[論文レビュー] Developing Theoretical Foundations for Runtime Enforcement

Ian Cassar, Adrian Francalanza+2 more|arXiv (Cornell University)|Apr 24, 2018

Formal Methods in Verification参考文献 5被引用数 6

ひとこと要約

この論文は、再帰を含むヘンネシー・ミラー論理（µHML）という非常に表現力の高い論理を用いて、実行時における監視器の自動合成の理論的基盤を構築する。µHML式の部分集合を同定し、それが実行時に強制可能であることを示すことで、安全特性を抑制に基づいて正しく強制する、正しい構築が保証された監視器の自動生成を可能にする。正しさと決定性に関する形式的保証が得られる。

ABSTRACT

The ubiquitous reliance on software systems increases the need for ensuring that systems behave correctly and are well protected against security risks. Runtime enforcement is a dynamic analysis technique that utilizes software monitors to check the runtime behaviour of a software system with respect to a correctness specification. Whenever the runtime behaviour of the monitored system is about to deviate from the specification (either due to a programming bug or a security hijack attack), the monitors apply enforcement techniques to prevent this deviation. Current Runtime Enforcement techniques require that the correctness specification defines the behaviour of the enforcement monitor itself. This burdens the specifier with not only having to define property that needs to be enforced, but also with having to specify how this should be enforced at runtime; we thus relieve the specifier from this burden by resorting to a highly expressive logic. Using a logic we allow the specifier to define the correctness specification as a logic formula from which we can automatically synthesise the appropriate enforcement monitor. Highly expressive logics can, however, permit for defining a wide variety of formulae, some of which cannot actually be enforced correctly at runtime. We thus study the enforceability of Hennessy Milner Logic with Recursion for which we identify a subset that allows for defining enforceable formulae. This allows us to define a synthesis function that translates enforceable formulae into enforcement monitors. As our monitors are meant to ensure the correct behaviour of the monitored system, it is imperative that they work correctly themselves. We thus study formal definitions that allow us to ensure that our enforcement monitors behave correctly.

研究の動機と目的

• 正しさの性質から監視器を自動合成することで、仕様作成者が強制監視器を手動で設計する負担を軽減すること。
• 実行時に強制可能であることが保証される、ヘンネシー・ミラー論理に再帰を追加した（µHML）式の部分集合を同定すること。
• 合成された強制監視器が決定的であり、安全特性を正しく強制することを形式的に検証すること。
• 論理的仕様に基づく強制のための理論的基盤を提供し、健全かつ透明な強制を実現すること。
• システムの性質の仕様と強制メカニズムを分離することで、モジュラーかつ正しい構築が保証される強制を実現すること。

提案手法

• 正しさの性質を表現するために論理的仕様言語（µHML）を用い、強制の実装を抽象化する。
• 任意の記号的HML式を、監視器の合成に適した正規形（sHMLnf）に変換する正規化手順を導入する。
• 強制可能な式を、記号的イベント処理と状態ベースの監視を介して、決定的強制監視器にマッピングする合成関数を採用する。
• 監視器の正しさと強制可能性を形式的に検証するために、双対性ゲームの特徴付けを適用する。
• 強力な強制可能性の形式的定義を確立し、健全性と透明性を含む。これにより、監視器が正しい実行を干渉しないことが保証される。
• 不動点意味論とラベル付き遷移系を用いて、システムと監視器の動作をモデル化し、実行時の動作について形式的推論を可能にする。

実験結果

リサーチクエスチョン

• RQ1 µHMLにおけるどの式が実行時に強制可能であり、その部分集合を形式的に特徴づけるにはどうすればよいか？
• RQ2 与えられた強制可能な論理式から、決定的強制監視器を自動的に合成するにはどうすればよいか？
• RQ3 合成された監視器が健全かつ透明であることを保証する形式的保証は何か？
• RQ4 強制メカニズムを性質仕様から分離することで、モジュラリティと正しさを向上させることは可能か？
• RQ5 監視器自体が正しく動作し、意図しない副作用を引き起こさないために必要な論理的および構造的制約は何か？

主な発見

• 論文は、µHMLの記法的部分集合が強制可能であることを同定し、論理的仕様から監視器を自動合成可能であることを示している。
• 意味を保持したまま式を正規化する手順が開発され、監視器の合成に適した正規形に変換可能である。
• 合成された強制監視器は、形式的に決定的であることが証明されており、すべての実行トレースにおいて予測可能な動作を保証する。
• 監視器は健全性が保証されている：指定された安全特性の違反を決して許可しない。
• 監視器は透明性が保証されている：正しいシステム動作に干渉せず、すべての有効な実行を保持する。
• このフレームワークは、性質仕様と強制論理を分離するための形式的基盤を提供し、正しい構築が保証された強制を実現する。