[論文レビュー] Taming the War in Memory: A Resilient Mitigation Strategy Against Memory Safety Attacks in CPS

Eyasu Getahun Chekole, Unnikrishnan Cheramangalath+3 more|arXiv (Cornell University)|Sep 20, 2018

Security and Verification in Computing参考文献 29被引用数 4

ひとこと要約

CIMAは、実行時における不正メモリアクセスの動的検出とバイパスにより、サイバー物理システム（CPS）におけるメモリ安全攻撃を軽量で耐障害性のある手法で防止する。実行時オーバーヘッドはわずか8.06%であり、システムの可用性と物理状態の耐障害性を確保する。この手法はコンパイラベースの制御フロー変換と実行時監視により実現され、攻撃下でも継続的な動作が可能となる。

ABSTRACT

Memory-safety attacks have been one of the most critical threats against computing systems. Although a wide-range of defense techniques have been developed against these attacks, the existing mitigation strategies have several limitations. In particular, most of the existing mitigation approaches are based on aborting or restarting the victim program when a memory-safety attack is detected, thus making the system unavailable. This might not be acceptable in systems with stringent timing constraints, such as cyber-physical systems (CPS), since the system unavailability leaves the control system in an unsafe state. To address this problem, we propose CIMA -- a resilient and light-weight mitigation technique that prevents invalid memory accesses at runtime. CIMA manipulates the compiler-generated control flow graph to automatically detect and bypass unsafe memory accesses at runtime, thereby mitigating memory-safety attacks along the process. An appealing feature of CIMA is that it also ensures system availability and resilience of the CPS even under the presence of memory-safety attacks. To this end, we design our experimental setup based on a realistic Secure Water Treatment (SWaT) and Secure Urban Transportation System (SecUTS) testbeds and evaluate the effectiveness and the efficiency of our approach. The experimental results reveal that CIMA handles memory-safety attacks effectively with low overhead. Moreover, it meets the real-time constraints and physical-state resiliency of the CPS under test.

研究の動機と目的

• 攻撃検出時にシステムを停止または再起動する既存のメモリ安全防御の重大な制限（時間的に重要なCPSにおける可用性の損なわれること）を是正する。
• メモリ安全攻撃中でも物理状態の安定性とリアルタイム制約を維持することで、CPSにおけるシステムの耐障害性を実現する。
• チェックポイントやフルシステム再起動の高コストを回避する、軽量でコンパイラ統合型のソリューションを開発する。
• 安全でない環境におけるシステムクラッシュや不安全な制御状態を引き起こさないよう、メモリ安全脆弱性の影響を防止する。

提案手法

• すべてのメモリアクセスの前に条件付きチェックを挿入するように、コンパイラ生成の制御フロー図を変更し、実行時に不正アクセスを検出する。
• メモリアクセス違反が検出された場合、CIMAは実行を停止するのではなく、不正命令をスキップすることで、システムの可用性を保持する。
• 静的コンパイル時インストルメンテーションと動的実行時監視を組み合わせたハイブリッドアプローチを用い、不正操作の検出とバイパスを実現する。
• 主流のコンパイラ内でプログラムの制御フローを変換することで、機能的正しさを損なわずに不正命令の安全なバイパスを可能にする。
• AddressSanitizer（ASan）を検出バックエンドとして活用し、メモリ安全エラーを特定する一方、CIMAは実行バイパスによる緩和処理を担当する。
• 実際のCPSテストベッド（Open-SWaTおよびOpen-SecUTS）を用いて、厳密なタイミング制約と物理的ダイナミクス制約を模倣した環境で、アプローチの設計と評価を実施する。

実験結果

リサーチクエスチョン

• RQ1 攻撃検出時にシステムの停止や再起動を行わず、可用性を維持できる緩和戦略は、時間的に重要なCPSにおいて実現可能か？
• RQ2 コンパイラベースの実行時バイパス機構は、CPSにおけるメモリ安全攻撃下でも物理状態の耐障害性をどの程度維持できるか？
• RQ3 実行を停止するのではなく不正命令をスキップする実行時緩和戦略の性能オーバーヘッドはどの程度か？
• RQ4 時間制約と物理的ダイナミクス制約が厳しい実世界のCPSテストベッドにおいて、提案手法の有効性はいかがなものか？

主な発見

• CIMAは、わずか8.06%の実行時オーバーヘッドでCPSにおけるメモリ安全攻撃を効果的に緩和し、高い効率性を示した。
• Open-SWaTおよびOpen-SecUTSテストベッドでの検証により、CIMAは、メモリ安全攻撃を受けた場合でもリアルタイム制約と物理状態の耐障害性を維持していることが確認された。
• CIMAは、システムの停止を回避し、不正メモリアクセスをスキップすることで、システムの可用性を確保し、再起動による不安全な状態の発生を防いでいる。
• 水処理や都市交通システムを含む多様なCPSワークロードにおいて、最小限の性能劣化で有効であることが確認された。
• ASanを検出バックエンドとして採用しているため、既存のメモリ安全検出ツールの改善を継承し、恩恵を受けることができる。
• 本ソリューションは汎用的かつ拡張可能であり、将来的にCIMAの実行時レポートを活用してコード修正を自動化するライブパッチ統合にも応用可能である。