[論文レビュー] Sound and Complete Runtime Security Monitor for Application Software

Muhammad Taimoor Khan, Dimitrios Serpanos+1 more|arXiv (Cornell University)|Jan 17, 2016

Parallel Computing and Optimization Techniques参考文献 17被引用数 3

ひとこと要約

本稿では、モノイダル2階論理およびイベント記法を用いて記述された仕様に対してアプリケーション実行を形式的に検証することにより、既知および未知のサイバー攻撃を両方検出できる健全かつ完全なランタイムセキュリティモニタを提示する。モニタはモジュラーや抽象的仕様、ランタイム検証を活用することで、誤検出ゼロと高い効率を実現し、リアルタイムおよびレガシーシステムに適している。

ABSTRACT

Conventional approaches for ensuring the security of application software at run-time, through monitoring, either produce (high rates of) false alarms (e.g. intrusion detection systems) or limit application performance (e.g. run-time verification). We present a runtime security monitor that detects both known and unknown cyber attacks by checking that the run-time behavior of the application is consistent with the expected behavior modeled in application specification. This is crucial because, even if the implementation is consistent with its specification, the application may still be vulnerable due to flaws in the supporting infrastructure (e.g. the language runtime system, libraries and operating system). This runtime security monitor is sound and complete, eliminating false alarms, as well as efficient, so that it does not limit runtime application performance and so that it supports real-time systems. The security monitor takes as input the application specification and the application implementation, which may be expressed in different languages. The specification language of the application software is formalized based on monadic second order logic and event calculus interpreted over algebraic data structures. This language allows us to express behavior of an application at any desired (and practical) level of abstraction as well as with high degree of modularity. The security monitor detects every attack by systematically comparing the application execution and specification behaviors at runtime, even though they operate at two different levels of abstraction. We define the denotational semantics of the specification language and prove that the monitor is sound and complete. Furthermore, the monitor is efficient because of the modular application specification at appropriate level(s) of abstraction.

研究の動機と目的

• 従来のランタイムモニタが高い誤検出率やパフォーマンスのオーバーヘッドを抱えるという限界を解消すること。
• 形式的アプリケーション仕様に対する実行挙動の検証によって、既知および未知のサイバー攻撃の両方を検出可能にする。
• 誤検出（偽陽性）がない（健全）かつすべての仕様からの逸脱を検出できる（完全）という性質を維持しつつ、システムのパフォーマンスを低下させないソリューションを提供すること。
• 実装言語や抽象化レベルに依存せずに、レガシーやモダンなシステムの両方をサポートすること。
• 攻撃計画の仕様ベースのモデリングを通じて攻撃の特徴を明らかにし、効果的な防御を可能にすること。

提案手法

• 代数的データ構造上でモノイダル2階論理およびイベント記法を用いてアプリケーション仕様を形式化する。
• 仕様言語の意味論を意味的（denotational）に定義し、システム挙動に関する形式的推論を可能にする。
• 実行トレースを実時間でアプリケーションとその仕様と比較するランタイムモニタを実装する。
• 抽象化関係（状態、値、環境）を用いて、実行時の具体的な状態と抽象的仕様状態を比較する。
• 仮定/保証の推論を適用し、形式的検証のもとでモニタの健全性と完全性を証明する。
• 適切な抽象化レベルでのモジュラー仕様を活用することで、効率性とスケーラビリティを確保する。

実験結果

リサーチクエスチョン

• RQ1 誤検出なしに、アプリケーション仕様からの逸脱を健全かつ完全に検出できるランタイムセキュリティモニタを構築できるか？
• RQ2 モノイダル2階論理およびイベント記法で表現された形式的仕様は、複数の抽象化レベルでアプリケーション挙動をどのようにモデル化できるか？
• RQ3 異なる実装および仕様の抽象化レベル間で効率的なランタイム検証を実現するメカニズムは何か？
• RQ4 実行挙動を形式的仕様と比較することで、未知の攻撃をどのように検出できるか？
• RQ5 パフォーマンスの低下を伴わずに、レガシーサイレントおよび新規システムに適用可能か？

主な発見

• 提案されたモニタは健全性と完全性を達成しており、誤検出がなく、仕様からのすべての逸脱を検出する。
• 適切な抽象化レベルでのモジュラー仕様を活用することで、パフォーマンスのボトルネックを回避し、効率的に動作する。
• 形式的仕様言語により、既知および潜在的な攻撃計画のモデリングが可能となり、攻撃の特徴抽出と効果的な防御を支援する。
• 実装言語に依存せず、レガシーサイレントおよび新規システムの両方へ適用可能である。
• 仮定/保証契約に基づく証明戦略は、自動的なモニタ生成および準自動検証の基盤を提供する。
• 著者らは、Coqを用いて証明を機械化し、再利用可能で形式的に検証されたランタイムモニタ用の汎用ライブラリを構築する計画である。