JP7355211B2

JP7355211B2 - シグネチャ生成装置、シグネチャ生成方法およびシグネチャ生成プログラム

Info

Publication number: JP7355211B2
Application number: JP2022502747A
Authority: JP
Inventors: 楊鐘本
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2020-02-27
Filing date: 2020-02-27
Publication date: 2023-10-03
Anticipated expiration: 2040-02-27
Also published as: US20230063382A1; WO2021171524A1; JPWO2021171524A1

Description

本発明は、シグネチャ生成装置、シグネチャ生成方法およびシグネチャ生成プログラムに関する。

近年、サーバソフトウェアやサーバ上で動作するアプリケーションには新たな脆弱性が発見され、その脆弱性を検証するＰｏＣ（Proof of Concept）コードが公開されている。

また、多くの製品やＯＳＳ（Open Source Software）では、シグネチャと呼ばれる攻撃の特徴を記した正規表現を用いて攻撃を検知している。このようなシグネチャを生成する手法として、ＰｏＣコードをシンボリック実行エンジンにより実行させることで、ＰｏＣコードからシグネチャを生成する手法が知られている（例えば、非特許文献１参照）。

Wang, Ruowen, et al. "MetaSymploit: Day-one defense against script-based attacks with security-enhanced symbolic analysis." Presented as part of the 22nd USENIX Security Symposium (USENIX Security 13). 2013.

しかしながら、従来技術では、ＰｏＣコードをシンボリック実行エンジンにより実行させることでシグネチャを生成するため、言語仕様や実行環境の変更によりＰｏＣコード実行環境が更新されるたびに、シンボリック実行エンジンを更新する必要があるためメンテナンス性が低いという課題があった。

上述した課題を解決し、目的を達成するために、本発明のシグネチャ生成装置は、ＰｏＣコードを用いてコードの内容がそれぞれ異なるＰｏＣコード候補群を生成する候補生成部と、前記候補生成部によって生成されたＰｏＣコード候補群をそれぞれ実行し、実行時に発生した通信に関する通信データを取得する実行部と、前記実行部によって取得された通信データを用いて、シグネチャを生成するシグネチャ生成部とを有することを特徴とする。

本発明によれば、メンテナンス性の高いシグネチャを作成することができるという効果を奏する。

図１は、第１の実施形態に係るシグネチャ生成装置の構成の一例を示す図である。図２は、第１の実施形態に係るシグネチャ生成装置による処理の概要を説明する図である。図３は、ＰｏＣコードの一例を示す図である。図４は、ＰｏＣコード候補群を生成する処理例を説明する図である。図５は、ＰｏＣコードから生成されるＰｏＣコード候補群の一例を示す図である。図６は、通信データの一例を示す図である。図７は、生成されたシグネチャの一例を示す図である。図８は、通常リクエストの一例を示す図である。図９は、第１の実施形態に係るシグネチャ生成装置における処理の流れの一例を示すフローチャートである。図１０は、シグネチャ生成プログラムを実行するコンピュータを示す図である。

以下に、本願に係るシグネチャ生成装置、シグネチャ生成方法およびシグネチャ生成プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係るシグネチャ生成装置、シグネチャ生成方法およびシグネチャ生成プログラムが限定されるものではない。

［第１の実施形態］
以下の実施形態では、第１の実施形態に係るシグネチャ生成装置１０の構成、シグネチャ生成装置１０の処理の流れを順に説明し、最後に第１の実施形態による効果を説明する。

［シグネチャ生成装置の構成］
まず、図１を用いて、シグネチャ生成装置１０の構成について説明する。図１は、第１の実施形態に係るシグネチャ生成装置の構成の一例を示す図である。シグネチャ生成装置１０は、ＰｏＣコードからＰｏＣコードを悪用した攻撃を検知するためのシグネチャと呼ばれる表現を自動的に生成する。図１に示すように、シグネチャ生成装置１０は、入力部１１、出力部１２、制御部１３及び記憶部１４を有する。以下では、各部について説明する。

入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１３に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンタ等の印刷装置等によって実現される。

記憶部１４は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、シグネチャ生成装置１０を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部１４は、ＰｏＣコード記憶部１４ａおよびシグネチャ記憶部１４ｂを有する。

ＰｏＣコード記憶部１４ａは、後述するＰｏＣコード候補生成部１３ａによってＰｏＣコード候補群が生成される際に使用されるＰｏＣコードを記憶する。なお、ＰｏＣコード記憶部１４ａによって記憶されるＰｏＣコードは、予め記憶されていてもよいし、随時ＰｏＣコードが更新、追加されるようになっていてもよい。シグネチャ記憶部１４ｂは、後述するシグネチャ生成部１３ｃによって生成されたシグネチャを記憶する。

