[論文レビュー] Neutaint: Efficient Dynamic Taint Analysis with Neural Networks

Dongdong She, Yizheng Chen+3 more|arXiv (Cornell University)|Jul 8, 2019

Advanced Malware Detection Techniques参考文献 50被引用数 8

ひとこと要約

Neutaintは、プログラムトレースから情報フローを学習するエンドツーエンドのニューラルネットワークベースのアプローチを提案する。ニューラルプログラム埋め込みとセンシティビティマップを用いて、高い正確性と低いランタイムオーバーヘッドを実現する。ルールベースの伝搬を微分可能で勾配に基づく影響分析に置き換えることで、誤検出を低減し、オーバーヘッドを削減し、最先端のツールを上回る68%の平均正確性と40倍低いランタイムオーバーヘッドを達成する。

ABSTRACT

Dynamic taint analysis (DTA) is widely used by various applications to track information flow during runtime execution. Existing DTA techniques use rule-based taint-propagation, which is neither accurate (i.e., high false positive) nor efficient (i.e., large runtime overhead). It is hard to specify taint rules for each operation while covering all corner cases correctly. Moreover, the overtaint and undertaint errors can accumulate during the propagation of taint information across multiple operations. Finally, rule-based propagation requires each operation to be inspected before applying the appropriate rules resulting in prohibitive performance overhead on large real-world applications. In this work, we propose NEUTAINT, a novel end-to-end approach to track information flow using neural program embeddings. The neural program embeddings model the target's programs computations taking place between taint sources and sinks, which automatically learns the information flow by observing a diverse set of execution traces. To perform lightweight and precise information flow analysis, we utilize saliency maps to reason about most influential sources for different sinks. NEUTAINT constructs two saliency maps, a popular machine learning approach to influence analysis, to summarize both coarse-grained and fine-grained information flow in the neural program embeddings. We compare NEUTAINT with 3 state-of-the-art dynamic taint analysis tools. The evaluation results show that NEUTAINT can achieve 68% accuracy, on average, which is 10% improvement while reducing 40 times runtime overhead over the second-best taint tool Libdft on 6 real world programs. NEUTAINT also achieves 61% more edge coverage when used for taint-guided fuzzing indicating the effectiveness of the identified influential bytes.

研究の動機と目的

• 実世界の応用において、ルールベースの動的taint分析（DTA）が抱える高い誤検出/誤検出率と、耐えがたいランタイムオーバーヘッドを解消すること。
• 複雑な演算や例外ケースに対して、手作業によるtaintルールの定義が誤りを生じやすく、現実的でないという制限を克服すること。
• 複数の演算を跨いで個々のtaintルールを合成する際に蓄積される誤りを排除すること。
• 従来のDTAツールが見逃す、暗黙の制御依存関係やデータに依存しないシンク（例：外部関数の戻り値）を特定すること。
• 機械学習を用いて、効率的でスケーラブルかつ正確なエンドツーエンドの情報フローフォローアウトを実現すること。

提案手法

• Neutaintは、軽量のインストルメンテーションにより収集したプログラムトレース上で、ニューラルプログラム埋め込みモデルを学習させ、taintソースからシンクへのマッピングを学習する。
• バックプロパゲーションと勾配分析を用いて、各ソースが各シンクに与える影響を定量化するセンシティビティマップを計算する。
• 粗い粒度と細かい粒度の2種類のセンシティビティマップを構築し、ソース-シンク関係を要約する。
• モデルは実行トレース全体に一般化可能であり、実行時における各演算の再分析なしに正確な推論が可能である。
• センシティビティマップは、taintガイドドファジングや脆弱性検出における最も影響力のある入力バイトを特定するために使用される。
• データから直接エンドツーエンドの情報フローを学習することで、ルールベースの伝搬を回避し、合成誤りを最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 ニューラルネットワークベースのアプローチは、プログラム実行トレースから正確で一般化可能な情報フローのパターンを学習できるか？
• RQ2 勾配に基づくセンシティビティマップは、データ依存関係および制御依存関係の両方において、影響力のあるtaintソースを効果的に特定できるか？
• RQ3 Neutaintは、ルールベースのDTAツールと比較してランタイムオーバーヘッドを低減しながら、正確性を維持または向上できるか？
• RQ4 Neutaintは、従来のツールが見逃す暗黙の制御依存関係を含む脆弱性を検出できるか？
• RQ5 Neutaintは、最先端のDTAツールと比較して、taintガイドドファジングにおいてどれほど効果的か？

主な発見

• Neutaintは平均68%の正確性を達成し、2番目に良いツールであるLibdftよりも10%高い。
• Libdft（2番目に良いツール）と比較して、ランタイムオーバーヘッドを40倍低減しながらも、高い正確性を維持した。
• Neutaintは全情報フローの98.7%を検出でき、評価されたtaint分析ツールの中で最高水準であった。
• taintガイドドファジングにおいて、Neutaintは最先端のツールと比較して61%多くのエッジカバレッジを達成し、影響力のある入力を優れた識別能力を示した。
• Neutaintは、バッファオーバーフロー、ヒープオーバーフロー、整数オーバーフロー、ゼロ除算エラーなど、多様な脆弱性を正常に検出できた。
• 従来のDTAツールがデータ依存関係が欠如しているために失敗するような、暗黙の制御依存関係（例：TinyXMLのパースロジック）を効果的に捉えた。