[논문 리뷰] SIGDROP: Signature-based ROP Detection using Hardware Performance Counters

Xueyang Wang, Jerry Backer|arXiv (Cornell University)|2016. 09. 09.

Security and Verification in Computing참고 문헌 15인용 수 19

한 줄 요약

SIGDROP는 일반 프로세서의 하드웨어 성능 카운터(HPC)를 활용하여 리턴 오리엔티드 프로그래밍(ROP) 공격를 탐지하는 저비용의 하드웨어 기반 검출 메커니즘입니다. 이는 특히 높은 리턴 예측 실패 비율과 빈번한 짧은 거래물 시퀀스와 같은 고유한 하드웨어 이벤트 카운트 패턴을 식별함으로써 ROP 공격를 효과적으로 탐지합니다. 소스 코드, 바이너리 수정, 하드웨어 변경 없이도 평균 4.67%의 성능 오버헤드와 극히 낮은 스토리지 비용으로 작동합니다.

ABSTRACT

Return-Oriented Programming (ROP) is a software exploit for system compromise. By chaining short instruction sequences from existing code pieces, ROP can bypass static code-integrity checking approaches and non-executable page protections. Existing defenses either require access to source code or binary, a customized compiler or hardware modifications, or suffer from high performance and storage overhead. In this work, we propose SIGDROP, a low-cost approach for ROP detection which uses low-level properties inherent to ROP attacks. Specifically, we observe special patterns of certain hardware events when a ROP attack occurs during program execution. Such hardware event-based patterns form signatures to flag ROP attacks at runtime. SIGDROP leverages Hardware Performance Counters, which are already present in commodity processors, to efficiently capture and extract the signatures. Our evaluation demonstrates that SIGDROP can effectively detect ROP attacks with acceptable performance overhead and negligible storage overhead.

연구 동기 및 목표

• 기존 ROP 탐지 메커니즘의 한계, 즉 높은 성능 및 스토리지 오버헤드, 소스 코드 의존성, 하드웨어 수정 필요성 등을 해결하기 위해.
• 소프트웨어나 하드웨어 수정 없이도 탐지에 활용할 수 있는 ROP 공격의 저수준이고 본질적인 런타임 성질을 식별하기 위해.
• 임베디드 시스템 포함 다양한 일반 플랫폼에서 작동하는 이식성 있고 효율적이며 실용적인 ROP 탐지 솔루션을 설계하기 위해.
• 강력한 탐지 정확도를 유지하면서도 성능 및 스토리지 오버헤드를 최소화하기 위해.
• 바이너리 인스트루멘테이션이나 맞춤형 컴파일러 지원 없이도 기존 하드웨어 기능—특히 하드웨어 성능 카운터—만을 사용하여 런타임에서 ROP 공격를 탐지할 수 있도록 하기 위해.

제안 방법

• SIGDROP는 프로그램 실행 중 리턴 명령어 실행 및 분기 예측 이벤트와 관련된 특정 하드웨어 성능 카운터(HPC)를 모니터링합니다.
• 짧은 연결된 시퀀스 내에서 거래물당 지시어 수의 분포와 리턴 예측 실패 빈도를 기반으로 런타임 서명을 추출합니다.
• 임계값 기반 탐지 기법을 사용합니다: 모니터링 간격당 리턴 예측 실패 수가 사전 정의된 임계값 $T_M$를 초과하거나, 간격당 짧은 거래물 수가 $T_I$를 초과하면 잠재적 ROP 공격로 간주합니다.
• 탐지 논리는 ROP의 두 가지 본질적 성질에 기반합니다: (1) 지침 수가 적은 짧은 거래물의 높은 빈도, (2) 잘못된 리턴 타겟 예측으로 인한 빈번한 리턴 예측 실패.
• 이식성과 효율성을 확보하기 위해 바이너리나 소스 코드를 수정하지 않고도 런타임에서 작동하며, 단지 HPC 샘플링과 임계값 비교에 의존합니다.
• Linux 기반으로 경량 런타임 모듈로 구현되었으며, 커널과의 인터페이스를 통해 HPC 데이터를 수집하고 서명 일치 시 신뢰할 수 있는 모듈에 알립니다.

실험 결과

연구 질문

• RQ1 소스 코드나 바이너리 인스트루멘테이션 없이도 일반 하드웨어 성능 카운터 이벤트만으로 ROP 공격를 신뢰성 있게 탐지할 수 있는가?
• RQ2 ROP 실행 중에 일관되게 나타나는 특정 하드웨어 이벤트 패턴은 무엇이며, 이를 런타임 서명으로 활용할 수 있는가?
• RQ3 일반 HPC를 사용하는 서명 기반 탐지 메커니즘이 낮은 성능 및 스토리지 오버헤드를 유지하면서도 높은 탐지 정확도를 달성할 수 있는가?
• RQ4 SIGDROP의 성능 오버헤드는 기존 CFI 및 바이너리 인스트루멘테이션 기반 ROP 탐지 솔루션과 비교해 어떻게 되는가?
• RQ5 하드웨어나 소프트웨어 수정 없이도 다양한 프로세서 아키텍처(예: Intel, AMD, ARM) 간에 SIGDROP의 이식성은 어느 정도인가?

주요 결과

• SIGDROP는 특히 리턴 예측 실패와 짧은 거래물 시퀀스와 같은 하드웨어 성능 카운터 이벤트의 특징적 패턴을 식별함으로써 높은 정확도로 ROP 공격를 탐지합니다.
• 정수 SPEC CPU 2006 벤치마크에서 SIGDROP의 평균 성능 오버헤드는 단지 4.67%이며, ROPDefender의 2.17배 오버헤드보다 현저히 낮습니다.
• 스토리지 오버헤드는 극히 낮습니다—모니터링 중인 각 프로세스당 3바이트만 필요하며, 각 임계값은 단 1바이트만 소요됩니다.
• SIGDROP는 일반 플랫폼, 즉 데스크톱, 노트북, 임베디드 시스템 등에서 완전히 이식 가능합니다. 이는 광범위하게 제공되는 HPC에 의존하기 때문입니다.
• 소스 코드, 바이너리 재작성, 하드웨어 수정이 필요 없어 기존 시스템에서 실질적인 구현이 가능합니다.
• 메모리 레이아웃 가정에 의존하지 않기 때문에 정보 泄露나 JIT ROP 공격에 대해 탐지 메커니즘이 강건합니다.