[論文レビュー] The Dynamics of Software Composition Analysis

Darius Foo, Jason Yeo+2 more|arXiv (Cornell University)|Sep 3, 2019

Software Engineering Research参考文献 26被引用数 4

ひとこと要約

本稿では、ソフトウェアコンposition分析（SCA）における静的および動的コールグラフを組み合わせる、新規でモジュラーなアプローチを提案する。このアプローチにより、脆弱性検出における誤検出を低減する。手動でカスタマイズされた、脆弱性固有のシンクと、事前に計算されたコールチェーン、およびインストルメンテーションされた動的コールグラフを統合することで、到達可能性解析の精度が向上し、CI/CDフレンドリーなスケーラブルな依存関係修復が可能になる。実世界のプロジェクトにおいて、コールグラフの頂点が平均で824%増加し、エッジが361%増加した。

ABSTRACT

Developers today use significant amounts of open source code, surfacing the need for ways to automatically audit and upgrade library dependencies, and giving rise to the subfield of Software Composition Analysis (SCA). SCA products are concerned with three tasks: discovering dependencies, checking the reachability of vulnerable code for false positive elimination, and automated remediation. The latter two tasks rely on call graphs of application and library code to check whether vulnerability-specific sinks identified in libraries are used by applications. However, statically-constructed call graphs introduce both false positives and false negatives on real-world projects. In this paper, we develop a novel, modular means of combining call graphs derived from both static and dynamic analysis to improve the performance of false positive elimination. Our experiments indicate significant performance improvements.

研究の動機と目的

• 静的コールグラフ解析におけるソフトウェアコンポジション分析（SCA）における誤検出率の高さ、特に使用されないか到達不能な推移的依存関係に起因する問題に対処する。
• インストルメンテーションを活用して実実行時の挙動を捉えることで、静的および動的コールグラフを統合し、脆弱性の到達可能性検出の精度を向上させる。
• 第三者ライブラリのためのコールチェーンを事前に計算し、オンデマンドでのコールグラフ再構築を回避することで、CI/CDパイプラインに統合可能なスケーラブルかつモジュラーな分析を実現する。
• ライブラリのアップグレード時に潜在的に破壊的変更を特定するために、コールグラフを補完する意味的差分（semantic diffs）を活用し、自動修復を支援する。
• 動的コールグラフが、単独の静的解析に比べて、脆弱なメソッドコールチェーンの発見範囲を顕著に拡大することを実証する。

提案手法

• パッケージマネージャーに埋め込まれた動的解析を統合し、静的マニフェストベースの解決による不正確さを回避する。
• テスト実行中にインストルメンテーションを用いて動的コールグラフを構築し、実行時に観測されたのみの実行可能で妥当なメソッド呼び出しを捉える。
• 第三者ライブラリのためのコールチェーンを事前に計算・モジュラー化し、再利用性を高め、CI/CDパイプラインにおける再計算オーバーヘッドを低減する。
• 静的コールチェーンと動的コールグラフを統合して静的および動的コールグラフを合成し、最初にプライベートエントリポイントのみを保持し、ハイブリッドパストレースを可能にする。
• 脆弱性検出を向上させるために、手動でカスタマイズされた、ライブラリ固有のシンクを強化する。
• ライブラリバージョン間の意味的差分（semantic diffs）にコールグラフ情報を付加し、自動修復プロセスにおける破壊的変更の予測精度を向上させる。

実験結果

リサーチクエスチョン

• RQ1 静的および動的コールグラフを効果的に統合することで、SCAにおける脆弱性の到達可能性検出の精度をどのように向上させられるか？
• RQ2 静的解析に比べ、動的コールグラフのインストルメンテーションは、脆弱なメソッドコールチェーンの発見範囲をどの程度拡大するか？
• RQ3 事前に計算されたモジュラーなコールグラフ統合戦略は、CI/CDパイプラインに統合可能なスケーラブルなSCA解析を実現できるか？
• RQ4 ライブラリ固有の手動でカスタマイズされたシンクの使用は、脆弱性検出における誤検出の低減にどの程度寄与するか？
• RQ5 実世界の大型Javaプロジェクトにおいて、動的および静的コールグラフを統合する際のパフォーマンスオーバーヘッドとスケーラビリティはどの程度か？

主な発見

• 動的コールグラフは、4つの実世界のMavenベースのJavaプロジェクトにおいて、静的コールグラフと比較して平均で824%の頂点増加と361%のエッジ増加を示した。
• ハイブリッドアプローチは、1つのプロジェクト（例：helios）で最大3616の動的シンクを発見したのに対し、静的シンクはたった1つにとどまった。
• 本手法により、本番環境の実行パスに実際に到達可能なライブラリメソッドのみを正確に特定することで、誤検出が低減された。
• コールグラフのモジュラーな統合により、平均して数分で分析が完了し、CI/CDパイプラインへの統合が現実可能になった。
• 高いテストカバレッジを持つプロジェクトでは、より大規模かつ正確な動的コールグラフが得られ、結果として脆弱性検出の精度が向上した。
• コールグラフを補完する意味的差分（semantic diffs）の使用により、破壊的変更をより高精度に特定でき、自動修復の精度が向上した。