制御部１３は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部１３は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。制御部１３は、ＰｏＣコード候補生成部１３ａ、ＰｏＣコード実行部１３ｂおよびシグネチャ生成部１３ｃを有する。

ここで、制御部１３が有する各部について説明する前に、図２を用いて、シグネチャ生成装置１０による処理全体の概要を説明する。図２は、第１の実施形態に係るシグネチャ生成装置による処理の概要を説明する図である。図２に例示するように、まず、ＰｏＣコード候補生成部１３ａが、ＰｏＣコードを用いてコードの内容がそれぞれ異なるＰｏＣコード候補群を生成する。そして、ＰｏＣコード実行部１３ｂは、ＰｏＣコード候補群をそれぞれ実行し、実行時に発生した通信に関する通信データを取得する。その後、シグネチャ生成部１３ｃは、通信データを用いて、シグネチャを生成する。

このように、シグネチャ生成装置１０は、メンテナンス性が低くなってしまうシンボリック実行ではなく、ＰｏＣコードのプログラムを可能な限り実行し、その際に得られた通信データからシグネチャを作成する。これにより、シグネチャ生成装置１０は、実ＰｏＣコードを実行するため、ＰｏＣコードのプログラミング言語に依存するシンボリック実行エンジンといった解析器が必要ないためメンテナンス性が高い。以下に制御部１３が有する各部について説明する。

ＰｏＣコード候補生成部１３ａは、ＰｏＣコードを用いてコードの内容がそれぞれ異なるＰｏＣコード候補群を生成する。例えば、ＰｏＣコード候補生成部１３ａは、ＰｏＣコードに含まれる条件文を書き換えることでＰｏＣコード候補群を生成する。より具体的に説明すると、ＰｏＣコード候補生成部１３ａは、ＰｏＣコードに含まれる「ｉｆ」、「ｅｌｓｅ」、「ｃａｓｅ」などの制御構造の条件文を書き換えることでＰｏＣコード候補群を生成する。

ここで、ＰｏＣコード候補生成部１３ａは、ＰｏＣコードの制御構造を把握するためにはＰｏＣコードに利用されているプログラミング言語（Ruby、Pythonなど）に対して構文解析を行いプログラムコードを抽象構文木（Abstract Syntax Tree：ＡＳＴ）に変換して行う必要があるが、構文解析の機能はプログラミング言語の実行環境が多くの場合有する機能であるため、独自に作成する必要はなく、これを利用することで実現可能である。つまり、プログラミング言語の実行環境については、言語仕様や実行環境が変わるのに合わせて提供されるため、シンボリック実行エンジンのように自前で変化に追従して用意する必要がない。

また、ＰｏＣコードの候補を複数生成する理由は充実したＰｏＣコードの通信データを観測するためである。例えば図３に例示するＰｏＣコードがあった場合、変数ａが１の場合はｓｅｎｄ（）関数により通信が発生するが、ａが１以外の場合は通信が発生しないため、ｓｅｎｄ（）関数による通信データを観測できない。図３は、ＰｏＣコードの一例を示す図である。例えば、ＰｏＣコード候補生成部１３ａは、図４に例示するように、図３に例示したＰｏＣコードから複数のＰｏＣコードを生成する。

また、図５の例では、ＰｏＣコード候補生成部１３ａは、ＰｏＣコードからＰｏＣコードに含まれる「ｉｆ」の条件文を書き換えたＰｏＣコード候補（１）～（３）と、条件文がそのままのＰｏＣコード候補（４）とをＰｏＣコード候補群として生成する。図５は、ＰｏＣコードから生成されるＰｏＣコード候補群の一例を示す図である。

ＰｏＣコード候補生成部１３ａは、制御構造を改変することでＰｏＣコードを実行した際に、可能な限りＰｏＣコードの実行パスを通ることができ、ＰｏＣコードからより充実した通信データを観測できる。

ＰｏＣコード実行部１３ｂは、ＰｏＣコード候補生成部１３ａによって生成されたＰｏＣコード候補群をそれぞれ実行し、実行時に発生した通信に関する通信データを取得する。具体的には、ＰｏＣコード実行部１３ｂは、ＰｏＣコード候補群をＰｏＣコード実行環境で実行し、実行時に発生する通信を観測して通信データを取得する。

例えば、ＰｏＣコード実行部１３ｂは、図５に例示したＰｏＣコード候補（１）～（４）をそれぞれ実行することで、図６に例示する通信データ（１）～（４）を取得する。図６は、通信データの一例を示す図である。

シグネチャ生成部１３ｃは、通信データを用いて、シグネチャを生成する。例えば、シグネチャ生成部１３ｃは、通信データに含まれるサーバに対するリクエストから特徴的な文字列またはバイト列を抽出し、該文字列または該バイト列を正規表現に変換してシグネチャを生成する。

