかを予測または決定するために、機械学習（ＭＬ：ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ）モデル１４１をトレーニングするための特徴ベクトル１７３を作成するように構成されてもよい。クリーンにされたセキュリティ脆弱性１２７は、人間可読特徴１３８から機械学習モデル１４１による処理が可能なフォーマットに変換されてもよい。いくつかの実施形態において、クリーンにされたセキュリティ脆弱性１２７に対するデータを分解して、機械学習モデル１４１による処理が可能なフォーマットにする方法として、抽象構文木（ＡＳＴ：ａｂｓｔｒａｃｔ ｓｙｎｔａｘ ｔｒｅｅｓ）が使用されてもよい。ある実施形態において、以下に考察されるとおり、ベクトル化プロセスにおけるトークナイザ１５５がＡＳＴ１４３に置き換えられてもよい。構文木１４３は、プログラミング言語で書かれたソースコード１２５の抽象構文構造の木表現を含んでもよい。木１４３の各ノードは、ソースコード１２５において生じる構成を示してもよい。
【0018】
図４に示されるとおり、ベクトルエンジン１０５のオーケストレータ１４７は、フォーマットエンジン１０４からクリーンにされた脆弱性１２７を受信してもよい。いくつかの実施形態において、脆弱性データベース１１７は、ＲＥＳＴ ＡＰＩ１１４を介して、クリーンにされたセキュリティ脆弱性１２７をオーケストレータ１４７に伝達するように構成されてもよい。脆弱性ルータ１４８は、オーケストレータ１４７と通信するように構成されてもよい。脆弱性ルータ１４８はクリーンにされた脆弱性１２７のリストをスキャンして、各々のクリーンにされた脆弱性１２７を、対応するセキュリティ脆弱性１２７のタイプに基づいて分類してもよい。分類された脆弱性１２７に対する決定された脆弱性１２７のタイプに基づいて、分類された脆弱性１２７は、予め定められた機械学習ルールまたはプログラミングルールに基づいて、システム１００内で転送されてもよい。
【0019】
特定の実施形態において、ベクトルエンジン１０５は文法ファイル１５１を含んでもよく、文法ファイル１５１は、文法エンジンがユーザデバイス１１０において認識し得る音声からテキストの単語、用語、および語句１５２を定義してもよい。文法ファイル１５１は．ｐｙ、．ｊａｖａ、．ｊｓ、．ｃｓ、および／または．ｘｍｌファイルを含んでもよい。ある実施形態において、文法ファイル１５１にリストされた用語１５２は、文法エンジンがサーチして言葉による応答と比較する用語であってもよい。文法エンジンが一致する用語１５２を見出すとき、文法エンジンは関連するコマンドを実行するか、またはその用語１５２をフィールドに入れてもよい。字句アナライザ１５４は、文法ファイル１５１および脆弱性特徴１３８を受信して、特定の実施形態による特徴１３８を戻すためにトークナイザ１５５を介してトークン化を実行してもよい。
【0020】
トークナイザ１５５は字句分析、字句解析、またはトークン化を行ってもよい。これは、クリーンにされた脆弱性１２７に対する文字１５６の配列をトークン１５７の配列に変換するプロセスを含んでもよい。トークン化された脆弱性特徴１５８は、トークン化されたフォーマットでメモリ１１１に記憶される脆弱性１２７を含んでもよく、それはこうしたトークン１５７の配列を含んでもよい。ターゲットにされるソースコード１２５がホストされ得るところにリポジトリ１６０が選択されてもよい。ある実施形態において、リポジトリ１６０はそのサイズに基づいて選択されてもよい。ホストされるコード１２５はトークナイザ１６１に送信されてもよく、トークナイザ１６１は言語認識のためのツールを含んでもよい。このトークナイザ１６１はリポジトリ１６０をトークン化して、トークン１５７を生成してもよい。
【0021】
いくつかの実施形態において、ベクトルエンジン１０５は、単語の埋め込みおよびテキストの分類を学習するためのライブラリを含み得るＦａｓｔＴｅｘｔ作成モデル１６２を含んでもよい。ＦａｓｔＴｅｘｔ作成モデル１６２は、トークン１５７を受信してトレーニング済埋め込みモデル１６６を生成してもよい。トレーニング済埋め込みモデル１６６は埋め込みを含んでもよく、その埋め込みは連続数のベクトルに対する離散カテゴリ変数のマッピングを含んでもよい。特定の実施形態において、各々のクリーンにされた脆弱性１２７は脆弱性カテゴリ１７０にマッピングされることによって、カテゴリ１７０にマッピングされた各々のクリーンにされた脆弱性１２７に対する脆弱性ＩＤ１７１が生成されてもよい。特定の実施形態において、ベクタライザ１７２は入力としてトークン化された脆弱性特徴１５８を受信してもよく、単一の特徴ベクトル１７３を出力してもよい。特徴ベクトル１７３は、ベクタライザ１７２から収集されたすべての出力を含んでもよい。さらに、特徴ベクトルは、関連ソースコードを得ることができるソースコードツリーへのリンクを含み得る。これらの特徴ベクトル１７３は、分類エンジン１０６に送信されてもよい。
【0022】
