[논문]바이너리 코드 취약점 탐지를 위한 딥러닝 기반 동적 오염 탐지 기술

고광만

doi:10.17661/jkiiect.2023.16.3.161

초록
AI-Helper

최근 바이너리 코드에 대한 신종·변종 해킹이 증가되고 있으며 소스 프로그램에서 악성코드를 탐지하고 공격에 대한 방어 기술의 한계점이 자주 노출되는 상황이다. 바이너리 코드에 대해 머신러닝, 딥러닝 기술을 활용하여 고도화된 소프트웨어 보안 취약점 탐지 기술과 공격에 대한 방어와 대처 능력이 필요하다. 본 논문에서는 바이너리 코드의 실행 경로를 추적(execution trace)하여 동적 오염 정보를 입력한 후 오염 정보를 따른 특징을 기반으로 멀웨어를 그룹핑하는 멀웨어 클러스터링 방법을 제안한다. 멀웨어 취약점 탐지는 3-계층으로 구성한 Few-shot 학습 모델에 적용하여 각 계층의 CPU, GPU에 대해 F1-score를 산출하였다. 학습 과정에서 97~98%의 성능과 테스트 과정에서 80~81% 정도의 탐지 성능을 얻었다.

Abstract ▼ AI-Helper

In recent years, new and variant hacking of binary codes has increased, and the limitations of techniques for detecting malicious codes in source programs and defending against attacks are often exposed. Advanced software security vulnerability detection technology using machine learning and deep le...

In recent years, new and variant hacking of binary codes has increased, and the limitations of techniques for detecting malicious codes in source programs and defending against attacks are often exposed. Advanced software security vulnerability detection technology using machine learning and deep learning technology for binary code and defense and response capabilities against attacks are required. In this paper, we propose a malware clustering method that groups malware based on the characteristics of the taint information after entering dynamic taint information by tracing the execution path of binary code. Malware vulnerability detection was applied to a three-layered Few-shot learning model, and F1-scores were calculated for each layer's CPU and GPU. We obtained 97~98% performance in the learning process and 80~81% detection performance in the test process.

Keyword

표/그림 (7)

그림 그림 1. 오염 탐지 기반 멀웨어 클러스터링 시스템 Fig. 1. Taint Analysis based Malware Clustering System
그림 그림 2. 예제 프로그램 Fig. 2. Example Program
그림 그림 3. 바이너리 코드 분석 기반 제어 흐름 그래프 Fig. 3. Binary Code Analysis based Control Flow Graph
그림 그림 4. 지역성 의존 해싱 알고리즘 Fig. 4. Locality Sensitive Hashing Algorithm
그림 그림 5. 딥러닝 기반 학습 모델 Fig. 5. Deep Learning based Learning Model
표 표 1. 바이너리 코드 데이터-셋 Table 1. Binary Code Data-set
표 Table 2. Taint Detection Results using Deep Learning Model with 3-hidden Layers 표 2. 학습 모델의 성능 평가 결과

AI 본문요약
AI-Helper

문제 정의

본 논문에서는 바이너리 코드를 분석한 후 인공지능 기반으로 취약점을 탐지하는 연구가 시도되고 있는 상황에서, 바이너리 코드의 실행 경로를 추적(execution trace)하여 동적 오염 정보를 입력한 후 오염 정보를 따른 특징을 기반으로 멀웨어를 그룹핑하는 멀웨어 클러스터링 방법을 제안한다. 이 과정에서 최초 바이너리 데이터-셋(malware sample)으로부터 활성 학습과 점진 학습을 통해 지속적으로 신뢰할 수 있는 바이너리 코드 학습 데이터-셋의 구축은 전체적인 학습 모델을 구축하는 과정에서 매우 중요한 의미를 가지고 있다.
본 논문은 바이너리 코드에서 동적 오염 분석 기술을 응용하여 유사한 오염 정보에 대해 비정상 행위의 특징을 그룹화한 후 학습 모델을 통해 멀웨어를 클러스터링하는 목적을 가지고 있다. 이러한 연구는 소스코드 수준에서 오염을 탐지하고 오염 정보의 특징에 따라 클러스터링하는 기존 방법보다 멀웨어 탐지 정확도를 높이는데 활용할 수 있다.
소프트웨어 보안을 위해 바이너리 코드에 대해 머신러닝, 딥러닝 기술을 적용하여 고도화되고 지능화된 소프트웨어 보안 취약점 탐지, 사이버 공격 방어 또는 대처 능력 등이 필요한 상황이다. 본 논문에서는 바이너리 코드를 분석한 후 인공지능 기반으로 취약점을 탐지하기 위해 바이너리 코드의 실행 경로를 추적한 후 동적 오염 정보를 입력하여 오염 정보를 따른 특징을 기반으로 취약점을 탐지하고 멀웨어를 그룹화하는 멀웨어 클러스터링 방법을 제안하고 실험하였다.

