의미 기반 정적 분석과 규칙 명세 언어를 활용한 C/C++ 프로그램 보안 취약점 검출

국문 초록 (Abstract)

보안 취약점을 정적 분석으로 검출하는 것에는 여러 장점이 있지만 일반적으로 새로운 취약점 검출을 지원하기 위한 비용이 크다는 어려움이 있다. 검출 범위를 손쉽게 확장하기 위해 보안 취약점을 표현할 수 있는 방법을 정의하고 그 표현에 부합하는 프로그램을 검출하는 기술이 존재하지만 대개 프로그램의 모양에만 의존하거나 간단한 값 흐름 분석에만 적용할 수 있었다.
이런 점을 보완하기 위하여 보안 약점을 표현할 수 있는 규칙 명세 언어를 정의하고 이를 기반으로 취약점을 검출하는 요약 해석 기반 정적 분석 도구를 고안 및 구현하였다. 분석 대상 언어는 C/C++이며, 상용 정적 분석 도구에 포함된 C/C++ 분석 엔진을 기반으로 규칙 명세 언어 매칭 검사기를 구현했다. 대상 취약점은 CWE(Common Weakness Enumeration) 목록 중 적합한 17가지를 선별했다. 정오탐률 계산을 위해 자동생성한 테스트 셋을 대상으로 성능을 시험한 결과 정탐률은 61.4%, 오탐률은 7.5%로 집계되었다.

다국어 초록 (Multilingual Abstract)

In spite of a number of advantages to detecting security holes using static semantic analysis, new types of vulnerabilities are not easily detected by the existing static analyzers. Some technologies have defined mechanisms to identify security vulnerabilities and match them with the programs but they are based only on simple syntactic analysis or data-flow analysis.
We defined rule description language (RDL) to describe vulnerability rules and made a static analyzer based on abstract interpretation that detects the denoted defects in C/C++ programs. Implementation of the RDL matching engine was based on an existing commercial C/C++ static analysis tool. We selected 17 rules from the CWE (Common Weakness Enumeration) list that fit with RDL and static analysis. We evaluated the correctness of our tool with automatically generated test cases and the result showed 61.4% true positive and 7.5% false negative rates.

목차 (Table of Contents)

• 요약
• Abstract
• 1. 서론
• 2. 보안 취약점 규칙 명세 언어
• 3. RDL - 실행 의미 매칭 방법
• 4. 성능 시험
• 5. 관련 연구와의 비교
• 6. 결론 및 향후 연구 과제
• References

참고문헌 (Reference)

• 1 홍성문, "모바일 앱 소스코드 보안약점 자동탐지" 보안공학연구지원센터 14 (14): 91-102, 2017
• 2 David Brumley, "Towards automatic generation of vulnerability-based signatures" 15-, 2006
• 3 Julien Bertrane, "Static analysis by abstract interpretation of embedded critical software" 36 (36): 1-8, 2011
• 4 Hakjoo Oh, "Selective Context-Sensitivity Guided by Impact Pre-Analysis" 475-484, 2014
• 5 Hyunha Kim, "Rule-Based Source-Code Analysis For Detecting Security Vulnerabilities" 2009
• 6 Aske Simon Christensen, "Precise analysis of string expressions" 1-18, 2013
• 7 Logozzo, Francesco, "Pentagons : A weakly relational abstract domain for the efficient validation of array accesses" 75 (75): 796-807, 2010
• 8 Hakjoo Oh, "Global sparse analysis framework" 36 (36): 2014
• 9 CWE, "Common Weakness Enumeration"
• 10 Patrick Cousot, "Abstract interpretation:a unified lattice model for static analysis of programs by construction or approximation of fixpoints" 238-252, 1977