[논문 리뷰] XFL: eXtreme Function Labeling

James Patrick-Evans, Moritz Dannehl외 1명|arXiv (Cornell University)|2021. 07. 28.

Software Engineering Research참고 문헌 33인용 수 7

한 줄 요약

이 논문은 바이너리 코드의 기능 이름을 예측하기 위해 기능 이름의 각 토큰을 레이블로 간주하는 극단적 다중 레이블 학습 프레임워크인 XFL을 제안한다. DEXTER는 정적 분석 특징과 로컬 및 글로벌 코드 컨텍스트를 결합한 기능 임베딩을 도입하여 10,000개 바이너리 데이터셋에서 82.5%의 정밀도를 달성하며, 최신 기술을 능가한다.

ABSTRACT

Reverse engineers would benefit from identifiers like function names, but these are usually unavailable in binaries. Training a machine learning model to predict function names automatically is promising but fundamentally hard due to the enormous number of classes. In this paper, we introduce eXtreme Function Labeling (XFL), an extreme multi-label learning approach to selecting appropriate labels for binary functions. XFL splits function names into tokens, treating each as an informative label akin to the problem of tagging texts in natural language. To capture the semantics of binary code, we introduce DEXTER, a novel function embedding that combines static analysis-based features with local context from the call graph and global context from the entire binary. We demonstrate that XFL outperforms state-of-the-art approaches to function labeling on a dataset of over 10,000 binaries from the Debian project, achieving a precision of 82.5%. We also study combinations of XFL with different published embeddings for binary functions and show that DEXTER consistently improves over the state of the art in information gain. As a result, we are able to show that binary function labeling is best phrased in terms of multi-label learning, and that binary function embeddings benefit from moving beyond just learning from syntax.

연구 동기 및 목표

• 기본적으로 누락되어 있는 바이너리에서 의미 있는 기능 이름을 예측하는 데 도전하는 것.
• 기능 이름 부여 문제에서 극단적인 클래스 불균형을 해결하기 위해 이를 다중 레이블 학습 문제로 재정의하는 것.
• 로컬(콜 그래프) 및 글로벌(전체 바이너리) 코드 컨텍스트를 통합하여 기능 임베딩 품질을 향상시키는 것.
• 역공학에서 기능 레이블링에 다중 레이블 학습이 단일 레이블 접근보다 더 효과적인지 보여주는 것.
• DEXTER 임베딩이 다양한 바이너리 기능 임베딩 기반 모델에서 일관되게 성능을 향상시키는지 보여주는 것.

제안 방법

• XFL은 기능 이름의 각 단어를 별도의 레이블로 간주하여 기능 이름 예측을 다중 레이블 분류 문제로 변환한다.
• DEXTER는 정적 분석 특징과 콜 그래프에서의 로컬 컨텍스트, 전체 바이너리에서의 글로벌 컨텍스트를 결합하여 기능 임베딩을 생성한다.
• 모델은 코드 구조와 관계성으로부터 의미를 포착하는 표현을 학습하기 위해 딥 네ural 네트워크를 사용한다.
• 각 이름의 토큰에 대한 확률을 출력하는 다중 레이블 분류 헤드를 사용하여 레이블 예측을 수행한다.
• 프레임워크는 델리티아 프로젝트의 10,000개 바이너리로 구성된 대규모 데이터셋에서 엔드 투 엔드로 훈련된다.
• 성능 평가는 k=1일 때의 정밀도 및 레이블 품질을 측정하기 위한 정보 이득을 사용한다.

실험 결과

연구 질문

• RQ1 바이너리에서의 기능 이름 예측을 극단적 다중 레이블 학습 문제로 효과적으로 모델링할 수 있는가?
• RQ2 로컬 및 글로벌 코드 컨텍스트를 통합함으로써 기능 이름 예측을 위한 기능 임베딩 품질은 어떻게 향상되는가?
• RQ3 DEXTER는 기존의 기능 임베딩 방법보다 의미 있는 기능 이름 토큰 예측에서 더 우수한 성능을 보일 수 있는가?
• RQ4 다중 레이블 학습은 단일 레이블 접근 방식에 비해 기능 레이블링 정확도를 어느 정도 향상시키는가?
• RQ5 DEXTER 임베딩은 다양한 바이너리 분석 작업과 데이터셋에 대해 얼마나 일반화 가능한가?

주요 결과

• XFL은 델리티아 바이너리 데이터셋에서 82.5%의 정밀도를 달성하여 최신 기술을 크게 능가한다.
• DEXTER 임베딩는 다양한 기반 기능 임베딩에서 일관되게 정보 이득을 향상시켜 강건성과 효과성을 입증한다.
• 전체 바이너리 컨텍스트 통합은 기능 표현을 향상시켜 문법적 또는 로컬 컨텍스트만 사용하는 모델보다 더 나은 레이블 예측을 이끌어낸다.
• 다중 레이블 학습 공식은 단일 레이블 대안보다 더 정확하고 의미적으로 유의미한 기능 이름 예측을 가능하게 한다.
• 토큰 수준의 레이블 사용은 고도로 복잡한 다중 단어 기능 이름을 높은 정밀도로 예측할 수 있도록 한다.
• 결과는 기능 레이블링이 다중 레이블 문제로 접근하는 것이 가장 바람직하며, 문맥적 의미는 문법적 특징을 초월해야 한다는 것을 보여준다.