より具体的に説明すると、シグネチャ生成部１３ｃは、通信データから複数のリクエストを抽出し、リクエストを長い順にソートしたものをＲ＝（ｒ１，ｒ２・・・）とする。そして、シグネチャ生成部１３ｃは、最長共通部分列ＣをＣ＝ＬＣＳ（ＬＣＳ（ｒ１,ｒ２）,ｒ３）・・・のように求める。ＬＣＳ（Ｘ,ｙ）は、バイト列Ｘ＝（ｘ１,ｘ２,・・・）,Ｙ＝（ｙ１,Ｙ２,・・・）に対して下記（１）式のような定義である。そして、シグネチャ生成部１３ｃは、Ｃを正規表現に直し、この正規表現をシグネチャｓとする。

なお、上述したように、シグネチャ生成部１３ｃが、シグネチャを正規表現として表現する場合を説明したが、攻撃検知ツールによってシグネチャの表現方法は様々存在するため、攻撃検知ツールに合わせたシグネチャの表現方法で生成してもよく、シグネチャの表現を正規表現に限定するものではない。

ここで、図６に例示した通信データを用いてシグネチャを生成する場合を説明する。シグネチャ生成部１３ｃは、ＰｏＣコード実行により観測した通信データから抽出されたリクエストｒ１，ｒ２，ｒ３，ｒ４の最長共通部分列Ｃ＝ＬＣＳ（ＬＣＳ（ＬＣＳ（ｒ１，ｒ２），ｒ３），ｒ４）を求める。図６の場合、Ｃ＝(“GET /app”,“.php?id=;cat/etc/”)となる。シグネチャ生成部１３ｃは、Ｃに対して正規表現で利用する特殊な記号をエスケープした後、複数の任意の文字列を表す”.*”で共有部分列を結合し１つの正規表現を得る。これをシグネチャｓとする。上記の場合、エスケープ後のＣは、Ｃ＝(“GET /app”,“＼.php＼?id=;cat/etc”)となり、シグネチャｓは、図７に例示するように、ｓ＝“GET /app.*＼.php＼?id=;cat/etc/.*”となる。

また、シグネチャ生成部１３ｃは、通信データに含まれるサーバに対するリクエストから特徴的な文字列またはバイト列を抽出し、該文字列または該バイト列から正常なリクエストに含まれる要素を除外してシグネチャを生成するようにしてもよい。

つまり、生成したシグネチャが正常な通信を検知してしまう誤検知を減らすため、シグネチャ生成部１３ｃにおいて、リクエスト群Ｒから最長共通部分列Ｃ＝（ｃ１，ｃ２，・・・）を抽出した後、Ｃの各要素ｃ１，ｃ２，・・・に対して、予め観測した正常なリクエスト群に含まれる場合、これを除外する。

具体例を挙げて説明すると、例えば、前述と同様に最長共通部分列として、Ｃ＝(“GET /app”,“.php?id=;cat/etc/”)が得られ、予め観測した通常リクエストが図８に例示する通常リクエストであったものとする。このような場合に、シグネチャ生成部１３ｃは、Ｃの要素である文字列“GET /app”が通常リクエストに含まれるため除外し、Ｃの要素である文字列“.php?id=;cat/etc/”は通常リクエストに含まれないため除外しない。このため、シグネチャ生成部１３ｃは、Ｃ＝(“.php?id=;cat/etc/”)となり、エスケープ後、シグネチャｓ＝(“＼.php＼?id=;cat/etc/”)を得る。

［シグネチャ生成装置の処理手順］
次に、図９を用いて、第１の実施形態に係るシグネチャ生成装置１０による処理手順の例を説明する。図９は、第１の実施形態に係るシグネチャ生成装置における処理の流れの一例を示すフローチャートである。

図９に例示するように、シグネチャ生成装置１０のＰｏＣコード候補生成部１３ａは、ＰｏＣコード記憶部１４ａからＰｏＣコードを取得し（ステップＳ１０１）、ＰｏＣコードを用いてコードの内容がそれぞれ異なるＰｏＣコード候補群を生成する（ステップＳ１０２）。例えば、ＰｏＣコード候補生成部１３ａは、ＰｏＣコードに含まれる条件文を書き換えることでＰｏＣコード候補群を生成する。

そして、ＰｏＣコード実行部１３ｂは、ＰｏＣコード候補群をＰｏＣコード実行環境で実行し（ステップＳ１０３）、実行時に発生する通信を観測して通信データを取得する（ステップＳ１０４）。

