기술 요약: 에이전트 프로그램 분석을 통한 폴리글롯 마이크로서비스의 권한 상승 탐지

문제 정의

마이크로서비스 아키텍처는 확장성과 장애 허용성을 제공하지만, 권한 제어에 있어 상당한 복잡성을 초래합니다. 이러한 시스템은 종종 폴리글롯(Java, Python, Go 등 다양한 언어로 구현됨) 이며 분산되어 있어, 권한이 있는 작업이 적절히 보호되도록 보장하기 어렵습니다.

핵심적인 과제는 공격자가 무단으로 리소스나 작업에 접근할 수 있게 하는 권한 상승 취약점을 탐지하는 것입니다. 기존 솔루션은 다음과 같은 세 가지 특정 과제로 인해 이를 효과적으로 해결하지 못합니다:

1. 분산 및 이질적 복잡성 (C1): 단일 요청은 종종 서로 다른 언어와 프로토콜 (예: gRPC, REST, Kafka) 을 사용하는 여러 서비스에 걸쳐 있습니다. 단일 서비스가 종단 간 권한 강제 로직에 대한 완전한 관점을 갖지 못하며, 전통적인 정적 분석 도구는 일반적으로 단일 언어에 국한됩니다.
2. 의미적 이해 (C2): 권한 상승을 식별하려면 코드의 의도(예: setUserRole 이 권한이 있는 작업임을 인식) 와 보안 점검의 적절성 (예: 일반적인 인증과 특정 역할 적합성 구분) 을 이해해야 합니다. 이는 버퍼 오버플로우와 같은 구조적 패턴을 넘어섭니다.
3. 점검과 작업의 상관관계 (C3): 특정 작업을 보호하는 권한 부여 점검을 결정하려면 데코레이터, 미들웨어, 라우터 등 다양한 구조에 걸쳐 제어 및 데이터 종속성을 추적해야 합니다. 고정된 분석 파이프라인은 다양한 애플리케이션의 구조적 패턴 변화에 적응할 수 없습니다.

이전 도구들은 단일 언어 오염 분석 (예: MScan) 에만 초점을 맞추거나 서비스 간 추론이 부족 (예: CodeQL) 한 반면, 기존 에이전트 솔루션 (예: EnIGMA) 은 비구조화된 텍스트로 전체 파일을 읽을 때 확장성 문제로 어려움을 겪습니다.

방법론: NEO 프레임워크

저자들은 LLM(Large Language Models) 을 활용한 의미적 추론과 확장 가능한 서비스 간 추적을 위한 고전적 프로그램 분석을 결합한 에이전트 프로그램 분석 프레임워크인 NEO를 제시합니다. NEO 는 LLM 에이전트가 코드 검색 원시 (primitives) 를 조율하여 취약점을 식별하는 반복적 루프를 통해 작동합니다.

1. 코드 검색 엔진 및 원시

LLM 추론과 확장 가능한 분석 사이의 간극을 메우기 위해 NEO 는 CodeQL 위에 구축된 코드 검색 원시 세트를 도입합니다. 이러한 원시들은 언어별 구문을 통합된 언어 중립 인터페이스로 추상화하여, LLM 이 복잡하고 오류가 발생하기 쉬운 CodeQL 쿼리를 직접 생성할 필요 없이 코드베이스를 쿼리할 수 있게 합니다. 핵심 원시는 다음과 같습니다:

• Qname: 식별자로 함수, 변수 또는 타입을 찾기 위한 이름 기반 조회.
• Qast: 언어 간 메서드 호출, 필드 접근 등 구문 패턴을 식별하기 위한 AST 기반 조회.
• Qflow: 서비스 내 요소 간 데이터 전파를 추적하기 위한 흐름 추적.
• Qcg: 호출자/피호출자와 같은 절차 간 관계를 탐색하기 위한 호출 그래프 순회.
• Qsource / Qinter / Qglobalflow: 데이터 소스, 서비스 간 통신 지점, 그리고 글로벌 서비스 간 흐름을 식별하기 위한 특수 연산.

2. 에이전트 워크플로우

NEO 는 탐지 작업을 세 가지 상호 연결된 단계로 분해합니다:

