[논문 리뷰] The Dynamics of Software Composition Analysis

Darius Foo, Jason Yeo외 2명|arXiv (Cornell University)|2019. 09. 03.

Software Engineering Research참고 문헌 26인용 수 4

한 줄 요약

이 논문은 소프트웨어 구성 분석(Software Composition Analysis, SCA)에서 정적 및 동적 콜 그래프를 조합하는 새로운 모듈식 접근법을 제안하여 취약성 탐지의 잘못된 경고(false positives)를 줄인다. 수동으로 캐릭터화한 취약성 전용 싱크와 사전 계산된 콜 체인, 그리고 인스트루멘테이션된 동적 콜 그래프를 통합함으로써 도달 가능성 분석을 향상시키고, 확장 가능한 CI/CD 친화적인 종속성 수정을 가능하게 하며, 실제 프로젝트에서 콜 그래프 정점 수가 평균 824% 증가하고 간선 수가 361% 증가하는 결과를 달성한다.

ABSTRACT

Developers today use significant amounts of open source code, surfacing the need for ways to automatically audit and upgrade library dependencies, and giving rise to the subfield of Software Composition Analysis (SCA). SCA products are concerned with three tasks: discovering dependencies, checking the reachability of vulnerable code for false positive elimination, and automated remediation. The latter two tasks rely on call graphs of application and library code to check whether vulnerability-specific sinks identified in libraries are used by applications. However, statically-constructed call graphs introduce both false positives and false negatives on real-world projects. In this paper, we develop a novel, modular means of combining call graphs derived from both static and dynamic analysis to improve the performance of false positive elimination. Our experiments indicate significant performance improvements.

연구 동기 및 목표

• 사용되지 않거나 도달 불가능한 전이 종속성으로 인해 발생하는 정적 콜 그래프 분석에서의 높은 잘못된 경고 비율을 해결한다.
• 인스트루멘테이션을 통해 실제 런타임 동작을 캡처함으로써 정적 및 동적 콜 그래프를 조합하여 취약성 도달 가능성 탐지 정확도를 향상시킨다.
• 제3자 라이브러리에 대한 콜 그래프 재구성 작업을 피하기 위해 콜 체인을 사전 계산하고 모듈식으로 구성함으로써 CI/CD 파이프라인에 통합 가능한 확장 가능한 분석 전략을 제공한다.
• 라이브러리 업그레이드 시 잠재적으로 파괴적인 변경 사항을 식별하기 위해 콜 그래프 정보를 보완한 의미적 차이(diff)를 사용하여 자동화된 수정을 지원한다.
• 동적 콜 그래프가 정적 분석만으로는 발견하지 못하는 취약한 메서드 콜 체인의 집합을 크게 확장함을 입증한다.

제안 방법

• 정적 매니페스트 기반 해석의 부정확성을 피하기 위해 패키지 매니저 내장된 동적 분석을 통합하여 전이 종속성을 정확히 탐지한다.
• 테스트 실행 중 인스트루멘테이션을 통해 동적 콜 그래프를 구축하여 실질적으로 실행되는 메서드 호출만을 캡처한다.
• 제3자 라이브러리에 대한 콜 체인을 사전 계산하고 모듈화하여 재사용성을 높이고 CI/CD 파이프라인 내 재계산 오버헤드를 줄인다.
• 정적 콜 체인과 동적 콜 그래프를 병합하여 정적 및 동적 콜 그래프를 조합하고, 유일한 제일사용자 진입점만을 유지하며 하이브리드 경로 추적을 가능하게 한다.
• 정밀도 향상을 위해 취약성 탐지에 수동으로 캐릭터화한 라이브러리 전용 싱크를 보강한다.
• 라이브러리 버전 간의 의미적 차이(diff)를 콜 그래프 정보로 보완하여 자동화된 수정 과정에서 파괴적인 변경 사항을 더 정밀하게 예측한다.

실험 결과

연구 질문

• RQ1 정적 및 동적 콜 그래프를 어떻게 효과적으로 조합하여 SCA에서 취약성 도달 가능성 탐지 정확도를 향상시킬 수 있는가?
• RQ2 정적 분석에 비해 동적 콜 그래프 인스트루멘테이션이 취약한 메서드 콜 체인의 발견에 얼마나 기여하는가?
• RQ3 모듈식이며 사전 계산된 콜 그래프 조합 전략은 CI/CD 파이프라인에 통합 가능한 확장 가능한 SCA 분석을 가능하게 하는가?
• RQ4 라이브러리 전용 수동 캐릭터화 싱크의 사용이 잘못된 경고 감소에 얼마나 기여하는가?
• RQ5 실제 대규모 자바 프로젝트에서 정적 및 동적 콜 그래프를 결합할 경우 성능 오버헤드와 확장성은 어떠한가?

주요 결과

• 실제 Maven 기반 자바 프로젝트 4개에 대해 동적 콜 그래프가 정적 콜 그래프 대비 평균 824% 더 많은 정점과 361% 더 많은 간선을 제공했다.
• 하이브리드 접근법은 상당히 더 많은 도달 가능한 취약 메서드를 발견했으며, 한 프로젝트(예: helios)에서는 정적 싱크 1개에 비해 동적 싱크 3616개를 탐지했다.
• 이 방법은 생산 환경 실행 경로에서 실제로 도달 가능한 라이브러리 메서드들만 정확히 식별함으로써 잘못된 경고를 줄였다.
• 콜 그래프의 모듈식 조합 덕분에 분석이 평균적으로 수분 내에 완료되어 CI/CD 파이프라인 통합이 가능했다.
• 더 높은 테스트 커버리지를 가진 프로젝트에서 더 크고 정확도가 높은 동적 콜 그래프가 생성되어 더 나은 취약성 탐지 결과를 이끌어냈다.
• 콜 그래프 정보로 보완된 의미적 차이(diff)를 사용함으로써 자동화된 수정의 정밀도가 향상되어 잠재적인 파괴적 변경 사항을 더 정밀하게 식별할 수 있었다.