Esta pregunta está relacionada con preguntas anteriores: 1 & 2 sobre las limitaciones en el puntaje de vulnerabilidad de la aplicación web / puntaje de vulnerabilidad automatizado. De hecho, las vulnerabilidades de puntuación detectadas en la web y en las aplicaciones basadas en REST no son sencillas y su desafío es automatizarlas. Mientras que los paquetes de software se califican usando el CVSS (por ejemplo, NVD mantiene el CVE para las vulnerabilidades reportadas y asigna los puntajes apropiados), las aplicaciones web no se califican centralmente. Sin embargo, hay varias fuentes de información de vulnerabilidad para aplicaciones web que podrían aprovecharse, por ejemplo. CWE . ¿Se puede aplicar el aprendizaje automático, por ejemplo? vectorización de texto se utiliza para resolver este problema, ya que varios problemas de seguridad se han beneficiado de aprendizaje en máquina ?
Un ejemplo : si una vulnerabilidad detectada de una aplicación web se describe como "Un ataque XSS se reflejó en una respuesta JSON, esto podría hacer que los consumidores sean vulnerables a los ataques si no lo hacen adecuadamente. manejar los datos (respuesta). " y CWE Id 79 asignados. ¿Puede un algoritmo de coincidencia de texto capturar palabras clave especificadas en la descripción, por ejemplo, "Ataque XSS" y "Respuesta JSON" para análisis y puntajes de gravedad de cómputo usando fuentes, por ejemplo. ¿CWE y CVSS?
Una breve investigación me lleva al modelo word2vec de tensorflow. ¿Puede potencialmente resolver este desafío?
Me alegraría saber si tales técnicas existen dentro de la comunidad de seguridad o si este tipo de enfoques están limitados de ciertas maneras.
Nota: he hecho la misma pregunta en Data Science y se recupera Probablemente no hay atención porque el espacio problema es muy específico.