図５は、開示されるシステム１０１の特定の実施形態による、分類エンジン１０６の実施形態、ならびに分類エンジン１０６と他のエンジン１０５および１０７のコンポーネントとの相互作用を示す。特徴ベクトル１７３は、クリーンにされた脆弱性１２７が脅威であるか否かを決定するために、事前トレーニング済ＭＬモデル１４１、予め定められたプログラミングルール１５０、および／またはブランケットルール１７４に対する入力として使用されてもよい。分類エンジン１０６は、ブランケットルール１７４、プログラミングルール１５０、および／またはＭＬモデル１４１という少なくとも３つの異なる方法を通じて、脆弱性１２７が脅威であるか否かを決定してもよい。ブランケットルール１７４およびプログラミングルール１５０は、脆弱性１２７のトリアージを自動化するように構成された自動トリアージ方法に適用されてもよい。特定の実施形態において、ブランケットルール１７４は脆弱性ルータ１４８を通じて転送された脆弱性１２７に適用されてもよく、ＭＬモデル１４１は必要とされなくてもよい。こうした脆弱性１２７は、脆弱性１２７がエクスプロイト可能であることを一貫して示す履歴データに基づいて選択されてもよい。よって、識別された脆弱性１２７が再びエクスプロイト可能であり得ると自動的に推測することは合理的であってもよい。いくつかの実施形態において、脆弱性ルータ１４８から送信された脆弱性１２７にプログラミングルール１５０が適用されてもよい。プログラミングルール１５０は、脅威として識別された共通のパターンを検出するために脆弱性１２７をスキャンしてもよい。ある実施形態において、ＡＳＴ１４３はシステム１００によって処理されてもよいが、変換されたときに除去されてもよい。分類エンジン１０６は機械学習も使用してもよい。脆弱性１２７はシステム１００によって処理（例、トークン化およびベクトル化）されてもよく、特徴ベクトル１７３は事前トレーニング済モデル１４１に送信または入力されてもよく、事前トレーニング済モデル１４１は以前分析されたこうした特徴ベクトル１７３を有してもよい。より多くの脆弱性１２７が特徴ベクトル１７３に変換され得るにつれて、システム１００はより頻繁にＭＬモデル１４１を使用してもよい。なぜなら、特定の脆弱性１２７がエクスプロイト可能であるかどうかを事前トレーニング済モデル１４１がすでに決定している可能性が高くなり得るからである。図５に示される例示的な分類エンジン１０６は、脆弱性１２７が脅威であるか否かを決定してもよい。分類エンジン１０６は決定論的分類器１７５を含んでもよく、それは分類アルゴリズムを実装してもよく、その結果もたらされる挙動はその最初の状態および入力によって決定されてもよい。ある実施形態において、決定論的分類器１７５はランダムでも確率論的でもなくてもよい。分類エンジン１０６は確率的分類器１７９も含んでもよく、これはクラスのセットにわたる確率分布を予測するように構成された分類器を含んでもよい。ある実施形態において、確率的分類器１７９は、入力の観察が属し得る可能性が最も高いクラスを単に出力するのではなく、その観察に基づくものであってもよい。加えて、分類エンジン１０６は、特徴ベクトル１７３に基づいてトレーニングされるように構成され得るトレーニング分類器１８４を含んでもよい。いくつかの実施形態において、トレーニング分類器１８４は、決定論的分類器１７５および／または確率的分類器１７９をトレーニングするように構成されてもよい。特定の実施形態において、トレーニング分類器１８４は、トレーニング済モデル１４１をトレーニングするように構成されてもよい。したがってトレーニング分類器１８４は、出力エンジン１０７に含まれ得るトレーニング済モデル１４１と通信するように適合されてもよい。ルール（例、ブランケットルール１７４）は、ルールのセットとして決定論的分類器１７５に伝達されてもよい。たとえば、脆弱性１２７がエクスプロイト可能であることを一貫して示す履歴データに基づいて、ソースコード１２５が脅威であると識別できるとき、ブランケットルール１７４が実装されてもよい。
【0023】
図４および図５に示されるとおり、脆弱性ルータ１４８はベクトルエンジン１０５を介して、脆弱性１２７をルールベースの決定論的分類器１７５またはＭＬベースの確率的分類器１７９に直接転送してもよい。脆弱性タイプのセットは、ルール１５０および１７４に関連付けられてもよい。脆弱性ルータ１４８は、入力脆弱性スキャンにおける脆弱性タイプを決定してもよい。決定された脆弱性タイプに関連するルール１５０または１７４が識別されるとき、次いで脆弱性ルータ１４８はその入力脆弱性スキャンを、識別および予め確立されたルールの下で処理するために決定論的分類器１７５に転送してもよい。そうでないときは、脆弱性ルータ１４８は入力脆弱性スキャンを確率的ＭＬ分類器１７９に転送してもよい。さまざまなタイプの脆弱性に対するさまざまなルール１５０および１７４を確立するためのトリアージ方法の実施形態例は、図１１に関連して以下にさらに考察される。
【0024】
いくつかの他の実施形態において、脆弱性１２７はルールベースの決定論的分類器１７５およびＭＬベースの確率的分類器１７９の両方に転送されてもよく、脆弱性１７５がエクスプロイト可能であるかどうかの決定が決定論的分類器１７５とＭＬベースの確率的分類器１７９との間で一致しないときは、どちらの分類器の方が信頼できるかを決定するために追加のアービトレーションが行われてもよい。
【0025】
