ASSEMBLAGE-DEEPHISTORY: A Cross-Build Binary Dataset with Temporal Coverage
Die Arbeit stellt ASSEMBLAGE-DEEPHISTORY vor, einen umfassenden binären Datensatz über mehrere Builds hinweg, der 73.610 Binärdateien aus 248 Open-Source-Projekten enthält und Kompilierungskontext, Quellcode sowie CVE-Kennzeichnungen über Compiler, Optimierungsstufen und Zeit hinweg vereinheitlicht, wodurch neuartige Analysen zur Erkennung von Binärschwachstellen und zur Ähnlichkeitsbestimmung ermöglicht werden.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie versuchen einem Roboter beizubringen, eine bestimmte Art von kaputtem Schloss an einer Million verschiedener Türen zu erkennen.
In der Welt der Cybersicherheit kämpfen Forscher mit einem Problem: Sie verfügen über Datensätze von „Türen" (Softwareprogrammen), doch diese Datensätze sind unvollständig. Einige Datensätze zeigen Türen, die von verschiedenen Fabriken (Compilern) hergestellt wurden, aber nur für ein bestimmtes Jahr. Andere zeigen Türen aus vielen verschiedenen Jahren, die jedoch nur von einer einzigen Fabrik stammen. Keiner von ihnen zeigt Ihnen dasselbe Türdesign, das von verschiedenen Fabriken über viele Jahre hinweg gebaut wurde, und gibt Ihnen gleichzeitig genau an, welche davon ein kaputtes Schloss (eine Schwachstelle) haben.
Diese Arbeit stellt ASSEMBLAGE-DEEPHISTORY vor, einen riesigen neuen Datensatz, der endlich all diese Punkte verbindet. Denken Sie daran wie an ein „Zeitreisendes Türmuseum".
Das „Zeitreisende Türmuseum"
Die Forscher sammelten 73.610 verschiedene Versionen von Software-„Türen" aus 248 Open-Source-Projekten.
- Die Vielfalt: Sie bauten sie nicht nur auf eine Weise. Sie kompilierten denselben Quellcode mit verschiedenen Werkzeugen (GCC, Clang, MSVC), auf verschiedenen Betriebssystemen (Windows und Linux) und mit verschiedenen Einstellungen (Optimierungsstufen).
- Die Zeitmaschine: Sie machten nicht nur eine Momentaufnahme von heute. Sie reisten in die Vergangenheit zurück und sammelten Versionen dieser Projekte, die für viele davon über zwei Jahre zurückreichen.
- Die Karte: Jede einzelne Tür in diesem Museum ist mit ihrem ursprünglichen Bauplan (Quellcode), ihrer Änderungshistorie und einer spezifischen Liste von „kaputten Schlössern" (CVEs), die in ihnen gefunden wurden, verknüpft.
Warum das wichtig ist: Der „Roboter"-Test
Die Autoren nutzten dieses Museum, um drei große Ideen zu testen, und agierten dabei wie ein Lehrer, der einem Schüler eine sehr knifflige Prüfung stellt.
1. Der „Mustererkennung"- versus „echtes Verständnis"-Test
Sie forderten Large Language Models (KI-Roboter) auf, die kaputten Schlösser zu finden.
- Die Falle: Wenn die KI lediglich auswendig gelernt hatte, wie ein kaputtes Schloss an einer Tür aus einer bestimmten Fabrik aussieht, würde sie versagen, wenn die Tür von einer anderen Fabrik gebaut wurde.
- Das Ergebnis: Die KI-Modelle waren überraschend gut darin, die kaputten Schlösser zu finden, wenn sie eine Beschreibung des Problems hatten. Wenn sie jedoch den rohen „Tür"-Körper (die kompilierte Binärdatei) ohne Beschreibung betrachten mussten, hatten sie Schwierigkeiten. Dies deutet darauf hin, dass die KI, obwohl sie besser wird, manchmal auf oberflächliche Hinweise angewiesen ist, anstatt die tiefgreifenden Mechanismen des Codes wirklich zu verstehen.
2. Der „Fingerabdruck"-Test
Die Forscher versuchten herauszufinden, ob sie anhand ihrer „Fingerabdrücke" (digitale Signaturen) erkennen konnten, welche Türen derselben Familie angehören.
- Sie probierten drei verschiedene Methoden zum Abnehmen von Fingerabdrücken aus: eine, die die gesamte Türform betrachtet, eine, die die interne Verkabelung betrachtet, und eine, die den Staub auf der Oberfläche betrachtet.
- Das Ergebnis: Die „Staub"-Methode (TLSH genannt) war am besten darin, Türen derselben Familie zusammenzufassen. Die anderen Methoden gerieten in Verwirrung, weil die verschiedenen Fabriken die Türen so unterschiedlich aussehen ließen, obwohl es dasselbe Design war.
3. Der „Zeit und Veränderung"-Test
Sie wollten wissen: Was lässt zwei Versionen derselben Tür unterschiedlich aussehen? Ist es nur der Zeitverlauf? Ist es die Anzahl der vorgenommenen Änderungen? Oder sind es die spezifischen Dateien, die ausgetauscht wurden?
- Mithilfe eines speziellen mathematischen Modells zerlegten sie die Unterschiede. Sie stellten fest, dass die Anzahl der geänderten Dateien der größte Faktor dafür war, dass die Türen unterschiedlich aussahen. Interessanterweise spielte der reine Zeitverlauf (Kalendertage) weniger eine Rolle als die tatsächliche Arbeit, die am Code verrichtet wurde.
Das Fazit
Diese Arbeit gibt uns nicht nur einen größeren Datenhaufen; sie gibt uns eine strukturierte Bibliothek, in der jedes Softwarestück mit seiner Geschichte, seinen Erstellern und seinen Fehlern verbunden ist.
Die wichtigste Erkenntnis ist, dass Software chaotisch ist. Eine Schwachstelle (ein kaputtes Schloss) bleibt im Bauplan gleich, aber sobald sie von verschiedenen Fabriken zu einer Tür verbaut wird, sieht sie sehr unterschiedlich aus. Um Sicherheit wirklich zu verstehen, müssen wir diese Unterschiede gemeinsam untersuchen, nicht isoliert. Dieser neue Datensatz ist das erste Werkzeug, das es Forschern ermöglicht, genau das zu tun.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.