[논문 리뷰] Real time Detection of Spectre and Meltdown Attacks Using Machine Learning

Bilal Ali Ahmad|arXiv (Cornell University)|2020. 06. 02.

Security and Verification in Computing인용 수 15

한 줄 요약

이 논문은 하드웨어 성능 카운터(HPC)와 소프트웨어 성능 카운터(SPC)를 사용하여 사전 실행, 분기 예측, 캐시/페이지 장애 이상을 모니터링함으로써 실시간 기계학습 기반의 Spectre 및 Meltdown 공격 탐지 시스템을 제안한다. 이 시스템은 오직 2.11%의 성능 오버헤드로 99% 이상의 탐지 정확도를 달성하여, HPC/SPC 데이터 기반으로 기계학습을 사용하는 인텔 x86 아키텍처에서 Meltdown 공격에 대한 실시간 탐지 방법으로서 최초의 기여이다.

ABSTRACT

Recently discovered Spectre and meltdown attacks affects almost all processors by leaking confidential information to other processes through side-channel attacks. These vulnerabilities expose design flaws in the architecture of modern CPUs. To fix these design flaws, it is necessary to make changes in the hardware of modern processors which is a non-trivial task. Software mitigation techniques for these vulnerabilities cause significant performance degradation. In order to mitigate against Spectre and Meltdown attacks while retaining the performance benefits of modern processors, in this paper, we present a real-time detection mechanism for Spectre and Meltdown attacks by identifying the misuse of speculative execution and side-channel attacks. We use hardware performance counters and software events to monitor activity related to speculative execution, branch prediction, and cache interference. We use various machine learning models to analyze these events. These events produce a very distinctive pattern while the system is under attack; machine learning models are able to detect Meltdown and Spectre attacks under realistic load conditions with an accuracy of over 99%.

연구 동기 및 목표

• Spectre 및 Meltdown 공격에 대한 소프트웨어 방식의 완화 기법이 초래하는 심각한 성능 저하 문제를 해결하기 위해.
• 완전한 악성 이용이 발생하기 전에 악성 행동을 실시간으로 식별할 수 있는 탐지 메커니즘을 개발하기 위해.
• 사전 실행 및 캐시 간섭과 관련된 이상 현상을 탐지하기 위해 하드웨어 성능 카운터와 소프트웨어 이벤트를 활용하기 위해.
• 시스템 수준의 행동 패턴을 기반으로 훈련된 강력한 기계학습 모델을 통해 임의의 오진 및 빠짐을 최소화하기 위해.
• 지속적인 성능 비용 없이 시기적절한 완화를 가능하게 하는 경량이면서 고정확도의 탐지 레이어를 제공하기 위해.

제안 방법

• 시스템 운영 중 캐시 미스, 분기 잘못 예측, 지시어 수준 이상과 관련된 하드웨어 성능 카운터(HPC) 데이터를 수집한다.
• 특히 Meltdown 공격 기간 동안 크게 증가하는 페이지 장애를 포함한 소프트웨어 성능 카운터(SPC)를 모니터링한다.
• 선형 회귀(LR), 선형 판별 분석(LDA), 서포트 벡터 머신(SVM), 컨volutional 신경망(CNN)의 네 가지 기계학습 모델을 사용하여 프로세스를 정상 또는 악성으로 분류한다.
• 다양한 시스템 부하 조건에서 Spectre 버전 1, Spectre 버전 2, Meltdown 공격의 제어된 실행을 통해 레이블이 부여된 데이터를 기반으로 모델을 훈련한다.
• 탐지 반응성과 시스템 오버헤드의 균형을 맞추기 위해 고정된 샘플링 간격 100ms를 적용한다.
• 예측된 악성 프로세스를 조기 종료를 방지하기 위해 별도의 핸들러 애플리케이션으로 전달하여 오진 위험을 줄인다.

실험 결과

연구 질문

• RQ1 기계학습 모델은 하드웨어 및 소프트웨어 성능 카운터 데이터를 기반으로 실시간으로 Spectre 및 Meltdown 공격을 탐지할 수 있는가?
• RQ2 실제 시스템 부하 조건 하에서 다양한 기계학습 모델(LR, LDA, SVM, CNN)이 정상 프로세스와 악성 프로세스를 얼마나 잘 구분하는가?
• RQ3 특정 성능 카운터 패턴(예: 캐시 미스, 페이지 장애, 분기 잘못 예측) 중에서 Spectre 및 Meltdown 공격 이용에 가장 유의미한 것은 무엇인가?
• RQ4 시스템 부하의 변동성이 제안된 탐지 메커니즘의 탐지 정확도와 오버헤드에 어떤 영향을 미치는가?
• RQ5 하드웨어 성능 카운터의 비결정성 특성에도 불구하고 탐지 시스템이 오진과 빠짐을 최소화할 수 있는가?

주요 결과

• 제안된 탐지 시스템은 모든 테스트 부하 조건에서 Spectre 및 Meltdown 공격에 대해 99% 이상의 탐지 정확도를 달성한다.
• 정상 부하(NL) 조건에서 SVM은 99.97%의 최고 탐지 정확도를 기록했으며, 동일 조건에서 CNN은 99.43%의 정확도를 달성했다.
• 탐지 메커니즘의 성능 오버헤드는 최악의 경우 2.11%에 불과하여 런타임 영향이 최소임을 입증했다.
• 오진율은 최대 3.4%, 빠짐율은 최대 1.9%이며, 100ms 샘플링 간격 덕분에 두 오류 유형 모두 드물고 연속되지 않는다.
• LDA와 CNN은 다양한 시스템 부하 조건에서 일관된 성능을 보였으며, LR과 SVM은 고부하(AL) 및 혼합부하(FL) 조건에서 약간의 정확도 저하를 보였다.
• 이 연구는 HPC 및 SPC 데이터 기반 기계학습을 사용하는 인텔 x86 아키텍처에서 Meltdown 공격에 대한 실시간 탐지 메커니즘으로서 최초의 기여이며, 런타임 사이드채널 공격 탐지 분야에 새로운 기여를 한다.