تحلیلی بر متریک فعالیت توسعهدهنده درشناسایی آسیبپذیری نرمافزار با استفاده از کاوش مخازن نرمافزاری

شناسایی آسیبپذیری نرمافزار، بعد از انتشار، نه تنها موجب تحمیل هزینههای اضافی جهت رفع آن میشود، بلکه باعث از بین رفتن اعتبار شرکت نرمافزاری نیز میشود. بنابراین هر سازمانی باید شناسایی آسیبپذیری را در اولویتهای خودقرار داده و از رخداد آن، جلوگیری نماید. تکنیکهایی که برای جلوگیری و شناسایی آسیبپذیری نرمافزار قبل از انتشار وجود دارند، تکنیکهای هستند که به پایش چشمی کد میپردازند، بنابراین دشوار و زمانبر هستند. علاوه بر این، پایشچشمی همهی قسمتهای کد نیز کاری پرهزینه است و با توجه به منابع محدود تیم توسعهدهنده، این کار امکانپذیر نمیباشد. بنابراین در این مقاله، به دنبالخودکارسازی شناسایی آسیبپذیری نرمافزار، هستیم. با توجه به این که توسعهی نرمافزار، به طور معمول، توسط تیم توسعهای که با هم روی یک پروژهی مشترک کار میکنند، انجام میشود، روابط انسانی نقشپررنگی در توسعهی هر پروژه دارند. علاوه بر این، بازبینیها و نظارتهایی که انجام می شود نیز توسط عوامل انسانی انجام میشوند. همچنین عدم پیوستگی تیم و برداشت نادرست در ارتباطات، میتواند موجب ایجاد نرمافزاری گردد که آسیبپذیراست. با توجه به اهمیت موارد مطرح شده، استفاده از متریکهای استخراجی حاصل از بررسی روابط انسانی و توسعهدهندگان، متریک فعالیت توسعه دهنده، تاثیربسزایی در شناسایی نقاط آسیبپذیر کد خواهد داشت. در این مقاله، با طرح سه فرضیه، به بررسی و تحلیل تاثیر متریک فعالیت توسعهدهنده، بر شناسایی آسیبپذیری یک نرم افزار متن باز (یازده نسخه مرورگر وب موزیلا فایرفاکس)،پرداخته میشود. طی بررسیهای انجام شده، تاثیر زیاد متریک فعالیت توسعهدهنده بر شناسایی فایلهای آسیبپذیر، نسبت به فایل های فاقد آسیبپذیری، از نظرآماری چشمگیر است. بنابراین از این متریک میتوان جهت شناسایی خودکار آسیبپذیری و هدایت سازمان و تیم توسعهدهنده جهت شناسایی مکان کد آسیبپذیر، صرف منابع و بهبود کد، استفاده کرد

کلیدواژه ها:

کاوش مخازن نرمافزاریMSR: Mining Software Repository) ، متریک فعالیت توسعهدهنده ، . آسیب پذیری نرم افزار ، پیشبینی آسیب پذیری ، پیش بینی خطا