SBOM脆弱性検査の優先度付けを目的としたソフトウェアコンポーネント種別特定手法

• Item type: Symposium(1)
• 公開日: 2024-10-15
• タイトル / 言語: ja
• タイトル: SBOM脆弱性検査の優先度付けを目的としたソフトウェアコンポーネント種別特定手法
• タイトル / 言語: en
• タイトル: A Method for Identifying Software Component Types Aimed at Prioritizing Vulnerability Assessment in SBOMs
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: サプライチェーンセキュリティ，SBOM，コンポーネント，LLM，意味的識別
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: NTT
• 著者所属: NTT
• 著者所属: NTT
• 著者所属: NTT
• 著者所属(英): en
• 著者所属(英): NTT
• 著者所属(英): en
• 著者所属(英): NTT
• 著者所属(英): en
• 著者所属(英): NTT
• 著者所属(英): en
• 著者所属(英): NTT
• 著者名: 荒川, 玲佳; 鐘本, 楊; 和田, 泰典; 秋山, 満昭
• 著者名(英): Reika, Arakawa; Yo, Kanemoto; Yasunori, Wada; Mitsuaki, Akiyama
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: ソフトウェアのサプライチェーンは複雑化しており，セキュリティの脅威リスクも年々高まっている．サプライチェーン全体のセキュリティ向上手段として，ソフトウェアの構成を可視化するSBOMが注目されている．しかし，SBOMに基づく脆弱性検査ではソフトウェアのサービスに影響が生じるようなコンポーネントに絞った検査ができず，優先的に対応すべき脆弱性の特定と対応に遅れが生じる課題がある．この課題に対し，本研究では脆弱性検査結果の優先付けのためにLLMを用いてソフトウェアの運用実行に直接使用されるコンポーネントを特定する手法を提案する．手法はSBOMに記載されたコンポーネントごとに機能概要と識別基準の情報をプロンプトに与えてLLMに識別させる．次に依存関係グラフをもとに運用コンポーネントに依存するコンポーネント集合を特定する．実験で提案手法のPrecisionは0.86でベースラインと比較して0.41改善させ，脆弱性検査結果のうち21\%が開発コンポーネントと特定した．また既存技術の特定方法には言語制約があったが，提案手法は制約を緩和することを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: The complexity of software supply chains is increasing, and security risks are escalating annually. To enhance security, the Software Bill of Materials (SBOM) has gained attention. However, SBOM-based vulnerability scans struggle to identify components affecting software services, delaying the response to critical vulnerabilities. This study proposes a method to prioritize vulnerability scans by using a Large Language Model (LLM) to identify components directly involved in operations. The LLM is provided with functional summaries of SBOM components as prompts, followed by an analysis of the dependency graph to ensure critical components and their dependencies are included. Experimental results show a 0.41 improvement in precision (achieving 0.86) and a 21% reduction in vulnerability scan results.
• 書誌情報: コンピュータセキュリティシンポジウム2024論文集; p. 1202-1209, 発行日 2024-10-15
• 出版者 / 言語: ja
• 出版者: 情報処理学会