[論文レビュー] A Survey of Cyber Security Countermeasures Using Hardware Performance Counters

James Foreman|arXiv (Cornell University)|Jul 28, 2018

Security and Verification in Computing参考文献 19被引用数 9

ひとこと要約

この論文は、サイバー攻撃の兆候を示す異常を検出するために、キャッシュミスや分岐ミス予測といった低レベルのプロセッサメトリクスを利用するハードウェアパフォーマンスカウンタ（HPCs）のサイバー・セキュリティ対策への応用を調査している。HPCsは、最小限のパフォーマンスオーバーヘッドで、改ざんに強く、マルウェア、サイドチャnel攻撃、ゼロデイ攻撃を軽量かつ耐障害性を有して検出可能であることを示している。シグネチャ、ヒューリスティック、機械学習ベースの分析により実現される。

ABSTRACT

Cyber attacks and malware are now more prevalent than ever and the trend is ever upward. There have been several approaches to attack detection including resident software applications at the root or user level, e.g., virus detection, and modifications to the OS, e.g., encryption, application signing, etc. Some approaches have moved to lower level detection and preven- tion, e.g., Data Execution Prevention. An emerging approach in countermeasure development is the use of hardware performance counters existing in the micro-architecture of modern processors. These are at the lowest level, implemented in processor hardware, and the wealth of data collected by these counters affords some very promising countermeasures with minimal overhead as well as protection from being sabotaged themselves by attackers. Here, we conduct a survey of recent techniques in realizing effective countermeasures for cyber attack detection from these hardware performance counters.

研究の動機と目的

• ハードウェアパフォーマンスカウンタ（HPCs）をサイバー・セキュリティ対策の基盤として使用する可能性と有効性を調査すること。
• ソフトウェアベースの検出の限界を克服するため、ハードウェアレベルの可視性と耐性を活用すること。
• 異なる攻撃ベクトルと脅威モデルにおいて、HPCベースの検出技術を分類・評価すること。
• HPCベースの検出を、特にMeltdown や Spectre のような新興脅威に対応する主流のセキュリティツールに統合することを提唱すること。

提案手法

• カーネル／ハードウェア特権レベルで収集される、キャッシュミス、分岐ミス予測、命令サイクルなどのハードウェアパフォーマンスカウンタを活用する。
• HPCパターンを既知の攻撃プロファイルまたは許可済みの正当な動作と照合することで、シグネチャベースの検出を実施する。
• 異常なHPC活動（例：過剰なキャッシュミスやTLBミス）の閾値を設定することで、ヒューリスティックベースの検出を実施する。
• HPCデータに対する機械学習および統計的分析を統合し、高度な異常検出および分類を実現する。
• 誤検出を低減し、パフォーマンスを最適化するために、複数の検出レイヤー（例：ヒューリスティック事前フィルタ＋ML分析）を組み合わせる。
• 制御フローチャートを用いたコンテキストに依存する分析を提案し、コード再利用攻撃のような構文的には正しいが機能的に不正なコードパスを検出する。

実験結果

リサーチクエスチョン

• RQ1 HPCを最小限のパフォーマンスオーバーヘッドと高い改ざん耐性で、サイバー攻撃を検出するためにどのように活用できるか？
• RQ2 どのような攻撃行動が、キャッシュミスや分岐ミス予測といったHPCメトリクスに検出可能なシグネチャを残すか？
• RQ3 HPCデータを用いたヒューリスティック、シグネチャ、機械学習のハイブリッド検出アプローチの有効性はいかがなものか？
• RQ4 HPCベースの検出は、マイクロアーキテクチャレベルでMeltdown や Spectre のような高度な脅威を効果的に特定できるか？
• RQ5 HPCベースの対策を研究段階から生産環境のセキュリティシステムに移行するにあたり、実際の課題と機会は何か？

主な発見

• HPCは、アプリケーションパフォーマンスへの影響を最小限に抑えつつ、異常行動を検出するための低オーバーヘッドで、ハードウェアに埋め込まれた方法を提供する。
• HPCは、シリコンに実装されており、特権レベルで動作するため、改ざんに対して本質的に耐性がある。
• HPCを用いたシグネチャベースの検出は、異常なキャッシュや分岐行動といった予測可能なカウンタ値のパターンを照合することで、既知の攻撃を特定可能である。
• HPCメトリクスに対する閾値設定を用いたヒューリスティックベースの検出は、過剰な分岐ミス予測やキャッシュミスなどの不審な活動を効果的に特定する。
• HPCデータに対する機械学習および統計的分析により、通常の動作からの逸脱を特定することで、未知またはゼロデイ攻撃の検出が可能になる。
• 複数の検出レイヤーを組み合わせたハイブリッドアプローチは、誤検出を顕著に低減し、検出精度を向上させる一方で、効率性を維持できる。