저자 없이 바이너리 코드 번역을 통한 코드 유사성 탐지 및 취약점 발견

Core Concepts

바이너리 코드 분석을 위해 저자는 감독되지 않은 방식으로 바이너리 코드를 다른 ISA로 번역하는 모델 UNSUPERBINTRANS를 제안한다. 이를 통해 저자는 저자원 ISA에서 데이터 부족 문제를 해결하고 다양한 바이너리 분석 작업을 수행할 수 있다.

Abstract

이 논문은 바이너리 코드 분석의 중요성과 데이터 부족 문제에 대해 설명한다. 저자는 이를 해결하기 위해 감독되지 않은 방식으로 바이너리 코드를 다른 ISA로 번역하는 모델 UNSUPERBINTRANS를 제안한다.
UNSUPERBINTRANS는 다음과 같은 과정을 거친다:

각 ISA에 대한 단일 아키텍처 명령어 임베딩(MAIE)을 생성한다.
MAIE를 공통 벡터 공간으로 매핑하여 교차 아키텍처 명령어 임베딩(CAIE)을 생성한다.
CAIE와 단일 아키텍처 데이터셋을 사용하여 UNSUPERBINTRANS 모델을 훈련한다.

이렇게 훈련된 UNSUPERBINTRANS 모델은 저자원 ISA의 바이너리를 고자원 ISA(예: x86)로 번역할 수 있다. 이를 통해 고자원 ISA에 대해 훈련된 모델을 저자원 ISA의 바이너리 분석에 활용할 수 있다.
저자는 UNSUPERBINTRANS를 이용하여 코드 유사성 탐지와 취약점 발견 작업을 수행하였다. 실험 결과, UNSUPERBINTRANS는 높은 정확도를 달성하였다. 특히 취약점 발견 작업에서 UNSUPERBINTRANS는 모든 취약 함수를 정확하게 탐지할 수 있었다.
이 연구는 저자원 ISA의 데이터 부족 문제를 해결하고 다양한 바이너리 분석 작업에 활용할 수 있는 새로운 방향을 제시한다.

Stats

취약점 CVE-2014-0160(Heartbleed)의 취약 함수에 대해 UNSUPERBINTRANS는 100% 정확도로 탐지하였다.
취약점 CVE-2014-3508의 취약 함수에 대해 UNSUPERBINTRANS는 95% 정확도로 탐지하였다.
취약점 CVE-2015-1791의 취약 함수에 대해 UNSUPERBINTRANS는 95% 정확도로 탐지하였다.

Quotes

"바이너리 코드 분석은 소프트웨어 보안 연구 분야에서 매우 중요한 역할을 한다."
"최근 딥러닝 기반 바이너리 분석이 우수한 성과를 보이고 있지만, 대량의 데이터가 필요하다는 한계가 있다."
"저자원 ISA에 대한 충분한 데이터를 찾기 어려워 딥러닝이 널리 채택되지 못하고 있다."

Key Insights Distilled From

Unsupervised Binary Code Translation with Application to Code Similarity Detection and Vulnerability Discovery

by Iftakhar Ahm... at arxiv.org 05-01-2024

https://arxiv.org/pdf/2404.19025.pdf

Deeper Inquiries

바이너리 코드 분석에 다른 NLP 기술을 적용하는 것은 어떤 장단점이 있을까?

바이너리 코드 분석에 NLP(Neural Language Processing) 기술을 적용하는 장점은 다음과 같습니다:

데이터 부족 문제 해결: Low-resource ISA(Instruction Set Architecture)에서의 데이터 부족 문제를 극복할 수 있습니다. NLP 기술을 활용하여 고자원 ISA에서 풍부한 데이터를 활용하여 번역된 코드를 분석할 수 있습니다.
자동화된 분석: NLP 기술을 사용하면 자동화된 바이너리 코드 분석이 가능해지며, 보안 취약점 발견 및 코드 유사성 검출과 같은 작업을 효율적으로 수행할 수 있습니다.
효율적인 번역: NLP 모델을 사용하면 바이너리 코드를 다른 ISA로 번역할 수 있으며, 이를 통해 다양한 분석 작업에 활용할 수 있습니다.
그러나 NLP 기술을 바이너리 코드 분석에 적용하는 것에는 몇 가지 단점도 있을 수 있습니다:

번역 오류: 번역 과정에서 오류가 발생할 수 있으며, 이는 잘못된 분석 결과로 이어질 수 있습니다.
모델 복잡성: NLP 모델을 훈련하고 유지하는 데 필요한 리소스와 시간이 많을 수 있습니다.
일반화 어려움: 모든 ISA에 대해 일반화된 NLP 모델을 개발하는 것은 어려울 수 있으며, 특정 ISA에 대해 더 나은 성능을 보이는 모델을 개발해야 할 수 있습니다.

UNSUPERBINTRANS 모델의 성능을 더 향상시킬 수 있는 방법은 무엇일까

UNSUPERBINTRANS 모델의 성능을 더 향상시키기 위한 방법은 다음과 같습니다:

더 많은 데이터: 모델의 성능을 향상시키기 위해 더 많은 데이터를 사용하여 훈련할 수 있습니다. 더 다양한 ISA와 다양한 유형의 바이너리 코드를 포함한 데이터셋을 사용할 수 있습니다.
고급 NLP 기술 적용: 최신의 NLP 기술 및 모델을 적용하여 성능을 향상시킬 수 있습니다. 예를 들어, BERT나 GPT와 같은 사전 훈련된 언어 모델을 활용할 수 있습니다.
하이퍼파라미터 튜닝: 모델의 하이퍼파라미터를 조정하고 최적화하여 성능을 향상시킬 수 있습니다. 학습률, 배치 크기, 에폭 등을 조정하여 모델을 더 잘 훈련시킬 수 있습니다.

바이너리 코드 분석에서 중요한 다른 과제들은 무엇이 있을까

바이너리 코드 분석에서 중요한 다른 과제들은 다음과 같습니다:

코드 유사성 검출: 코드 유사성 검출은 다른 소스 코드 또는 바이너리 코드 간의 유사성을 식별하는 작업입니다. 이를 통해 코드 표절 감지, 취약점 발견, 코드 리팩토링 등에 활용됩니다.
악성 코드 탐지: 악성 코드 탐지는 악성 코드와 정상 코드를 구별하는 작업으로, 보안 취약점 및 악성 행위를 탐지하고 방지하는 데 중요합니다.
기능 프로토타입 추론: 바이너리 코드에서 함수의 프로토타입을 추론하는 작업은 코드 분석 및 이해에 중요한 요소입니다. 함수의 입력 및 출력을 파악하여 코드의 동작을 이해하는 데 도움이 됩니다.