図５には出力エンジン１０７の実施形態もある。出力エンジン１０７からの出力は、ラベル付き脆弱性１８７が脅威であるか否かの予測のためにトレーニング済モデル１４１から受信された最初の知見を含んでもよい。トレーニング済モデル１４１は、トレーニング済モデルデータベース１１９に記憶されてもよい。いくつかの実施形態において、トレーニング済モデル１４１は、確率的分類器１７９に送信されてもよい。分類エンジン１０６は、ラベル付き脆弱性１８７のリスト、および／またはその予測を生成してもよく、それは記憶されて、後にシステム１００によってレビューされてもよい。
【0026】
図６は、レビューエンジン１０８の実施形態、レビューエンジン１０８と他のエンジン１０４～１０７および１０９のコンポーネントとの相互作用、ならびにレビューエンジン１０８によって実装される例示的プロセスを示す。たとえば、レビューエンジン１０８は、出力レビュー（ブロック６００）のためのプロセスと、脆弱性レビューおよびモデル更新（ブロック６０１）のためのプロセスとを含むように実装されてもよい。これらのプロセスを通じて、レビューエンジン１０８は、システム１０１がエクスプロイト可能と決定した脆弱性１２７をレビューしてもよく、将来の使用のためにモデル１４１を再トレーニングするためにこうした脆弱性１２７を用いてもよい。このレビューは、モデル１４１をさらにトレーニングするためにモデル１４１に送り返されてもよい。
【0027】
脆弱性レビューおよびモデル更新プロセス６０１は、脆弱性を更新するステップ（ブロック６０２）と、モデルを保持するステップ（ブロック６０３）と、ルールを更新するステップ（ブロック６０４）とを含んでもよい。このプロセスは、ブランケットルール１７４に対してエクスプロイト可能であると決定された脆弱性１２７によって脆弱性データベース１１７を更新するように構成されてもよい。更新された脆弱性１２７は脆弱性データベース１１７に送り返されてもよく、脆弱性データベース１１７はシステム１００に適合するフォーマットでクリーンにされた脆弱性１２７を記憶してもよい。モデル１４１を再トレーニングするために、セキュリティアナリスト（ＳＡ：ｓｅｃｕｒｉｔｙ ａｎａｌｙｓｔ）レビュー６０６、データサイエンティスト（ＤＳ：ｄａｔａ ｓｃｉｅｎｔｉｓｔ）レビュー６０７、および／または品質保証（ＱＡ：ｑｕａｌｉｔｙ ａｓｓｕｒａｎｃｅ）レビュー６０８から知見が受信されてもよく、データ分析６０９が行われてもよい。データ分析６０９から受信されたこうした知見は、ベクトルエンジン１０５のオーケストレータ１４７に送信されてもよい。この知見は、ブランケットルール１７４、モデル１４１、および脆弱性１２７のリストを更新するために使用されてもよい。
【0028】
更新されたブランケットルール１７４は、レビュー６０６～６０８およびデータ分析６０９から受信した知見によって更新されたルールを含んでもよい。これらのレビュー６０６～６０８は、データサイエンティストおよび／またはセキュリティアナリストによって行われてもよい。ブランケットルール１７４の更新およびモデル１４１の再トレーニングのための最適な方法を決定するために、新たなデータに対してデータ分析６０９が行われてもよい。自動トリアージ方法インスタンス６１０は、脆弱性１２７のトリアージを自動化するように構成されてもよい。脆弱性レビューおよびモデル更新プロセス６０１は、セキュリティアナリストレビュー６０６、データサイエンティストレビュー６０７、および／または品質保証レビュー６０８から受信したレビュー結果６１１の組み合わせに基づいてもよい。レビュー結果６１１は報告エンジン１０９に送信されてもよい。
【0029】
報告エンジン１０９は、レビューエンジン１０８からレビュー結果６１１を受信するように構成されてもよい。品質保証レビュー６０８によって分析された実際の脅威であるすべての脆弱性１２７を含み得る、完全な報告が生成されてもよい。品質保証ラベル付き脆弱性１８７は、システム１００を通過して品質保証レビュー６０８によって評価された脆弱性１２７を含むように生成されてもよい。このレビュー６０８は、品質保証の専門家によって行われてもよい。クライアント１３２に対する最終報告１４７が生成されてもよく、かつＨＴＭＬフォーマットでのすべての知見を報告するためのＨＴＭＬ報告１８８が生成されてもよい。
【0030】
最終報告１４７およびＨＴＭＬ報告１８８は、デバイス１１０を介して表示されてもよい。ＵＩ１１３は、ディスプレイ回路を用いてローカルに表示されるか、またはリモート可視化のために、たとえばローカルもしくはリモートマシンにおいて実行され得るウェブブラウザに対するＨＴＭＬ、ＪａｖａＳｃｒｉｐｔ、音声、およびビデオ出力などとして表示されてもよい。ＵＩ１１３およびＩ／Ｏインターフェース回路は、タッチセンサー式ディスプレイ、音声または顔認識入力、ボタン、スイッチ、スピーカ、およびその他のユーザインターフェースエレメントを含んでもよい。Ｉ／Ｏインターフェース回路の付加的な例は、マイクロホン、ビデオおよび静止画像カメラ、ヘッドセットおよびマイクロホン入力／出力ジャック、ユニバーサルシリアルバス（ＵＳＢ：Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）コネクタ、メモリカードスロット、ならびにその他のタイプの入力を含む。Ｉ／Ｏインターフェース回路は、磁気または光媒体インターフェース（例、ＣＤＲＯＭまたはＤＶＤドライブ）、シリアルおよびパラレルバスインターフェース、ならびにキーボードおよびマウスインターフェースをさらに含んでもよい。
