[論文レビュー] ROPNN: Detection of ROP Payloads Using Deep Neural Networks

Xusheng Li, Zhisheng Hu+5 more|arXiv (Cornell University)|Jul 29, 2018

Security and Verification in Computing参考文献 48被引用数 9

ひとこと要約

ROPNN は、アドレス空間レイアウト（ASL）ガイド付きディスアセンブルと畳み込みニューラルネットワーク（CNN）を組み合わせることで、Ropペイロードを検出する深層学習ベースのインシデント検出システムである。99.3%の検出率と0.01%の偽陽性率を達成し、ランタイムオーバーヘッドがゼロであるため、実世界への展開において非常に効果的で実用的である。

ABSTRACT

Return-oriented programming (ROP) is a code reuse attack that chains short snippets of existing code to perform arbitrary operations on target machines. Existing detection methods against ROP exhibit unsatisfactory detection accuracy and/or have high runtime overhead. In this paper, we present ROPNN, which innovatively combines address space layout guided disassembly and deep neural networks to detect ROP payloads. The disassembler treats application input data as code pointers and aims to find any potential gadget chains, which are then classified by a deep neural network as benign or malicious. Our experiments show that ROPNN has high detection rate (99.3%) and a very low false positive rate (0.01%). ROPNN successfully detects all of the 100 real-world ROP exploits that are collected in-the-wild, created manually or created by ROP exploit generation tools. Additionally, ROPNN detects all 10 ROP exploits that can bypass Bin-CFI. ROPNN is non-intrusive and does not incur any runtime overhead to the protected program.

研究の動機と目的

• 高い検出正確性、低い偽陽性率、低いランタイムオーバーヘッド、最小限のプログラム変更を要するという点で、従来の ROP 検出手法の限界を克服すること。
• ヒューリスティック、シグネチャベース、CFI、統計的手法に共通する回避可能性、高いオーバーヘッド、透明性の欠如といった欠点を克服すること。
• 生産環境に展開可能であり、保護対象プログラムを変更しない、非常に正確で非侵襲的な検出システムを開発すること。
• 手動による特徴工学やしきい値チューニングを回避するため、深層学習を活用して、ガジェットチェーンのエンドツーエンド分類を可能にすること。
• ASLR などの現代的な防御と互換性を持たせ、ネットワークスタック内の戦略的配置により暗号化されたトラフィック環境への展開を可能にすること。

提案手法

• アプリケーション入力データをコードポインタとして扱い、ネットワークトラフィックから潜在的なガジェットチェーンを抽出する ASL ガイド付きディスアセンブルを用いる。
• 「ret」命令で終わるシーケンスを、コード領域に埋め込まれたデータ領域であっても、候補となるガジェットとして特定するディスアセンブラを構築する。
• 抽出されたガジェットチェーンを、深層畳み込みニューラルネットワーク（CNN）に供給し、'悪意のある ROP ペイロード' または '良性データ' の二値分類を行う。
• 最小限の事前処理で済ませたデータを用いて CNN をエンドツーエンドで学習させ、手動による特徴工学やしきい値設定を回避する。
• 保護対象プログラムとは独立して動作するスタンドアロンのネットワーク IDS として ROPNN を展開し、ランタイムオーバーヘッドをゼロに保ち、対象環境への変更を一切行わない。
• ディスアセンブルと動的メモリスナップショットの更新を並列化することで、ASLR に対しても正確性を維持し、高スルーレートのトラフィック（665 Mb/s）をサポートする。

実験結果

リサーチクエスチョン

• RQ1 深層ニューラルネットワークを用いることで、高い正確性と低い偽陽性率で ROP ペイロードを効果的に検出できるか？
• RQ2 保護対象プログラムや実行環境の変更を要せず、非侵襲的かつランタイムオーバーヘッドゼロの検出システムを構築できるか？
• RQ3 コードレイアウトの事前知識がなくても、ネットワーク入力データから潜在的なガジェットチェーンを ASL ガイド付きディスアセンブルで効果的に同定できるか？
• RQ4 手作業で作成されたものや自動生成された ROP 攻撃、Bin-CFI を回避する仕組みを持つ攻撃に対しても ROPNN は検出可能か？
• RQ5 暗号化されたトラフィックや ASLR が適用された動的メモリレイアウトといった実世界の状況下でも、ROPNN は効果的に動作するか？

主な発見

• ROPNN は、実際にインターネット上から収集された 100 個のリアルワールド ROP 攻撃（手作業で作成されたものや ROP 生成ツールで作成されたものも含む）に対して 99.3% の検出率を達成した。
• 非常に低い偽陽性率 0.01% を報告しており、良性データと悪意あるペイロードを高精度に区別できることを示している。
• Bin-CFI を回避するのを目的とした 10 個の ROP 攻撃すべてを効果的に検出できたため、高度な回避技術に対しても強い耐性を示している。
• ディスアセンブラのスルーレートは 665 Mb/s であり、CNN は 1 秒間に平均 27,000 個の潜在的ガジェットチェーンを処理できるが、分類器に供給されるのは平均 13 個/秒にとどまる。
• 保護対象プログラムにランタイムオーバーヘッドを発生させず、独立して展開可能であるため、透明で非侵襲的である。
• ROPNN はアドレスではなく命令レベルの特徴を用いるため、ASLR に対しても効果的であり、プログラムの再起動に伴い動的メモリスナップショットを更新することで、継続的な正確性を維持する。