シグネチャ生成部１３ｃは、通信データからシグネチャを生成する（ステップＳ１０５）。例えば、シグネチャ生成部１３ｃは、通信データに含まれるサーバに対するリクエストから特徴的な文字列またはバイト列を抽出し、該文字列または該バイト列を正規表現に変換してシグネチャを生成する。

［第１の実施形態の効果］
このように、第１の実施形態に係るシグネチャ生成装置１０は、ＰｏＣコードを用いてコードの内容がそれぞれ異なるＰｏＣコード候補群を生成し、ＰｏＣコード候補群をそれぞれ実行し、実行時に発生した通信に関する通信データを取得し、通信データを用いて、シグネチャを生成する。これにより、シグネチャ生成装置１０は、メンテナンス性の高いシグネチャを作成することが可能である。

つまり、シグネチャ生成装置１０では、ＰｏＣコード実行環境に依存する部分が少なくなり、維持管理しやすくメンテナンス性が高いシグネチャ生成が可能となる。このため、シグネチャ生成装置１０では、多様なプログラミング言語で書かれたＰｏＣコードについて、そのＰｏＣコードを悪用して攻撃を行うことを検知するためのシグネチャを継続的に生成することが可能となる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図１０は、シグネチャ生成プログラムを実行するコンピュータを示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、シグネチャ生成装置の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施の形態の処理で用いられるデータは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク、ＷＡＮを介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０シグネチャ生成装置
１１入力部
１２出力部
１３制御部
１３ａＰｏＣコード候補生成部
１３ｂＰｏＣコード実行部
１３ｃシグネチャ生成部
１４記憶部
１４ａＰｏＣコード記憶部
１４ｂシグネチャ記憶部

Claims

ＰｏＣ（Proof of Concept）コードを用いて当該ＰｏＣコードに含まれる条件文を書き換え、コードの内容がそれぞれ異なるＰｏＣコード候補を含むＰｏＣコード候補群を生成する候補生成部と、
前記候補生成部によって生成されたＰｏＣコード候補群をそれぞれ実行し、実行時に発生した通信の内容を示す通信データを取得する実行部と、
前記実行部によって取得された通信データを用いて、ＰｏＣコードを悪用した攻撃を検知するための正規表現であるシグネチャを生成するシグネチャ生成部と
を有することを特徴とするシグネチャ生成装置。
前記候補生成部は、前記ＰｏＣコードに含まれる条件文を書き換えることで前記ＰｏＣコード候補群を生成することを特徴とする請求項１に記載のシグネチャ生成装置。
前記実行部は、前記ＰｏＣコード候補群をＰｏＣコード実行環境で実行し、実行時に発生する通信を観測して前記通信データを取得することを特徴とする請求項１に記載のシグネチャ生成装置。
前記シグネチャ生成部は、前記通信データに含まれるサーバに対する複数のリクエストに含まれる共通部分を特徴的な文字列またはバイト列として抽出し、該文字列または該バイト列を正規表現に変換して前記シグネチャを生成することを特徴とする請求項１に記載のシグネチャ生成装置。
前記シグネチャ生成部は、前記通信データに含まれるサーバに対する複数のリクエストに含まれる共通部分を特徴的な文字列またはバイト列として抽出し、該文字列または該バイト列から正常なリクエストに含まれる要素を除外して前記シグネチャを生成することを特徴とする請求項１に記載のシグネチャ生成装置。
シグネチャ生成装置によって実行されるシグネチャ生成方法であって、
ＰｏＣ（Proof of Concept）コードを用いて当該ＰｏＣコードに含まれる条件文を書き換え、コードの内容がそれぞれ異なるＰｏＣコード候補を含むＰｏＣコード候補群を生成する候補生成工程と、
前記候補生成工程によって生成されたＰｏＣコード候補群をそれぞれ実行し、実行時に発生した通信の内容を示す通信データを取得する実行工程と、
前記実行工程によって取得された通信データを用いて、ＰｏＣコードを悪用した攻撃を検知するための正規表現であるシグネチャを生成するシグネチャ生成工程と
を含むことを特徴とするシグネチャ生成方法。
ＰｏＣ（Proof of Concept）コードを用いて当該ＰｏＣコードに含まれる条件文を書き換え、コードの内容がそれぞれ異なるＰｏＣコード候補を含むＰｏＣコード候補群を生成する候補生成ステップと、
前記候補生成ステップによって生成されたＰｏＣコード候補群をそれぞれ実行し、実行時に発生した通信の内容を示す通信データを取得する実行ステップと、
前記実行ステップによって取得された通信データを用いて、ＰｏＣコードを悪用した攻撃を検知するための正規表現であるシグネチャを生成するシグネチャ生成ステップと
をコンピュータに実行させることを特徴とするシグネチャ生成プログラム。