【0031】
ある実施形態において、例示的システムに対するコンポーネントおよびモジュールは、次の９つのセクションに区切られてもよい。スキャン；報告の記憶；特徴の抽出；すべての脆弱性を標準フォーマットで記憶；特徴ベクトルおよび／または抽象構文木の作成；分類；最初の出力；脆弱性のレビュー；ならびに、最終出力および報告の生成。この区切られたセクションのリストは、時系列の順序である必要はない。
【0032】
ある実施形態において、システム１００は、異なるスキャン報告を収集および使用するステップを含んでもよい。これらのスキャン報告は、複数のベンダーから収集されてもよい。スキャン報告は、コードアナライザ１３３から受信した脆弱性報告１３０と、さまざまなタイプのスキャンに対する他のベンダーからの報告との組み合わせを含んでもよい。自動トリアージはハイブリッドの方法を含んでもよい。たとえば、システム１００はルール、フィルタ、機械学習を、さまざまな特徴ベクトルと共に組み合わせて用いてもよい。図７は、自動トリアージ方法の例を示す。こうした方法は、評価の目的のためにさまざまなデータセットに対してトレーニングおよび検証されてもよい。図８（ａ）～（ｂ）は、識別された問題タイプ、ならびにそれらの対応する合計トリアージ時間のパーセンテージ、最高改善優先順位、および実施される自動トリアージ方法の例を示す。
【0033】
ある実施形態において、システム１００は既存のツールチェーンとカスタム注釈付きタグ／変数との統合を含むことによって、自動化ＦＰＡファイルを既存のツールチェーンに戻して統合できるようにしてもよい。たとえば、問題を自動的にトリアージしてその結果をアプリケーション－スキャンツールにプッシュして戻すために、システム１００は、メモリ１１１に実装され得るアプリケーション－スキャンツールからの抽出スキャン結果と統合されてもよい。図９は、特定の実施形態によるこうしたシステム１００を示す。ある実施形態において、システム１００はメモリ１１１内に脆弱性識別優先順位付けおよび改善（ＶｉＰＲ：ｖｕｌｎｅｒａｂｉｌｉｔｙ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｐｒｉｏｒｉｔｉｚａｔｉｏｎ ａｎｄ ｒｅｍｅｄｉａｔｉｏｎ）ツールを実装してもよく、これは統合されたデータのリポジトリおよび分析ツールを含んでもよい。システム１００は、フロントエンド１９１およびＡＰＩ１１４を含んでもよい。フロントエンド１９１はユーザと通信してもよく、ＡＰＩ１１４はソフトウェア－セキュリティサーバ１２０と通信してもよい。さらに、システム１００は、静的アプリケーションセキュリティテスト（ＳＡＳＴ：Ｓｔａｔｉｃ ａｐｐｌｉｃａｔｉｏｎ ｓｅｃｕｒｉｔｙ ｔｅｓｔｉｎｇ）および動的アプリケーションセキュリティテスト（ＤＡＳＴ：Ｄｙｎａｍｉｃ ａｐｐｌｉｃａｔｉｏｎ ｓｅｃｕｒｉｔｙ ｔｅｓｔｉｎｇ）の両方のスキャン報告からの情報を組み合わせて使用してもよい。システム１００はＳＡＳＴおよびＤＡＳＴのトリアージ判定を組み合わせて、統一したやり方で改善動作を自動的に提案することによって、たとえば１つの解決策がＳＡＳＴおよびＤＡＳＴの問題の両方を解決するようにしてもよい。
【0034】
決定論的分類器１７５に用いられる図５の１５０および１７４に示される自動トリアージルールは、脆弱性のタイプの予め定められたセットの各々に対して作成されてもよい。脆弱性のタイプの予め定められたセットに対して、自動トリアージルールライブラリが確立されてもよい。こうした自動ルールライブラリは、たとえば各タイプの脆弱性に対する自動トリアージポリシー（ＡＴＰ）を含んでもよく、よってＡＴＰルールライブラリと呼ばれることがある。各ＡＴＰはさらに、入力脆弱性を評価するために図５の決定論的分類器１７５によって呼び出され得るさまざまなトリアージアルゴリズムの形の１つ以上の自動の方法（ＡＴＭ）を含んでもよい。決定論的分類器１７５の評価出力は、入力脆弱性がエクスプロイト不可能であるか、エクスプロイト可能であるか、またはそのエクスプロイト可能性が不明確であるかどうかを示してもよい。
【0035】
よって、図４のオーケストレータ１４７は最初に、図５の脆弱性ルータ１４８を用いて、入力脆弱性（例、図４の脆弱性データベース１１７からのデータフレーム）を決定論的分類器１７５またはＭＬ確率的分類器１７９のいずれかにマッピングしてもよい。入力脆弱性がＭＬ分類器１７９にマッピングされるときは、特徴ベクトル作成プロセスが引き起こされ、その後その入力脆弱性に対する特徴ベクトルが作成され、入力脆弱性を分類するために特徴ベクトルを処理するためにＭＬモデルがロードされて呼び出されるだろう。入力脆弱性が決定論的分類器１７５にマッピングされるときは、分類エンジン１０６がこの入力脆弱性を、脆弱性のタイプの予め定められたセットのうちの１つおよび対応するＡＴＰにさらにマッピングするだろう。ＡＴＰおよびその中のＡＴＭは、ＡＴＰルールライブラリから呼び出されて、入力脆弱性の分類のために入力脆弱性のデータフレームと共に決定論的分類器１７５に送られるだろう。
【0036】
