[논문 리뷰] Developing Theoretical Foundations for Runtime Enforcement

Ian Cassar, Adrian Francalanza외 2명|arXiv (Cornell University)|2018. 04. 24.

Formal Methods in Verification참고 문헌 5인용 수 6

한 줄 요약

이 논문은 매우 표현력이 뛰어난 논리인 재귀를 포함한 헨니시-밀너 논리(µHML)를 사용하여 런타임 강제 모니터의 자동 합성에 대한 이론적 기반을 구축한다. 강제 가능성을 보장하는 µHML 공식의 부분집합을 규명함으로써, 억압 기반 강제를 통해 안전성 성질을 보장하는 정확한 빌드-타임 모니터를 자동으로 생성할 수 있으며, 정확성과 결정성에 대한 형식적 보장을 제공한다.

ABSTRACT

The ubiquitous reliance on software systems increases the need for ensuring that systems behave correctly and are well protected against security risks. Runtime enforcement is a dynamic analysis technique that utilizes software monitors to check the runtime behaviour of a software system with respect to a correctness specification. Whenever the runtime behaviour of the monitored system is about to deviate from the specification (either due to a programming bug or a security hijack attack), the monitors apply enforcement techniques to prevent this deviation. Current Runtime Enforcement techniques require that the correctness specification defines the behaviour of the enforcement monitor itself. This burdens the specifier with not only having to define property that needs to be enforced, but also with having to specify how this should be enforced at runtime; we thus relieve the specifier from this burden by resorting to a highly expressive logic. Using a logic we allow the specifier to define the correctness specification as a logic formula from which we can automatically synthesise the appropriate enforcement monitor. Highly expressive logics can, however, permit for defining a wide variety of formulae, some of which cannot actually be enforced correctly at runtime. We thus study the enforceability of Hennessy Milner Logic with Recursion for which we identify a subset that allows for defining enforceable formulae. This allows us to define a synthesis function that translates enforceable formulae into enforcement monitors. As our monitors are meant to ensure the correct behaviour of the monitored system, it is imperative that they work correctly themselves. We thus study formal definitions that allow us to ensure that our enforcement monitors behave correctly.

연구 동기 및 목표

• 사양 작성자가 수동으로 강제 모니터를 설계하는 것을 덜어내기 위해 정확성 성질에서 모니터 합성을 자동화한다.
• 런타임에서 강제 가능성을 보장하는 헨니시-밀너 논리에 재귀를 포함한(µHML) 공식의 부분집합을 규명한다.
• 합성된 강제 모니터가 결정적임을 물론, 안전성 성질을 정확하게 강제함을 형식적으로 검증한다.
• 논리 기반 사양을 사용한 신뢰할 수 있고 투명한 강제의 이론적 기반을 제공한다.
• 시스템 성질의 사양과 강제 메커니즘을 분리하여 모듈성과 정확한 빌드-타임 강제를 가능하게 한다.

제안 방법

• 정확성 성질을 표현하기 위해 논리 기반 사양 언어(µHML)를 사용하여 강제 구현을 추상화한다.
• 임의의 기호적 HML 공식을 효과적인 모니터 합성을 가능하게 하는 정규형(sHMLnf)으로 변환하기 위한 정규화 절차를 도입한다.
• 기호적 이벤트 처리와 상태 기반 모니터링을 통해 강제 가능한 공식을 결정적 강제 모니터로 매핑하는 합성 함수를 활용한다.
• 형식적으로 모니터의 정확성과 강제 가능성을 검증하기 위해 이분화 게임 특성화를 적용한다.
• 강력한 강제 가능성의 형식적 정의를 수립하며, 이는 정확성과 투명성을 포함하여 모니터가 올바른 실행을 방해하지 않음을 보장한다.
• 고정점 의미론과 표식 전이 시스템을 사용하여 시스템과 모니터의 동작을 모델링함으로써 런타임 동작에 대한 형식적 추론을 가능하게 한다.

실험 결과

연구 질문

• RQ1 µHML의 어떤 공식들이 런타임에서 강제 가능하며, 이를 형식적으로 특성화할 수 있는가?
• RQ2 주어진 강제 가능한 논리 공식에서 결정적 강제 모니터를 자동으로 합성할 수 있는가?
• RQ3 합성된 모니터가 정확하고 투명함을 보장할 수 있는 형식적 보장은 무엇인가?
• RQ4 강제 메커니즘을 성질 사양에서 분리하여 모듈성과 정확성을 향상시킬 수 있는가?
• RQ5 모니터 자체가 정확하게 동작하고 의도하지 않은 부작용을 유발하지 않도록 보장하기 위한 논리적 및 구조적 제약 조건은 무엇인가?

주요 결과

• 논문은 강제 가능한 문법적 부분집합을 규명하여 논리적 사양에서 모니터를 자동으로 합성할 수 있도록 한다.
• 의미를 유지하면서도 모니터 합성에 적합한 정규형으로 공식을 변환할 수 있는 정규화 절차를 개발하였다.
• 합성된 강제 모니터는 결정적임이 형식적으로 증명되어 모든 실행 트레이스에서 예측 가능한 동작을 보장한다.
• 모니터는 정확함이 증명되어 있다: 지정된 안전성 성질의 위반을 절대 허용하지 않는다.
• 모니터는 투명함이 증명되어 있다: 정상적인 시스템 동작에 간섭하지 않으며, 모든 유효한 실행을 유지한다.
• 이 프레임워크는 성질 사양과 강제 논리의 분리를 위한 형식적 기반을 제공하여, 정확한 빌드-타임 강제를 가능하게 한다.