Perpustakaan Digital ITB

Di era digital saat ini, dalam pengembangan perangkat lunak modern penggunaan komponen pihak ketiga sudah menjadi hal yang umum. Namun, hal tersebut memperbesar risiko keamanan akibat dari kerentanan (vulnerability) yang tersembunyi dalam komponen-komponen komponen pihak ketiga yang digunakan. Software Composition Analysis (SCA) merupakan salah satu alat bantu yang bisa digunakan untuk mendeteksi dan memitigasi resiko dari penggunaan open-source. Akan tetapi, berbagai alat SCA masih menghadapi tantangan paling mendasar yaitu False Positive (kerentanan terlapor padahal tidak relevan) dan False Negative (kerentanan yang tidak terdeteksi) yang mana akan berpotensi menghadapi masalah dari hasil deteksi hingga mengganggu proses analisis keamanan maupun keputusan mitigasi. Penelitian ini berfokus pada peningkatan akurasi salah satu alat SCA yang banyak digunakan di industri, yaitu OWASP Dependency-Check dengan menyoroti salah satu sumber kesalahan utama yaitu proses pencocokan Common Platform Enumeration (CPE) matching antara dependency proyek dan entri kerentanan pada basis data CVE. Penelitian ini bertujuan untuk menganalisis pola kesalahan CPE Matching, merancang proses peningkatan CPE Matching dan mengevaluasi dampak dari peningkatan. Namun, berbagai alat SCA masih menghadapi permasalahan false positive, yaitu kerentanan dilaporkan meskipun tidak relevan, dan false negative, yaitu kerentanan yang seharusnya terdeteksi tetapi tidak dilaporkan. Kedua kondisi tersebut dapat menurunkan keandalan hasil deteksi serta menyebabkan proses analisis keamanan dan penetapan mitigasi menjadi kurang tepat. Hasil penelitian menunjukkan bahwa mekanisme peningkatan yang dikembangkan menghasilkan daftar CVE yang sesuai dengan ground truth pada seluruh artefak dalam kumpulan data evaluasi. Meskipun demikian, hasil tersebut masih memerlukan validasi pada artefak dan snapshot NVD yang berbeda untuk menilai kemampuan generalisasinya.