ＡＴＰルールライブラリの例は、図１１の１１０２として示される。ＡＴＰルールライブラリ１１０２は複数のＡＴＰ１１０４を含んでもよく、その各々は脆弱性のタイプの予め定められたセットのうちのあるタイプに対するものである。各ＡＴＰ１１０４は、ＡＴＭのセット１１０６を含んでもよい。各ＡＴＭは、たとえば決定論的脆弱性分類のための１つ以上の特定のアルゴリズムを含んでもよい。図１１の１１０２にさらに示されるとおり、特定のＡＴＰに対する入力脆弱性のマッピングは、脆弱性マッパー１１０８によって形成されてもよい。いくつかの実装において、脆弱性マッパー１１０８はＡＴＰルールライブラリの一部であってもよい。入力脆弱性（例、図４の脆弱性データベース１１７からの脆弱性データフレーム）は、ＡＴＰルールライブラリ１１０２に送られてもよい。ＡＴＰルールライブラリ１１０２はＡＴＰを出力し、図１１の矢印１１１０によって示されるとおり、その出力ＡＴＰを決定論的分類器１７５に送ってもよい。
【0037】
脆弱性のタイプの予め定められたセットの各々に対するＡＴＰ１１０４およびＡＴＭ１１０６は、さまざまな方式で作成されて、ＡＴＰルールライブラリ１１０２にロードされてもよい。脆弱性のタイプの予め定められたセットは、任意の方法に基づいて確立されてもよい。たとえば、脆弱性のタイプの予め定められたセットは、履歴Ｆｏｒｔｉｆｙ脆弱性スキャンおよび分析を介して決定および定義されたＦｏｒｔｉｆｙ脆弱性のカテゴリおよびタイプに基づいてもよい。脆弱性の各タイプは、脆弱性識別子（ＩＤ：ｉｄｅｎｔｉｆｉｅｒ）に関連付けられてもよい。脆弱性のタイプの予め定められたセットの各々に対するＡＴＰおよびＡＴＭの作成の例は、図１１の１１２０に示される。
【0038】
ＡＴＰおよびＡＴＭ作成プロセス１１２０は、図１１の１１２２および１１２４によってそれぞれ示されるとおり、脆弱性のこれらのタイプの各々に対する手動トリアージポリシー（ＭＴＰ：ｍａｎｕａｌ ｔｒｉａｇｅ ｐｏｌｉｃｙ）生成プロセスと、ＡＴＰ／ＡＴＭ生成プロセスとを含んでもよい。１１２２に示されるとおり、ＭＴＰは、セキュリティアナリスト（ＳＡ）が脆弱性をたとえば「問題なし」、「エクスプロイト可能」、および「不審」などとトリアージ（分類）するために取る必要がある品質改善（ＩＱ）ガイドラインの一部としてのステップの定義として指定されてもよい。脆弱性の特定のタイプに対するＭＴＰは、たとえば、ＳＡがチェックする必要がある質問のリストによって表されてもよい。質問のリストは、決定木として組織化されてもよい。言い換えると、質問を問う順序は決定木に基づいて決定される。具体的には、リストにおけるどの質問を次に問うべきかは、リストにおける前の質問の回答および出力に依存する。質問のリストおよび決定木は、脆弱性の各タイプに対して作成されてもよい。脆弱性の「リソース投入」タイプ（例示的脆弱性ＩＤ００４３）に対するＭＴＰ質問のリストの例が、以下の表１に示される。
【0039】
【表I】
【0040】
上記の表Ｉは、質問のリストと、質問のリストに対する決定木に関する情報との両方を含む。たとえば、リストの第１の質問に対する回答が「範囲外」であって、この特定の脆弱性に伴う問題がないことが示され得るとき、決定木はそれ以上進まずに終了する。しかし、質問に対する回答が「いいえ」または「不明」のときは、表Ｉに示されるとおり、次いで決定木は次の質問に進み、質問「００４３－２」に対する回答が必要である。質問「００４３－２」に対する回答が「問題なし」のとき、決定木は再び終了する。そうでないとき、決定木は次の質問に進み、表Ｉに指定されるとおり、次に質問「００４３－３」に対する回答が必要である。このプロセスは、決定木が終了するまで表Ｉの例に示されるとおりに進行する。よって表Ｉは、トリアージステップの条件付きの順序を規定する。各ステップは、ＳＡが回答すべき質問をもたらす。質問に対する回答が、次のステップ（決定木の終了または次の質問）を決定する。表Ｉは、最終トリアージ決定に到達するための経路を提供する。
【0041】
図１３は、ＡＴＰおよびＡＴＭを形成するための自動化され得るＩＱガイドラインを生成するための図１１の１１２２のプロセスの例を示す。プロセス１１２２は、コンテキストデータ１３０２、実験データ１３０４、および計算データ１３０６を含むデータソースを、反復的な検証（１３１０）、強化（１３１２）、コード化（１３１４）、およびアグリゲーション（１３１６）手順を介して処理し、その出力を反応モジュール１３２０によって処理してデータベース１３３０に記憶されるＩＱガイドラインを生成するために使用されてもよい。ＩＱガイドラインは、ＡＴＰおよびＡＴＭの生成のために用いられる。
【0042】
図１１に戻ると、１１２４にさらに示されるとおり、脆弱性の各タイプに対してＭＴＰが作成されると、次いでＭＴＰに対する自動トリアージ方法（ＡＴＭ）を生成するためにＭＴＰにおいて何が体系化され得るかがさらに決定されてもよい。特に、ＭＴＰにおける各々の質問は手動トリアージ方法（ＭＴＭ：ｍａｎｕａｌ ｔｒｉａｇｅ ｍｅｔｈｏｄ）に対応してもよく、それは自動アルゴリズムを含むＡＴＭに変換および体系化されてもよい（図１１の１１２６に示される）。各ＡＴＭは、分類エンジン１０６によって呼び出され得る関数において体系化されてもよい。ＭＴＰに対応する自動トリアージポリシー（ＡＴＰ）は、体系化されたＡＴＭを識別してもよい。一例が以下の表ＩＩに示される。
