초록 ▼

□ 연구개요
본 연구는 기계학습을 이용한 웹 소프트웨어의 취약점을 찾는 기술의 근간이 되는 기계학습 구성(Machine Learning Framing)에 대한 연구를 진행하였다. 구체적으로 본 연구자는 기계학습을 이용하여 웹 소프트웨어의 SQL Command Injection/Cross-site scripting 취약점을 찾는 완전한 자동화 도구 개발을 장기적 목표로 하였다. 본 연구는 그 구현의 기초가 되는 웹 소프트웨어의 기계학습을 위한 표현방식과 기계학습 구성에 대한 심도 있는 연구를 진행하였다. 본 연구의 주된 내용은

□ 연구개요
본 연구는 기계학습을 이용한 웹 소프트웨어의 취약점을 찾는 기술의 근간이 되는 기계학습 구성(Machine Learning Framing)에 대한 연구를 진행하였다. 구체적으로 본 연구자는 기계학습을 이용하여 웹 소프트웨어의 SQL Command Injection/Cross-site scripting 취약점을 찾는 완전한 자동화 도구 개발을 장기적 목표로 하였다. 본 연구는 그 구현의 기초가 되는 웹 소프트웨어의 기계학습을 위한 표현방식과 기계학습 구성에 대한 심도 있는 연구를 진행하였다. 본 연구의 주된 내용은 여러 가지의 표현방식과 기계학습 구성 조합 중 앞서 말한 2가지 종류의 취약점을 가장 정확하게 찾아내는 조합을 탐구 및 그 방식을 정확하게 구현하는 것이다.
현재 기계학습은 자연어 이해, 시각 이미지 분석, 데이터 검색 등에 활발하게 적용되고 있으며 최근 딥러닝(Deep Learning)기술의 산업계 보급 확산과 함께 많은 주목을 받고 있다[1,2,3]. 하지만 기계학습 기술기반의 취약점 탐지 기술에 적용하려는 연구는 활발히 이루어지지 않고 있으며 학계에서도 아직 연구 초기 상태에 머물러 있다. 가장 큰 난제 중 하나는 취약점을 가지는 소프트웨어 자체를 기계학습의 적용대상이 되는 벡터로 변환하는 방법과 기계학습 알고리즘을 적용하기 위한 문제구성(Framing)이 명확히 확립이 되지 못한 데에 있다. 기존의 이미지와 같이 정해진 사이즈를 dense vector로 바꾼다거나 자연어 처리와 같이 짧은 문장의 의미를 파악하는 것과 다르게, 소프트웨어를 구성하는 부분들의 논리적 의존관계나 함수를 호출함에 따른 눈에 보이지 않는 side-effect를 추상화하여 기계학습에 적용시키는 난제들이 현재까지 해결되지 못하고 있다.
따라서 본 연구는 반복적인 실험과 훈련데이터를 기반으로 웹 소프트웨어의 선택적인 특성을 취합하고, 취합한 특징들의 표현 및 구성, 그리고 여러 기계학습 알고리즘들을 적용으로 취약점을 정확하게 찾아내는 과정을 탐구하였다. 또한 연구를 위한 훈련데이터의 수집, 훈련데이터를 만들기 위한 기반 소프트웨어 구현, 웹 소프트웨어의 전처리 과정을 위한 도구 개발 및 전제적인 시스템의 구성도 본 연구의 중요한 목적이다.

□ 연구 목표대비 연구결과
각 차년도별 연구목표인 (1) 자료 조사, 연구 환경/설비 구축, 기계학습 훈련 데이터 구조 설계, (2) 훈련 데이터 수집, 웹 소프트웨어 중간언어 변환 도구 적용, 소프트웨어의 추상화 표현방식에 대한 연구, 벡터 표현방식의 평가기준 정립, (3) 추상화된 모델의 효율적인 벡터 표현 방식 연구, 여러 기계학습 알고리즘의 적용을 통한 최적의 표현방식 연구, (4) 구축된 데이터와 찾아낸 효율적인 벡터 표현 방식을 이용한 기계 학습 평가를 진행하였다. 이를 통해 정보보호 분야 최상위 학술대회 발표 3건, 국내 논문 1건, 국내 특허 출원 1건, 등록 1건, 수상실적 2건 등의 실적을 달성했다.

□ 연구개발결과의 중요성
웹 소프트웨어에서 취약점을 찾는 자동화 도구의 개발 및 연구는 취약점을 잡아내는 부분은 Information Flow 기반으로 한 휴리스틱한 방법에 의존해 왔다[4,5,6]. 따라서 분석 대상이 되는 소프트웨어의 언어를 상세히 알거나 분석 대상 서비스를 잘 아는 전문가의 지식에 따라서 정확도와 유용도의 변화가 심해 일반화되기가 어렵다는 단점이 존재해 왔다. 정적 분석의 또 다른 큰 난제는 찾아낸 취약점이 진정한 취약점이 아닌 False Positive (FP)가 되는 비율을 줄이는데 있다. 이 2가지 난제 부분을 기계학습의 장점을 이용하여 해결을 할 수 있다면 자동화 도구를 각 취약점과 분석대상에 맞추어 최적화할 필요도 없어지고 FP를 검사하는데 소요되는 소모적 시간들도 줄 수 있게 되어 웹 소프트웨어 생산성 향상과 보안 강화에 크게 기여할 수 있다. 또한 연구과정에서 수집된 데이터와 알고리즘들은 학계의 발전에 크게 기여할 수 있고 기계학습 연구자들의 참여를 유도할 수 있는 첫 걸음이 될 수 있다.

(출처 : 연구결과 요약문 2p)

목차 Contents

• 표지 ... 1
• 연구결과 요약문 ... 2
• 목차 ... 3
• 1. 연구개발과제의 개요 ... 4
• 2. 연구수행내용 및 연구결과 ... 4
• 3. 연구개발결과의 중요성 ... 12
• 4. 참고문헌 ... 14
• 5. 연구성과 ... 15
• 대표적 연구실적 ... 18
• 끝페이지 ... 31