[論文レビュー] Provably Secure Networks: Methodology and Toolset for Configuration Management

Cornelius Diekmann|arXiv (Cornell University)|Jan 1, 2017

Network Security and Intrusion Detection参考文献 165被引用数 1

ひとこと要約

本論文は、自動合成および検証によるアクセス制御ポリシーを用いて、形式的妥当性保証付きのネットワーク設定管理のための手法とツールキットを提示する。topoSを用いたポリシー駆動型ネットワーク設計と、既存のiptablesルールの静的解析を目的としたfffuuを導入し、両者ともIsabelleで形式的に検証済みであり、レガシーネットワークおよびSDNやマイクロサービスを含む現代的ネットワークにおいて、安全でスケーラブルかつ非侵襲的な設定管理を可能にする。

ABSTRACT

Network administration is an inherently complex task, in particular with regard to security. Using the Isabelle interactive proof assistant, we develop two automated, formally verified tools which help uncovering and preventing bugs in network-level access control configurations. Our first tool guides the process of designing networks from scratch. Our second tool facilitates the analysis of existing iptables configurations. Combined, the two form a powerful toolset.

研究の動機と目的

• ネットワーク管理における設定エラーが引き起こす深刻なセキュリティ侵害の発生頻度を低減すること。
• ネットワークアクセス制御および情報フロー制御ポリシーの形式的検証を可能にする手法の開発。
• 形式的手法の深い専門知識が不要な管理者が使いやすいツールの提供。
• レガシー構成の非侵襲的検証と、新規ポリシー生成の両方をサポートする。
• Isabelleにおける機械的証明を通じて、ネットワークポリシーの正しさとスケーラビリティを保証すること。

提案手法

• 高レベルのセキュリティ要件から安全でポリシー準拠のネットワーク設定を自動生成できる、topoSにおけるグラフベースのネットワークモデリング手法の提案。
• 指定されたポリシーに対して既存のiptablesルールセットの静的解析および適合性チェックを完全に自動化するfffuuの開発。
• Isabelle/HOL証明支援ツールを用いた形式的手法により、topoSおよびfffuuの正しさを数学的に検証。
• 高レベルのポリシー抽象化から低レベルのファイアウォールルールへの変換パイプラインの導入により、抽象化レベル間の相互運用性を実現。
• SDNとの統合を支援するため、ポリシーからOpenFlowルールへの変換を可能にし、形式的に検証済みの初版実装を提供。
• 管理者が低レベル制御を完全に保持できるように設計されており、非侵襲性およびレガシー構成との後方互換性を確保。

実験結果

リサーチクエスチョン

• RQ1 高レベルのセキュリティ要件から、正しさを保証しつつネットワークアクセス制御ポリシーを自動合成することは可能か？
• RQ2 手動による再構成を要せず、既存のiptables構成を指定されたポリシーに対して形式的に解析・検証することは可能か？
• RQ3 ネットワーク設定ツールが構築時に正しく、論理的誤りが存在しないことを保証する形式的手法とは何か？
• RQ4 形式的証明の複雑さを管理者に晒さずに、形式的検証を実用的かつ使いやすくすることは可能か？
• RQ5 同一の手法が、統合的かつ相互運用可能なフレームワーク内で、ポリシー合成とポリシー検証の両方をどの程度サポートできるか？

主な発見

• ツールキットは、従来のアクセス制御リストの二次関数的複雑性を回避する高レベルの抽象化を用いることで、安全でスケーラブルなポリシー生成を可能にする。
• fffuuは、公開済みの最大規模の実世界iptablesダンプ集を成功裏に解析し、レガシー構成が実装しているポリシーの明確で形式的な概要を提供した。
• この手法は、既存構成の非侵襲的検証と新規ポリシー展開の完全自動化の両方をサポートしており、管理者がツール統合のレベルを自由に選べる。
• iptablesからOpenFlowルールへの形式的に検証済みの変換が実証され、安全なSDN構成を可能にした。
• 実世界のシステム、例えば航空機キャビンデータネットワークやAndroid測定アプリを用いた検証により、実用的応用性が裏付けられた。
• Isabelleで検証済みのツールは数学的保証を提供し、形式的手法の専門知識がなくても、ネットワーク構成に対する信頼性を著しく向上させた。