【0043】
【表II】
【0044】
いくつかの実施形態において、図１２の脆弱性－ＡＴＰマッピングによって示されるとおり、ＡＴＰライブラリは複数のＡＴＰ１２０２を含む。各ＡＴＰは独自の識別子に関連付けられてもよく、上述のとおりのポリシーを表す。脆弱性の各タイプはＡＴＰのうちの１つに関連付けられてもよく（図１２の１２０４から１２０２へのマッピングに示される）、一方で各ＡＴＰは脆弱性の１つ以上のタイプにマッピングされてもよい（図１２の１２０２から１２０４へのマッピングに示されるとおり、脆弱性の複数の異なるタイプが同じ決定木１２０６によって同じＡＴＰを用いてもよいことが示される）。図１２の１２０６に示されるとおり、各ＡＴＰは上述の決定木をさらに包含し、１つ以上のＡＴＭにリンクする。よって、図１１の１１２８および１１０６に示されるとおり、各ＡＴＰはＡＴＭの順序付きコンテナとして具現化されてもよい。各ＡＴＭは、決定木のステップに対応する。ＡＴＭは体系化され、かつさまざまなアルゴリズムを含んでもよい。呼び出し可能な関数としてのＡＴＭは、異なるＡＴＰによって共有されてもよい（図１２の１２０６における異なるＡＴＰ間の共通の「ＡＴＭ＿Ｔｈｉｒｄ＿Ｐａｒｔｙ」および「ＡＴＭ＿Ｉｓ－Ｔｒｕｓｔ」関数によって示される）。よってＡＴＭは、統一された関数ライブラリまたはコードリポジトリにおいて収集されてもよい。各ＡＴＰは、自身の決定木における特定のステップでＡＴＭを示すときに、図１２の１２０６に示されるとおり、関数ライブラリまたはコードリポジトリにおけるその独自の関数識別子によってＡＴＭを識別してもよい。さまざまなＡＴＭを呼び出す決定木を統合するＡＴＰのコードの例が以下に示される。
【0045】
【数1】
【0046】
いくつかの実施形態において、上記の図５の分類エンジン１０６の出力は、入力データフレームと共にいくつかの追加の列を含んでもよい。たとえば、追加の列の１つは、分類エンジン１０６からの予測を含んでもよい。別の追加の列は、予測に用いられる分類器（決定論的分類器１７５またはＭＬ確率的分類器１７９）の表示を含んでもよい。別の追加の列は、決定論的分類器において決定木が用いた情報の表示を含んでもよい。使用される決定木は、ＡＴＰ識別子によって識別されてもよい。
【0047】
脆弱性のタイプの予め定められたセットの各々に対する手動トリアージポリシー（ＭＴＰ）または決定木の生成（図１１の１１２２）は、別の機械学習モデルを用いて自動化されてもよい。たとえば、履歴脆弱性予測精度に基づく特定の順序で質問ライブラリからの質問のリストを選択するために、機械学習モデルがトレーニングされてもよい。
【0048】
図９に示されるとおり、システム１００によって実装される方法は、ユーザインターフェース１１３を介してプロジェクトを選択するステップを含んでもよい。ブロック９００を参照されたい。フロントエンド１９１はプロジェクトを要求してもよく（ブロック９０１を参照されたい）、ＡＰＩ１１４はこうしたプロジェクト要求をソフトウェア－セキュリティサーバ１２０に送信してもよい。ブロック９０２を参照されたい。結果として、ＡＰＯ１１４はプロジェクトを受信してもよい。ブロック９０３を参照されたい。フロントエンド１９１は、受信したプロジェクトをユーザインターフェース１１３を介して表示するように適合されてもよい。ブロック９０４を参照されたい。いくつかの実施形態において、表示されたプロジェクトのうちの１つがユーザインターフェース１１３を介して選択されてもよい。ブロック９０５を参照されたい。特定の実施形態において、フロントエンド１９１は、選択されたプロジェクトを識別または決定してもよい。ブロック９０６を参照されたい。ＡＰＩ１１４は、選択されたプロジェクトに対する特徴をソフトウェア－セキュリティサーバ１２０から抽出するように適合されてもよい。ブロック９０７を参照されたい。ある実施形態において、ＡＰＩ１１４はさらに、ルールを適用すること（ブロック９０８）、フィルタを適用すること（ブロック９０９）、プログラムされたフィルタを適用すること（ブロック９１０）、および／または機械学習モデルを適用すること（ブロック９１１）を行うように適合されてもよい。加えて、特定の実施形態によると、ＡＰＩ１１４はソフトウェア－セキュリティサーバ１２０に結果をエクスポートするように適合されてもよい。ブロック９１２を参照されたい。
【0049】
