[논문 리뷰] Artificial Intelligence Techniques for Security Vulnerability Prevention

Steve Kommrusch|arXiv (Cornell University)|2019. 12. 14.

Advanced Malware Detection Techniques참고 문헌 17인용 수 5

한 줄 요약

이 논문은 소프트웨어 배포 이전에 보안 취약점을 탐지하고 방지하기 위해 인공지능 기법—특히 머신러닝과 자연어 처리(NLP)—를 조사한다. 방법을 취약점 탐지, 복구, 사양 분석으로 분류하며, AI가 수동 검토를 최대 95% 감소시킬 수 있지만 여전히 철저한 개발 관행을 대체하기보다는 보조 도구에 그친다는 점을 보여준다.

ABSTRACT

Computer security has been a concern for decades and artificial intelligence techniques have been applied to the area for nearly as long. Most of the techniques are being applied to the detection of attacks to running systems, but recent improvements in machine learning (for example, in natural language processing) have enabled the opportunity to process software and specifications to detect vulnerabilities in a system before it is deployed. This paper presents a survey of artificial intelligence techniques (including machine learning) to detect or repair security vulnerabilities before product introduction. In the surveyed papers, techniques are presented for using NLP to analyze requirements documents for security standard completeness, performing neural fuzz testing of software, generating exploits to detect risk, and more. We categorize current techniques into 3 groups: vulnerability detection, vulnerability repair, and specification analysis. Generally, while AI techniques have become quite useful in this area, we show that AI techniques still tend to be limited in scope, providing a collection of tools which can augment but not replace careful system development to reduce vulnerability risks.

연구 동기 및 목표

• 소프트웨어 배포 이전에 보안 취약점을 방지하는 데 기여하는 AI 기반 접근법을 식별하고 분류하는 것.
• 소스 코드, 바이너리 코드, 시스템 사양에서 취약점을 탐지하는 데 있어 AI 기법의 효과성을 평가하는 것.
• 요구사항 및 설계 문서와 같은 초기 단계의 보안 분석을 자동화하고 향상시키는 데 있어 AI의 잠재력을 평가하는 것.
• 현재 AI 방법의 인간 전문 지식을 대체하는 데서의 한계를 규명하는 것.

제안 방법

• 2008년부터 2018년까지의 동료 심사 및 비동료 심사 논문을 대상으로 한 서베이 기반 접근법을 사용하여, 취약점 방지에 응용된 AI 기법을 분석한다.
• 기술을 세 영역으로 분류한다: 취약점 탐지(예: 코드 성질 그래프, 신경망 기반 퍼지 테스팅), 복구(예: 코드 변환 학습), 사양 분석(예: 요구사항 문서에 대한 NLP).
• 이동형 애플리케이션의 설명 및 권한을 분석하기 위해 품사 태깅, 명명된 실체 인식, 의미 그래프 구축과 같은 NLP 기법을 적용한다.
• 코드 성질 그래프와 보안 표준 개념 그래프를 기반으로 훈련된 SVM, 결정 트리, 신경망과 같은 머신러닝 모델을 사용한다.
• 비지도 학습과 군집화를 활용해 코드에서 이질성을 탐지함으로써 한 연구에서는 수동 검토가 95% 감소하였다.
• 요구사항 문서를 ISO, OWASP, PCI 보안 기준과 비교하기 위해 개념 그래프와 신경망을 사용하여 누락된 보안 제어를 탐지한다.

실험 결과

연구 질문

• RQ1 AI 기법을 사용하여 소프트웨어 배포 이전에 소스 코드의 보안 취약점을 어떻게 탐지할 수 있는가?
• RQ2 AI가 식별된 보안 결함을 자동으로 복구할 수 있는 정도는 어느 정도인가?
• RQ3 NLP는 요구사항 문서의 완전성과 보안 기준과의 일치 여부를 효과적으로 분석할 수 있는가?
• RQ4 현재 AI 기반 접근법이 보안 소프트웨어 개발에서 인간 전문 지식을 대체하는 데서의 한계는 무엇인가?

주요 결과

• 비지도 학습과 군집화 기법은 한 연구에서 수동 검토가 필요한 코드 세그먼트 수를 95% 감소시켜 취약점 탐지 효율성이 매우 높다는 점을 입증하였다.
• 요구사항 문서에 대한 NLP 기반 분석은 ISO 및 OWASP 기준과 비교해 누락된 보안 제어를 탐지하는 데 89%의 정확도를 달성하였다.
• 벡터 공간에 임bedded된 코드 성질 그래프 기반 기법은 머신러닝을 활용해 취약한 코드 패턴을 효과적으로 탐지할 수 있었다.
• 딥러닝을 활용한 신경망 기반 퍼지 테스팅 및 악용 생성 기법은 소프트웨어에서 이전에 알려지지 않은 취약점을 발견하는 데 유망한 성과를 보였다.
• AI 기법은 수동 작업을 크게 줄였지만 여전히 범위에 한계가 있으며, 철저한 시스템 설계와 인간 검토를 완전히 대체할 수는 없다.
• 개념 그래프와 NLP를 활용한 사양 분석은 사용자 기대와 앱 권한 사이의 격차를 메우며 이동형 애플리케이션 배포 시 리스크를 감소시켰다.