[論文レビュー] On the Formal Semantics of the Cognitive Middleware AWDRAT

Muhammad Taimoor Khan, Dimitrios Serpanos+1 more|arXiv (Cornell University)|Dec 11, 2014

Advanced Software Engineering Methodologies参考文献 6被引用数 9

ひとこと要約

本論文は、認知ミドルウェアAWDRATの実行モニタの意味を意味論的意味論を用いて形式的に定義し、実行時動作の正確な仕様化と、システムの観察結果とアーキテクチャモデルの予測との不整合の検出を可能にした。この形式的枠組みは正しさの証明を支援し、安全特性が保証された形でAWDRATを新たなサイバーセキュリティ分野へ拡張する道筋を示している。

ABSTRACT

The purpose of this work is two fold: on one hand we want to formalize the behavior of critical components of the self generating and adapting cognitive middleware AWDRAT such that the formalism not only helps to understand the semantics and technical details of the middleware but also opens an opportunity to extend the middleware to support other complex application domains of cybersecurity; on the other hand, the formalism serves as a pre-requisite for our proof of the behavioral correctness of the critical components to ensure the safety of the middleware itself. However, here we focus only on the core and critical component of the middleware, i.e. Execution Monitor which is a part of the module "Architectural Differencer" of AWDRAT. The role of the execution monitor is to identify inconsistencies between runtime observations of the target system and predictions of the System Architectural Model. Therefore, to achieve this goal, we first define the formal (denotational) semantics of the observations (runtime events) and predictions (executable specifications as of System Architectural Model); then based on the aforementioned formal semantices, we formalize the behavior of the "Execution Monitor" of the middleware.

研究の動機と目的

• AWDRATの実行モニタの動作を形式的に仕様化し、動作の正しさと安全性を保証すること。
• AWDRATを新たなサイバーセキュリティ応用分野へ拡張するための厳密な意味論的基盤を提供すること。
• 意味論的意味論を用いてミドルウェアの重要なコンポONENTの形式的検証を可能にすること。
• 形式的意味論を通じて、高レベルのアーキテクチャモデルと低レベルの実行時観察との間のギャップを埋めること。
• 形式的に定義された状態遷移と障害検出を活用して、自動診断と対応を支援すること。

提案手法

• システムアーキテクチャモデルからの実行時イベント（観察）と実行可能仕様（予測）の意味論的意味論の定義。
• 真偽値、数値、環境、状態、イベント値、コンポonent状態をモデル化するための意味論的代数の導入。
• 再帰的および持ち上げられた意味論的構造を用いて、システムコンポonent、行動モデル、攻撃モデルの価値関数を形式化。
• 状態および環境の遷移シーケンスを用いて実行モニタの動作を指定し、監視および診断のための形式的述語を定義。
• 形式論理を用いて、エントリ、エグジット、許容可能な、予期しないイベントに対するモニタの反応を定義し、状態モードの変更や診断のトリガーを含む。
• 事後状態が期待される結果と一致するか、または危険状態が検出された場合に診断を開始する監視述語を定義。

実験結果

リサーチクエスチョン

• RQ1 AWDRATの実行モニタの動作を、意味論的意味論を用いて形式的にどのように仕様化できるか？
• RQ2 実行時観察とアーキテクチャモデルの予測を正確にモデル化するには、どのような意味論的構造が必要か？
• RQ3 形式的意味論は、実行モニタの正しさと安全性の検証をどのように可能にするか？
• RQ4 形式的モデルは、不整合が検出された際に診断の活性化をどのように支援するか？
• RQ5 形式的枠組みは、抽象状態機械からシステムアーキテクチャモデルへの自動翻訳をサポートするようにどのように拡張できるか？

主な発見

• 実行モニタの形式的意味論により、コンポonentの状態遷移とイベント処理の正確で機械検証可能な仕様が可能になった。
• イベントの有効性と事後条件のチェックに基づき、'実行中'から'完了'または'損傷'モードへの遷移が形式的に捉えられた。
• 予期しないイベントが発生した場合、または事後条件が失敗した場合に、形式的に診断がトリガーされる。これにより、異常に対する即時の対応が保証された。
• 形式的枠組みにより、ターゲットシステムとそのアーキテクチャモデルとの間で意味的同等性を保つ前状態および事後状態のシーケンスの構築が可能になった。
• 損傷状態が検出された場合に、形式的に診断が活性化され、システム状態が正常な事後状態に復元されることを保証した。
• 形式的フレームワークは、今後の実行モニタの形式的信頼性および整合性分析の基盤を提供した。