いくつかの実施形態において、通信インターフェースは、ワイヤレス送信機および受信機（本明細書においては「トランシーバ」）と、トランシーバの送信および受信回路によって使用される任意のアンテナとを含んでもよい。トランシーバおよびアンテナは、たとえば任意のバージョンのＩＥＥＥ８０２．１１、たとえば８０２．１１ｎまたは８０２．１１ａｃなど、またはその他のワイヤレスプロトコル、たとえばブルートゥース、Ｗｉ－Ｆｉ、ＷＬＡＮ、セルラ（４Ｇ、ＬＴＥ／Ａ）などによるＷｉＦｉネットワーク通信をサポートしてもよい。加えて通信インターフェースは、たとえばユニバーサルシリアルバス（ＵＳＢ）、シリアルＡＴＡ、ＩＥＥＥ１３９４、ライティングポート、Ｉ２Ｃ、ｓｌｉｍＢｕｓ、またはその他のシリアルインターフェースなどのシリアルインターフェースを含んでもよい。加えて通信インターフェースは、ワイヤード通信プロトコルをサポートするための有線トランシーバを含んでもよい。有線トランシーバは、広範囲の通信プロトコルのいずれかに対する物理レイヤインターフェースを提供してもよく、通信プロトコルはたとえば、任意のタイプのイーサネット（Ｅｔｈｅｒｎｅｔ）、ギガビットイーサネット（Ｇｉｇａｂｉｔ Ｅｔｈｅｒｎｅｔ）、光ネットワークプロトコル、データオーバーケーブルサービスインターフェース仕様（ＤＯＣＳＩＳ：ｄａｔａ ｏｖｅｒ ｃａｂｌｅ ｓｅｒｖｉｃｅ ｉｎｔｅｒｆａｃｅ ｓｐｅｃｉｆｉｃａｔｉｏｎ）、デジタル加入者線（ＤＳＬ：ｄｉｇｉｔａｌ ｓｕｂｓｃｒｉｂｅｒ ｌｉｎｅ）、同期光ネットワーク（ＳＯＮＥＴ：Ｓｙｎｃｈｒｏｎｏｕｓ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋ）、またはその他のプロトコルなどである。
【0050】
システム回路は、ハードウェア、ソフトウェア、ファームウェア、ＡＰＩ、および／またはその他の回路の任意の組み合わせを含んでもよい。システム回路は、たとえば１つ以上のシステムオンチップ（ＳｏＣ：ｓｙｓｔｅｍ ｏｎ ａ ｃｈｉｐ）、特定用途向け集積回路（ＡＳＩＣ：ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔｓ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ：ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙｓ）、マイクロプロセッサ、個別のアナログおよびデジタル回路、ならびにその他の回路などによって実現されてもよい。システム回路は、システム１００の任意の所望の機能を実装してもよい。単なる一例として、システム回路は、１つ以上の命令プロセッサ１１２およびメモリ１１１を含んでもよい。メモリ１１１は、たとえばシステム１００の特徴を実行するための制御命令などを記憶してもよい。１つの実装において、プロセッサ１１２は、システム１００に対する任意の所望の機能を実行するために制御命令を実行してもよい。制御パラメータは、制御命令およびシステム１００のその他の機能に対する構成および動作オプションを提供および指定してもよい。システム１００はさまざまなデータベースまたはデータソースをさらに含んでもよく、それらの各々は、本明細書に記載されるプロセスの任意の１つ以上の間に考慮されるデータを得るために、システム１００によってアクセスされてもよい。
【0051】
ある実施形態において、ソフトウェアを管理するための方法またはシステム１００は、ソフトウェア製品またはアプリケーション１３５のソースコードをスキャンして潜在的脆弱性問題を検出するステップと、検出された潜在的脆弱性問題をリストする電子文書報告を生成するステップとを含んでもよい。この方法／システムはさらに、各潜在的脆弱性問題について電子文書報告から特徴を抽出するステップと；ポリシーデータおよびビジネスルールを受信するステップと；抽出された特徴をポリシーデータおよびビジネスルールに対して比較するステップと；潜在的脆弱性問題のソースコードに基づいてトークンを決定するステップとを含んでもよい。さらに、この方法／システムは、潜在的脆弱性問題の抽出された特徴に基づき、かつトークンに基づいてベクトルを決定するステップと、ベクトルに基づいて複数の脆弱性スコア付け方法のうちの１つを選択するステップとを含んでもよい。ある実施形態において、脆弱性スコア付け方法は、機械学習モデル化１４１方法、ブランケットルール１７４自動トリアージ方法、および／またはプログラミングルール１５０自動トリアージ方法であってもよい。特定の実施形態によると、複数の脆弱性スコア付け方法は、こうした方法の任意の組み合わせを含んでもよい。加えてこの方法／システムは、選択された脆弱性スコア付け方法を用いてベクトルに基づく脆弱性精度スコアを決定するステップと、脆弱性精度スコアをユーザに対して表示するステップとを含んでもよい。ある実施形態において、複数の機械学習モデルは、ランダムフォレスト機械学習モデルを含んでもよい。
【0052】
特定の実施形態において、図１０に示されるとおり、ソフトウェアを管理するための方法またはシステム１００は、ソフトウェア製品の潜在的脆弱性問題をリストする電子文書を得るステップ（ブロック１０００）と；各潜在的脆弱性問題について電子文書から特徴を抽出するステップ（ブロック１００１）と；抽出された特徴に基づいてベクトルを決定するステップ（ブロック１００２）と；ベクトルに基づいて複数の機械学習モデル化方法および自動トリアージ方法のうちの１つを選択するステップ（ブロック１００３）と；選択された方法を用いてベクトルに基づく脆弱性精度スコアを決定するステップ（ブロック１００４）とを含んでもよい。この方法／システムはさらに、ソフトウェア製品のソースコードをスキャンして潜在的脆弱性問題を検出するステップと、検出された潜在的脆弱性問題に基づいて電子文書を生成するステップとを含んでもよい。