1. 권한이 있는 작업 식별: 에이전트는 LLM 추론과 코드 검색 원시를 사용하여 민감한 리소스에 접근하거나 보호된 상태를 수정하는 작업을 식별합니다. 소스 코드를 검색 (getSource()) 하고 의미적 의도를 평가하여 후보를 검증합니다.
2. 서비스 간 흐름 추적: 에이전트는 글로벌 도달성 그래프를 구성합니다. 외부 사용자 입력 (소스) 에서 식별된 권한이 있는 작업 (싱크) 으로 이어지는 데이터를 서비스 간 통신 채널을 통해 추적합니다. 이는 서비스 내 흐름 (Qflow) 과 서비스 간 호출 (Qinter) 을 연결하는 과정을 포함합니다.
3. 보안 점검 검증: 각 흐름에 대해 에이전트는 경로를 순회하여 인증 (authN) 및 권한 부여 (authZ) 점검을 찾습니다. LLM 을 사용하여 다음을 수행합니다:
   • 점검 국소화: 작업을 보호하는 데코레이터, 미들웨어 또는 인라인 로직을 찾습니다.
   • 충분성 평가: 점검이 해당 작업을 적절히 보호하는지 판단합니다 (예: 일반 접근이 아닌 특정 역할 적합성을 검증하는지 확인).
   • 경로 실현 가능성 검증: 조건부 로직에서 경로制약을 추출하여 SMT-LIB 형식으로 변환한 후 Z3 솔버를 사용하여 실현 불가능한 경로를 필터링합니다 (오검출 감소).

주요 기여

1. 코드 검색 원시: 직접적인 LLM 기반 코드 읽기의 한계를 극복하고 폴리글롯 코드베이스 전반에 유연하고 확장 가능한 코드 탐색을 가능하게 하는 소수의 통합된 언어 중립 원시 설계.
2. NEO 프레임워크: 권한이 있는 작업을 식별하고, 서비스 간 흐름을 추적하며, 보안 점검을 검증하기 위해 LLM 추론과 이러한 원시를 동적으로 조율하는 새로운 에이전트 프로그램 분석 시스템.
3. 확장성: 프레임워크의 핵심 아키텍처가 다른 취약점 유형 (예: 명령어 삽입, SQL 삽입) 탐지와 최소한의 수정으로 범용 (비마이크로서비스) 애플리케이션에 적용될 수 있음을 입증.

평가 결과

저자들은 25 개의 오픈소스 마이크로서비스 애플리케이션(7 개 언어, 620 만 줄의 코드에 걸쳐 있음) 에서 NEO 를 평가했습니다.

• 취약점 발견: 평가 코퍼스에서 NEO 는 24 개의 제로데이 권한 상승 취약점을 발견했습니다.
• 그라운드 트루스 성능: 20 개의 검증된 취약점이 포함된 4 개 애플리케이션의 그라운드 트루스 데이터셋에서 NEO 는 81.0% 의 정밀도와 85.0% 의 재현율을 달성했습니다.
• 비교:
  • MScan(최첨단 오염 분석 도구) 과 비교할 때, NEO 는 특히 애플리케이션 고유의 권한이 있는 작업과 관련된 취약점을 훨씬 더 많이 발견했습니다.
  • CodeQL과 비교할 때, NEO 는 서비스 간 분석에서 더 우수한 능력을 보여주었습니다.
  • EnIGMA(에이전트 도구) 와 비교할 때, NEO 는 24 개 더 많은 취약점을 발견했습니다. EnIGMA 는 전체 파일을 읽을 때 컨텍스트 소진으로 인해 종종 실패한 반면, NEO 의 검색 원시는 관련 컨텍스트를 효율적으로 검색했습니다.
• 절대 연구: 코드 검색 원시를 제거하면 재현율이 4.8% 로 떨어졌으며, 이는 그 필요성을 강조합니다. 반복적 컨텍스트 검색을 제거하면 오검출이 크게 증가했습니다.
• 확장성: 별도의 연구에서 NEO 는 다른 유형 (명령어 삽입, SQL 삽입) 과 범용 애플리케이션 전반에 걸쳐 18 개의 추가 제로데이 취약점을 식별했습니다.

중요성과 주장

이 논문은 NEO 가 현대 클라우드 시스템의 자동화된 보안 분석에서 중요한 발전을 나타낸다고 주장합니다. 그 주요 중요성은 이전 도구들이 어려움을 겪었던 마이크로서비스의 폴리글롯 및 분산된 특성을 성공적으로 해결하는 데 있습니다.

LLM 의 의미적 추론 능력과 정적 분석의 구조적 정밀도 및 확장성을 결합함으로써 NEO 는 확장성이 부족한 순수 텍스트 기반 에이전트와 의미적 깊이 및 크로스 언어 지원이 부족한 전통적 정적 분석기의 한계를 극복합니다. 저자들은 이 에이전트 프로그램 분석 패러다임이 수동 검토나 기존 자동화 도구를 통해 식별하기 어려운 복잡한 논리 기반 취약점을 탐지하는 유망한 방향을 제시한다고 주장합니다.

이 작업은 책임 있는 공개를 강조하며, 발견된 42 개의 취약점 중 18 개는 개발자들이 인정했고 제출 당시 8 개는 패치되었습니다. 저자들은 동적 언어 기능 (예: 리플렉션) 과 구성 파일 분석과 관련된 한계를 지적하며, 이는 향후 연구 영역으로 남아 있다고 밝혔습니다.