제안 방법

본 논문에서는 대용량 및 양질의 바이너리 데이터-셋 구축을 위해 적용하는 활성 학습(active learning)은 최소한 바이너리 샘플 데이터를 가지고 학습 모델이 최대한의 성능을 도출할 수 있도록 반복적으로 최초 바이너리 데이터를 정제한다. 특히, 바이너리 코드분석의 경우는 많은 양의 학습 및 테스트 데이터 확보 어려움과 분석에 엄청난 분량의 경우의 수가 존재하므로 활성 학습을 적용한 연구는 중요한 의미를 가지고 있다.
실험을 위한 학습 모델은 그림 5와 같이 바이너리 프로그램에 대한 분석 후에 오염 정보를 입력하기 위해 퍼저(fuzzer) 모듈을 개발하였으며 오염 정보의 종류에 따라 샘플(1～N)을 구분하였다. 또한 바이너리 분석 도구인 Angr를 이용하여 정확한 오염 지점(sink)를 확인하였다.
실험을 위한 학습 모델은 그림 5와 같이 바이너리 프로그램에 대한 분석 후에 오염 정보를 입력하기 위해 퍼저(fuzzer) 모듈을 개발하였으며 오염 정보의 종류에 따라 샘플(1～N)을 구분하였다. 또한 바이너리 분석 도구인 Angr를 이용하여 정확한 오염 지점(sink)를 확인하였다. 학습 모델은 메타 러닝의 한 방식으로 기존의 데이터-셋을 단순히 레이블링하는 대신 구별하는 방법을 학습(learn to learn)하는 Few-shot 모델을 적용하였다.

대상 데이터

본 논문에서 바이너리 코드를 분석한 후 오염 정보를 입력하고 멀웨어 클러스터링 학습과 테스트를 위한 모델을 위해 표 1과 같이 데이터-셋을 활용하였다.

이론/모형

특징이 유사한 비정상 행위를 기반으로 클러스터링을 위해 유사도 값을 쌍으로 찾아 버킷으로 구성하는 지역성 의존 해싱(locality sensitive hashing) 알고리즘을 적용하였다.
또한 바이너리 분석 도구인 Angr를 이용하여 정확한 오염 지점(sink)를 확인하였다. 학습 모델은 메타 러닝의 한 방식으로 기존의 데이터-셋을 단순히 레이블링하는 대신 구별하는 방법을 학습(learn to learn)하는 Few-shot 모델을 적용하였다. 특히, Few-shot learning은 기존의 지도학습과 다르게 지원 집합(support set)과 질의 집합(query set)을 이용하여 학습 집합에 없는 클래스를 맞추는 특징을 가지고 있어 본 논문에서 적정하게 활용할 수 있다.

성능/효과

세부적인 실험과정에서 3의 계층으로 유지하는 것이 최적으로 분석되었으며 각 계층에서 CPU, GPU에 대해 학습을 진행하였다. 최종적인 학습과 테스트의 결과는 F1-score를 산출하여 학습 과정에서 97～ 98%의 성능을 확인하였으며 테스트 과정에서 80～ 81% 정도의 탐지 성능을 얻었다.
탐지 성능의 결과는 소스 프로그램을 분석한 후 정적 오염 분석 방법을 적용하는 실험에 비해 탐지 속도는 느리지만 정확한 오염 탐지 지점과 탐지율은 다소 높아진 결과를 확인하였다. 추가적으로 대용량의 바이너리 코드에 대해 학습 모델에 적용하면 탐지율은 상승할 것으로 판단된다.
현재까지 실험된 결과는 오염 정보를 탐지하는 탐지 정확도는 소스 코드 수준 분석 방법에 비해 우수하지만, 분석 대상 소프트웨어 단위가 증가하면 실행 경로 추적에 많은 시간이 소비되는 것을 확인하였다. 현재 소스 코드와 바이너리 코드 분석 수준에서 오염 탐지 정확도와 탐지율을 보다 세부적으로 비교하는 실험을 보완중이며, 앞으로 다양한 바이너리 코드 데이터-셋 구축을 통해 학습 및 테스트를 확장할 예정이고 새로운 멀웨어 클러스터링 알고리즘을 추가적으로 개발할 예정이다.