さらに、この方法／システムは、ポリシーデータまたはビジネスルールを受信するステップと；抽出された特徴をポリシーデータまたはビジネスルールに対して比較するステップと；検出された潜在的脆弱性問題の少なくとも１つに対応するスキャンされたソースコードに基づいてトークンを決定するステップとを含んでもよい。いくつかの実施形態において、ベクトルはトークンに基づくものであってもよい。加えてこの方法／システムは、脆弱性精度スコアをユーザに対して表示するステップを含んでもよい。ある実施形態において、機械学習モデル化方法は、ランダムフォレスト機械学習モデルを含んでもよい。いくつかの実施形態において、自動トリアージ方法は、ブランケットルール自動トリアージ方法および／またはプログラミングルール自動トリアージ方法を含んでもよい。特定の実施形態において、ソフトウェア脆弱性にアクセスするための方法またはシステムは、複数の予め定められた脆弱性タイプに対応する複数の所定の自動トリアージポリシーを含む自動トリアージルールライブラリにアクセスするステップであって、各自動トリアージポリシーが、予め定められた複数の脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかを決定するための決定木を含む、アクセスするステップと；予め定められた複数の予め定められた脆弱性タイプのうちの１つがエクスプロイト可能であるかどうかの確率的決定のために機械学習モデルライブラリにアクセスするステップと；ソフトウェア製品のソースコードに基づくソフトウェア製品の潜在的脆弱性問題をリストする電子文書を得るステップと；潜在的脆弱性問題が複数の予め定められた脆弱性タイプのうちの１つに関連するかどうかを決定するステップと；潜在的脆弱性問題が複数の予め定められた脆弱性タイプのうちの１つに関連すると決定されたときに、複数の予め定められた脆弱性タイプのうちの１つおよび対応する決定木に関連する自動トリアージルールライブラリから読み出された自動トリアージポリシーを用いて電子文書を処理することに基づいて、ソフトウェア製品がエクスプロイト可能であるかどうかを決定し、そうでないときは、機械学習モデルライブラリからの機械学習モデルを用いて電子文書を処理することに基づいて、ソフトウェア製品がエクスプロイト可能であるかどうかを確率的に決定するステップとを含んでもよい。
【0053】
すべての考察は、記載される特定の実装にかかわらず、限定的ではなく例示的な性質である。たとえば、実装の選択された態様、特徴、またはコンポーネントはメモリに記憶されるものとして示されるが、単数または複数のシステムのすべてまたは一部が、たとえばハードディスク、フラッシュメモリドライブ、フロッピーディスク、およびＣＤ－ＲＯＭなどの二次ストレージデバイスなどの他のコンピュータ可読記憶媒体に記憶されるか、それらの間に分散されるか、またはそこから読み取られてもよい。さらに、さまざまなモジュールおよびスクリーンディスプレイ機能は、こうした機能の単なる一例であり、類似の機能を包含する任意のその他の構成が可能である。
【0054】
上記において考察されたプロセス、方法、および／または技術を実装するためのそれぞれの論理、ソフトウェア、または命令は、コンピュータ可読記憶媒体において提供されてもよい。図面に示されるか、または本明細書に記載される機能、動作、またはタスクは、コンピュータ可読媒体の中または上に記憶される論理または命令の１つ以上のセットに応答して実行されてもよい。その機能、動作、またはタスクは、特定のタイプの命令セット、記憶媒体、プロセッサ、または処理戦略に依存せず、単独または組み合わされて動作するソフトウェア、ハードウェア、集積回路、ファームウェア、およびマイクロコードなどによって実行されてもよい。同様に、処理戦略は多重処理、多重タスキング、および並列処理などを含んでもよい。一実施形態において、命令は、ローカルまたはリモートシステムによる読み取りのための取り外し可能媒体デバイスに記憶される。他の実施形態において、論理または命令は、コンピュータネットワークまたは電話線を通じた伝達のためにリモートの位置に記憶される。さらに他の実施形態において、論理または命令は、所与のコンピュータ、中央処理ユニット（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）（「ＣＰＵ」）、グラフィックス処理ユニット（ｇｒａｐｈｉｃｓ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）（「ＧＰＵ」）、またはシステム内に記憶される。
【0055】
本開示は、その実施形態を参照して特定的に示されて説明されたが、本開示の趣旨および範囲から逸脱することなく、その形態および詳細にさまざまな変更がなされてもよいことを当業者は理解するだろう。いくつかの図面はいくつかの動作を特定の順序で示しているが、順序に依存しない動作は並べ替えられてもよく、他の動作は組み合わされるか、または分割されてもよい。何らかの並べ替えまたはその他のグループ化が特定的に言及されているが、当業者には他のものも明らかとなるため、代替形の網羅的なリストは提示されない。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8(a)】
【図8(b)】
【図9】
【図10】
【図11】
【図12】
【図13】
【国際調査報告】