[논문]실행코드 취약점 분석 프로세스 방법론

황성운

doi:10.7236/jiwit.2012.12.5.237

초록
AI-Helper

공격 대상 소프트웨어의 취약점을 악용한 사이버 공격이 급속히 증가하여 왔다. 그러나, 이러한 취약점을 탐지하고 대처하는 것은 매우 어렵고 시간이 많이 걸리는 작업이다. 이 문제를 효과적으로 대응하기 위하여, 본 논문에서는 실행코드 상에서의 체계적인 보안 취약점 분석 프로세스 방법론을 제시한다. 구체적으로, 본 연구진은 기존 취약점을 웹 환경 유무, 대상 소프트웨어 특성 등을 고려하여 분류하고 취약점 리스트 및 범위를 결정하는 접근법을 택하였다. 향후 연구 방향으로는 현재 도출된 방법론을 좀 더 구체화하고 검증하는 과정이 필요하다.

Abstract ▼ AI-Helper

Cyber attacks have rapidly increased by exploiting the underlying vulnerabilities in the target software. However, identifying and correcting these vulnerabilities are extremely difficult and time consuming tasks. To address these problems efficiently, we propose a systematic methodology for securit...

Cyber attacks have rapidly increased by exploiting the underlying vulnerabilities in the target software. However, identifying and correcting these vulnerabilities are extremely difficult and time consuming tasks. To address these problems efficiently, we propose a systematic methodology for security vulnerability assessment process on binary code in the paper. Specifically, we first classified the existing vulnerabilities based on whether the target software run in a Web environment and features of the software. Based on the classification, we determined the list and scope of the vulnerabilities. As our future research direction, we need to further refine and validate our methodology.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

예를 들어 퍼징의 결과로 오버플로우가 발생하여 레지스터 영역을 침범하는 경우가 발생하였다면 상세 분석을 통해 확실히 취약점으로 발현될 수 있다고 판단할 수 있다. 다른 경우들도 마찬가지로 상세 분석을 통하여 취약점으로 발현될 수 있는지를 판단한다. 리뷰를 하기 전에 자체적으로 취약점 발현 여부에 대한 판단이 가능하나 리뷰를 함으로써 오진을 감소시킬 수 있다.
본 연구의 목표는 상용 소프트웨어의 보안 취약점의 다양한 유형을 분석하고, 취약할 수 있는 부분을 효과적으로 찾으며, 취약할 수 있는 부분이 실제 취약점으로 나타나는지 검증할 수 있는 취약성 분석 프로세스를 개발하는 것이다.

제안 방법

다음에서는 분석 프로세스를 구성하는 각 부분들을 자세히 설명한다. 또한 각 프로세스에 대한 이해를 돕기 위해 본 연구에서 사용된 취약점 분석 대상 소프트웨어 A, B를 대상으로 중심으로 관련 사례를 제시하였다. 참고로 A, B는 각각 세계적으로 유명한 메신저 프로그램 및 압축 프로그램이다.
본 연구에서는 취약 가능성과 발현 가능성이 높은 곳을 발견하기 위해 퍼징을 수행하기 전에 먼저 테인팅 기법을 도입하였다. 여기서 발현 가능성이 높은 기준 중 하나로 코드 커버리지 (coverage) 개념을 사용하였다.
해당 프로그램을 취약점 DB에서 검색했으나 직접적인 정보가 별로 없다면 분석 대상 프로그램과 유사한 프로그램의 취약점 정보를 검색하는 것이 도움을 줄 수 있다. 실제 본 연구에서도 실험 대상 관련 취약점 분석 정보가 많지 않아서 유사 프로그램 취약점 분석 정보를 조사하고 활용하였다.
본 연구에서는 취약 가능성과 발현 가능성이 높은 곳을 발견하기 위해 퍼징을 수행하기 전에 먼저 테인팅 기법을 도입하였다. 여기서 발현 가능성이 높은 기준 중 하나로 코드 커버리지 (coverage) 개념을 사용하였다. 즉, 외부 입력 발생시 취약 가능성이 높은 부분이라 하더라도 코드 커버리지에 속하지 않으면 실행되지 않으므로 취약점이 발현될 수 없다.
또한 분석을 위해서는 기존에 알려진 취약점을 분석해야 하는데 기존 취약점 규모 또한 방대한 것도 연구를 시작하는데 어려움을 준다. 이러한 문제점들을 해결하기 위해, 본 연구진은 기존 취약점을 웹 환경 유무, 대상 소프트웨어 특성 등을 고려하여 분류하고 여기에 우선순위를 두어 앞으로 연구할 취약점 리스트 및 범위를 결정하는 접근법을 택하였다.
따라서 외부 입력시 코드 커버리지에 속하는 부분을 알아내기 위해서 테인팅 기법을 활용하였다. 즉, 실행코드 상에서 외부로부터 입력된 데이터가 어떻게 흘러가는지를 테인팅 기법을 이용해 발현 가능성이 높은 취약점 후보 집합을 찾아내고 이 부분을 대상으로 실제적으로 퍼징을 적용함으로써 취약점을 검증하였다. 즉, 테인팅/퍼징 기법을 통한 자동화된 분석 기법을 적용한 결과 수동 분석에 비해 비교할 수 없을 정도로 빠른 시간 안에 두 배 이상의 취약점을 발견할 수 있음을 확인할 수 있었다.