후속연구

탐지 성능의 결과는 소스 프로그램을 분석한 후 정적 오염 분석 방법을 적용하는 실험에 비해 탐지 속도는 느리지만 정확한 오염 탐지 지점과 탐지율은 다소 높아진 결과를 확인하였다. 추가적으로 대용량의 바이너리 코드에 대해 학습 모델에 적용하면 탐지율은 상승할 것으로 판단된다.
현재까지 실험된 결과는 오염 정보를 탐지하는 탐지 정확도는 소스 코드 수준 분석 방법에 비해 우수하지만, 분석 대상 소프트웨어 단위가 증가하면 실행 경로 추적에 많은 시간이 소비되는 것을 확인하였다. 현재 소스 코드와 바이너리 코드 분석 수준에서 오염 탐지 정확도와 탐지율을 보다 세부적으로 비교하는 실험을 보완중이며, 앞으로 다양한 바이너리 코드 데이터-셋 구축을 통해 학습 및 테스트를 확장할 예정이고 새로운 멀웨어 클러스터링 알고리즘을 추가적으로 개발할 예정이다.

참고문헌 (11)

Seoksu Lee, Wonchan Oh, Sunnyeo Park,？Eun-Sun Cho, In Sung Baek, "Binary？Vulnerability Analysis Framework Combining？Static and Dynamic Analyses," Journal of？KIISE, Vol.45, No.12, pp.1217-1226, 2018.？12.
Sang-Gil Cha, "Software Security and Binary？Analysis Technique," Communications of？the Korean Institute of Information？Scientists and Engineers, Vol. 36, No.3,？pp.11-16, 2018.
Huozhu Wang; Ziyuan Zhu; Zhongkai Tong;？Xiang Yin; Yusi Feng; Shi; Dan Meng, "An？Effective Approach for Malware Detection？and Explanation via Deep Learning？Analysis," International Joint Conference on Neural Networks (IJCNN), 2021.
HONGFA XUE, SHAOWEN SUN, GURU？VENKATARAMANI, TIAN LAN, "Machine？Learning-Based Analysis of Program？Binaries: A Comprehensive Study," IEEE？Access, Vol.7, pp.65889-65912, 2019.
IDA Pro, https://hex-rays.com/ida-pro/
Dongdong She, Yizheng Chen, Abhishek？Shah, Baishakhi Ray, Suman Jana,？"Neutaint: Efficient Dynamic Taint Analysis？with Neural Networks," In Proceedings of？the 41st IEEE Symposium on Security and？Privacy. (S&P20), Volume: 1, Pages:？1527-1543. 2020.
Dongdong She, Kexin Pei, Dave Epstein,？Junfeng Yang, Baishakhi Ray, Suman Jana.？"Neuzz: Efficient fuzzing with neural？program learning" In 2019 IEEE？Symposium on Security and Privacy(S&P).？IEEE, 2019.
"Angr," https://angr.io/
"Ghidra," https://ghidra-sre.org/
P. Godefroid, H. Peleg, and R. Singh,？"Learn&fuzz: Machine learning for input？fuzzing," CoRR, vol. abs/1701.07232,？2017.
Archit Parnami, Minwoo Lee, "Learning？from Few Examples: A Summary of？Approaches to Few-Shot Learning,"？https://doi.org/10.48550/arXiv.2203.04291, 2022.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

[국내논문] 바이너리 코드 취약점 탐지를 위한 딥러닝 기반 동적 오염 탐지 기술
Deep Learning based Dynamic Taint Detection Technique for Binary Code Vulnerability Detection 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

Keyword

표/그림 (7)

표/그림 (7)

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

후속연구

참고문헌 (11)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

[국내논문] 바이너리 코드 취약점 탐지를 위한 딥러닝 기반 동적 오염 탐지 기술 Deep Learning based Dynamic Taint Detection Technique for Binary Code Vulnerability Detection 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

Keyword

표/그림 (7) 모든 표/그림 보기

표/그림 (7) 슬라이드로 보기

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

후속연구

참고문헌 (11)

이 논문을 인용한 문헌

저자의 다른 논문 :

고광만 (27)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

[국내논문] 바이너리 코드 취약점 탐지를 위한 딥러닝 기반 동적 오염 탐지 기술
Deep Learning based Dynamic Taint Detection Technique for Binary Code Vulnerability Detection 원문보기

초록
AI-Helper

표/그림 (7)

표/그림 (7)

AI 본문요약
AI-Helper