이론/모형

즉, 외부 입력 발생시 취약 가능성이 높은 부분이라 하더라도 코드 커버리지에 속하지 않으면 실행되지 않으므로 취약점이 발현될 수 없다. 따라서 외부 입력시 코드 커버리지에 속하는 부분을 알아내기 위해서 테인팅 기법을 활용하였다. 즉, 실행코드 상에서 외부로부터 입력된 데이터가 어떻게 흘러가는지를 테인팅 기법을 이용해 발현 가능성이 높은 취약점 후보 집합을 찾아내고 이 부분을 대상으로 실제적으로 퍼징을 적용함으로써 취약점을 검증하였다.
라는 정적 분석 도구를 이용해서 분석한 결과, 아래 그림과 같이 위와 아래 그림 각각에서 SEH overwrite 및 접근 위반(access violation)이 발생하는 것을 확인하였다 (CWE120). 본 실험에서는 Corelan팀 ^[11]에서 개발한 Tracer와 In-Memory Fuzzer를 이용하였다.

성능/효과

즉, 실행코드 상에서 외부로부터 입력된 데이터가 어떻게 흘러가는지를 테인팅 기법을 이용해 발현 가능성이 높은 취약점 후보 집합을 찾아내고 이 부분을 대상으로 실제적으로 퍼징을 적용함으로써 취약점을 검증하였다. 즉, 테인팅/퍼징 기법을 통한 자동화된 분석 기법을 적용한 결과 수동 분석에 비해 비교할 수 없을 정도로 빠른 시간 안에 두 배 이상의 취약점을 발견할 수 있음을 확인할 수 있었다. 보다 더 자세한 내용은 논문을 참조하기 바란다.

후속연구

향후 연구 방향으로는 현재 도출된 프로세스를 좀 더 구체화하고 검증하는 과정이 필요하다. 예를 들어, 이 프로세스를 실제 기업 환경에 적용함으로써 현재 프로세스에서 미진한 영역을 찾아 보완하는 작업이 필요할 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	소프트웨어 취약점이란?	소프트웨어 취약점(software vulnerability)이란 일반적으로 소프트웨어 개발자가 개발 또는 유지보수 단계에서 의도하지 않은 형태로 사용되어 보안 문제를 발생하는 경우를 말한다. 일반적으로 상용 소프트웨어는 소스코드를 외부에 공개하지 않고 개발자 그룹에 국한하는 경우가 많으며 소프트웨어 보안성 분석은 회사 내외부 보안 테스팅 전문가에게 맡기는 것이 보통이다.
	역공학의 단점은?	특히 상용 소프트웨어는 취약점 분석가에게 소스 코드가 주어지지 않는 경우가 많으며 이 때문에 취약점 분석이 어려웠으며, 분석은 주로 역공학 (reverse-engineering)에 의존해 왔다. 그런데 역공학은 특성상 기술 진입 장벽이 높고, 상용 소프트웨어 실행 코드가 방대해서 이를 분석하는데 많은 시간과 노력이 소요되는 실정이다. 따라서, 시간을 줄이면서도 정확하게 취약점을 찾아낼 수 있는 역공학 기술에 기반한 취약점 분석 기술 개발이 필요하다.
	취약점 검출을 자동화 할 수 있는 방법 중 taint analysis는 어떤 방법인가?	주로 프로그램의 입력 부분에 테스트 값을 생성하여 입력하고 크래쉬, 메모리 위반 등의 예외 상황을 모니터링 한다. 반면에, 테인팅 [9]은 어떤 프로그램에 외부 입력이 발생했을 때 미치는 영향 (예: 데이터가 어디까지 영향을 미치고 어떤 생명 주기를 갖는지를 파악, 취약점 발현, 외부 입력으로 인한 분기 상황 등)을 파악하는 것이다. 이 기법에서는 외부 입력값을 모두 신뢰할 수 없는 값으로 가정하고 이 값들의 흐름을 추적한다.

참고문헌 (14)

Veracode, "State of Software Security Report", 2011.
SANS, "CWE/SANS TOP 25 Most Dangerous Software Errors", http://www.sans.org/top25-software-errors, 2011.
CVE List, "http://cve.mitre.org/cve".
OSVDB, "http://www.osvdb.org".
Exploit DB, "http://www.exploit-db.com".
CWE List, "http://cwe.mitre.org/data/index.html".
Metasploit, "www.metasploit.com".
M. Sutton, A. Greene and P. Amini, "Fuzzing Brute Force Vulnerability Discovery", Addison-Wesley, 2008.
B. Edgar, "Taint Analysis", Hackers to Hackers Conference, 2009.
IDA Pro, http://www.hexblog.com.
Corelan, "In Memory Fuzzing", http://www.corelan.be/index.php/2010/10/20/in-memory-fuzzing, 2010.
Colleen Lewis, Barret Rhoden, Cynthia Sturton, "Using Structured Random Data to Precisely Fuzz Media", http://www.eecs.berkeley.edu/-csturton/classes/cs261/fuzz_media_players.pdf, 2007.
Yong Su Park et al., Window Multimedia Vulnerabilities Analysis Study, KISA, 2009.
Seong Oun Hwang, Finding Vulnerabilities in Binary Codes Using Tainting/Fuzzing Analysis, 6th International conference on Convergence and Hybrid Information Technology (ICHIT), CCIS, vol. 310, 2012.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

실행코드 취약점 분석 프로세스 방법론
A Methodology for Security Vulnerability Assessment Process on Binary Code 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (14)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

실행코드 취약점 분석 프로세스 방법론 A Methodology for Security Vulnerability Assessment Process on Binary Code 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (14)

이 논문을 인용한 문헌

저자의 다른 논문 :

황성운 (5)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

실행코드 취약점 분석 프로세스 방법론
A Methodology for Security Vulnerability Assessment Process on Binary Code 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper