기술 요약: Aray – YARA 검증을 위한 양호한 아티팩트의 결정론적 우선 합성

1. 문제 정의

YARA 규칙은 악성코드 탐지의 표준이지만, 해당 규칙이 샘플을 올바르게 매칭하는지 확인하는 긍정적 검증(positive validation) 과정은 실제 악성코드 샘플을 저장하고 배포해야 한다는 요구사항으로 인해 운영상 어려움을 겪고 있습니다. 이러한 의존성은 다음과 같은 상당한 오버헤드를 발생시킵니다:

• 보안 및 컴플라이언스: 실제 악성코드 코퍼스를 유지하기 위해서는 엄격한 출처 관리, 접근 제어 및 격리된 분석 환경이 필요합니다.
• 운영상의 마찰: 규칙을 공유하는 것은 쉽지만, 해당 규칙을 트리거하는 특정 악성코드 표본을 공유하는 것은 어렵습니다. 이는 지속적 통합(CI), 재해 복구(DR) 연습, 에어갭(air-gapped) 테스트를 복잡하게 만듭니다.
• DR의 한계: 효과적인 DR 훈련에는 복구된 환경이 객체를 수용하고, 규칙을 트리거하며, 이를 격리할 수 있는 현실적인 시나리오가 필요합니다. 복구 영역에 라이브 악성코드를 복제하는 것은 공격 표면을 확장하는 반면, 이를 제외하면 긍정적 탐지 경로를 테스트할 수 없게 됩니다.

기존 솔루션은 광범위한 실행 권한을 가진 악성코드 에뮬레이션이나 LLM에 의존하는 경우가 많으며, 이는 격리 위험을 초래합니다. 본 논문은 긍정적 검증이 **존재론적(existential)**인 문제라고 주장합니다. 즉, 원래 악성코드의 동작을 재구성할 필요 없이, 규칙의 매치 세트에 속하는 단 하나의 파일 수준 구성원(member)만 있으면 된다는 것입니다.

2. 방법론: Aray

Aray는 결정론적 우선 방식의 YARA 인터프리터이자 긍정적 피스처(positive-fixture) 합성 도구입니다. 이 시스템의 핵심 설계 철학은 관습적 코드(conventional code)(구문, 컨테이너 구조 및 직렬화를 제어)와 생성 모델(generative models)(페이로드 리터럴 제안 또는 지원되지 않는 구문의 정규화로 제한됨)을 분리하는 것입니다.

2.1 아키텍처 및 신뢰 경계

시스템은 모델이 백엔드 소스 코드, 컨테이너 메타데이터 또는 완전한 바이너리를 생성하지 못하도록 하는 엄격한 신뢰 경계 내에서 작동합니다.

• 결정론적 코어(Deterministic Core): 파싱, 규칙 축소, 유형화된 증거(문자열, 정수) 추출, 레이아웃 할당 및 바이너리 직렬화(ELF, PE 또는 generic)를 처리합니다.
• 모델 보조 단계(Model-Assisted Stages): 모델은 다음 작업에 대해서만 호출됩니다:
  1. 정규화(Normalization): 복잡한 규칙(예: regex, 변수 hex)을 구성 가능한 형태로 만들기 위해 건설적 특수화(constructive specializations)를 제안합니다.
  2. 잔여 판단(Residual Judging): 결정론적 증명 파편을 벗어나는 후보들을 검증합니다.
  3. 추출 폴백(Extraction Fallback): 결정론적 추출이 실패했을 때 지원되지 않는 구법을 처리합니다.
• 제어 흐름: 파이프라인은 제한된 재시도를 위해 LangGraph를 사용합니다. 결정적으로, 구현(realization) 단계는 순수하게 결정론적임을 보장하기 위해 **도달 불가능한 모델 엔드포인트(unreachable model endpoint)**를 포함하는 실행 환경을 갖춥니다.

2.2 규칙 정규화 및 특수화

Aray는 원래의 규칙 $r$과 합성된 규칙 $r'$ 사이의 의미론적 동등성을 주장하지 않습니다. 대신, $r'(x) = \text{match} \implies r(x) = \text{match}$를 만족하는 **건설적 특수화(constructive specialization)**를 추구합니다.

• 전략: 시스템은 이산(disjunctions, OR)을 단일 충분한 분기로 축소하고, 임계값(N of)을 특정 선언 세트로 축소합니다.
• 검증: 정규화된 후보들은 구문, 규칙 정체성 및 유지된 수정자(modifiers)에 대한 결정론적 검사를 거칩니다. Regex 증거는 문맥적(시작, 끝, 내부)으로 검증되어 제약 없는 리터럴이 되지 않도록 합니다.
• 렉시컬 탐지 제한: 렉시컬 능력 탐지기는 완전하지 않습니다. 인식되지 않은 형태는 불완전한 증거를 가지고 진행되거나 과도하게 제약될 수 있습니다. 결과적으로, 시스템은 완전한 YARA 솔버가 아니기 때문에 모든 규칙 형태에 대해 완전한 구성 가능성 평가를 보장하지 않습니다.

2.3 결정론적 추출 및 레이아웃

시스템은 두 가지 유형의 유형화된 증거를 추출합니다:

1. 문자열 엔트리: 고정 리터럴, hex 데이터, 그리고 특정 인코딩(ASCII, Wide) 및 배치 제약(정확한 오프셋, 범위)을 가진 regex 패턴.
2. 정수 엔트리: 16/32비트 부호 없는 읽기, 비교, 그리고 중첩된 포인터 역참조(특히 uint32 리틀 엔디언).

레이아웃 할당:

• ELF: GNU 링커 스크립트를 사용하여 파일 오프셋을 가상 주소에 명시적으로 매핑함으로써 섹션의 정확한 배치를 보장합니다.
• PE: 2패스 저정렬(two-pass low-alignment) 전략을 채택합니다. 프로브 빌드(probe build)가 링커의 섹션 오프셋을 식별하면, 최종 빌드는 DOS 헤더에 대한 정확한 파일 오프셋 위치에 바이트를 배치할 수 있습니다.
• Generic: 실행 가능한 헤더가 없는 원시 아티팩트를 위한 직접 바이트 라이터(direct byte writers)를 사용합니다.

2.4 검증 오라클(Validation Oracle)

평가는 정규화된 규칙에만 의존하지 않습니다. 독립적인 **상위 원본 규칙(upstream original rule)**을 사용하여 최종 아티팩트를 스캔합니다.

• 아티팩트는 (정규화된 파생물이 아닌) 원래의 소스 규칙과 일치해야 합니다.
• 이 "오라클"은 구체적인 증거 $b$를 원래의 술어 $r$에 대해 검증하여, 생성된 모든 피스처에 대해 직접적인 소스 규칙 검증을 제공합니다.

3. 주요 기여

본 논문은 다섯 가지 주요 기여를 제시합니다:

1. 결정론적 방법론: YARA 소스 파일을 독립적인 타겟 규칙으로 축소하고, 지원되는 파편에 대해 구성 가능성을 평가하며, 악성 행위를 재구성하지 않고 유형화된 증거를 추출하는 파이프라인.
2. 검증 레이어: 구문, 정체성, 문맥적 regex/hex 증거를 다루는 정규화된 규칙을 위한 결정론적 검증기이며, 잔여 의미론을 위해서만 모델 판단을 예약함.
3. 실행 파일 합성: ELF(링커 스크립트를 통해) 및 PE(사후 빌드 검증을 포함한 2패스 저정렬 구축을 통해)에서 정확한 파일 오프셋 합성을 위한 기술.
4. 스캐너 지향 라이터: 컴파일러 툴체인을 필요로 하지 않고 ELF, PE 또는 generic 아티팩트를 생성하는 직접 라이터.
5. 단계별 평가: 결정론적 구현을 격리하기 위해 프리즈드 핸드오프(frozen handoff)와 도달 불가능한 모델 엔드포인트를 사용하는 엔드 투 엔드 평가.

4. 평가 결과

시스템은 Yara-Rules 레포지토리에서 선택된 416개의 공개 규칙 항목을 대상으로 평가되었습니다.

• 정규화: 416개 항목 모두 허용되었습니다. 182개(43.75%)는 모델의 도움 없이 처리되었고, 234개(56.25%)는 모델에 의해 정규화되었습니다.
• 구성 가능성 사전 점검(Preflight): 406개 항목이 사전 점검을 통과했습니다. 10개 항목은 예상된 제한 사항(지원되지 않는 7개의 pe.* 모듈, 2개의 전체 파일 해시 요구사항, 1개의 정수 너비 문제)으로 인해 거부되었습니다. 사전 점검은 일반적인 구성 가능성을 해결하는 것이 아니라 알려진 종단 사례(예: 지원되지 않는 모듈, 해시 프리이미지)를 분류합니다.
• 실현(Realization): 허용된 406개 항목 모두 아티팩트로 성공적으로 합성되었습니다.
• 검증: 모든 합성된 아티팩트는 연결된 상위 원본 규칙과 일치했습니다.
  • 전체 수율(Overall Yield): 406/416 (97.6%).
  • 조건부 실현(Conditional Realization): 406/406 (100%).
  • 실패: 허용된 규칙 중 yara_mismatch와 구성 실패는 0건이었습니다.
• 결정론: 도달 불가능한 엔드포인트는 구현 단계에서 모델 호출이 0회임을 확인했습니다.

과정 중에 발견된 두 가지 특정 regex 기반 실패(앵커링된 regex 관련)는 문맥적 검증기를 강화함으로써 수정되었으며 재검증되었습니다. 최종 보고된 수치는 이러한 사후 수정된 시스템 결과를 반영합니다.

5. 의의 및 주장

본 논문은 자신의 의의를 보편적인 YARA 만족 가능성에 대한 이론적 증명이 아닌 운영적 솔루션으로 겸허히 규정합니다.

• 안전성: Aray는 YARA 규칙을 충족하지만 악성 행위(지속성, C2, 페이로드)를 구현하지 않는 "양호한" 아티팩트를 합성합니다. 이를 통해 실제 악성코드를 배포하지 않고도 탐지 파이프라인, CI/CD 및 재해 복구 테스트를 안전하게 수행할 수 있습니다.
• 격리(Containment): 관습적 코드가 바이너리 구조에 대한 권한을 갖도록 하고 모델 접근을 제한함으로써, Aray는 LLM 보조 사이버 테스트(예: 에이전트 체이닝 취약점)의 위험을 완화합니다.
• 감사 가능성: 시스템은 검사 가능한 "구성 술어(construction predicate)"를 제공합니다. 독립적인 원본 규칙 오라클의 사용은 합성된 증거가 단순한 근사치가 아닌 진실의 원천에 대해 유효함을 보장합니다.
• 한 한계: 저자들은 Aray가 완전한 YARA 솔버가 아님을 명시합니다. 이는 모든 모듈(pe.* 등), 복잡한 산술 또는 일반적인 불리언 조건을 지원하지 않습니다. 또한, 규칙의 매치 세트에 대한 정형적이거나 최소한의 표현이 아닌, 단 하나의 존재론적 증거를 생성합니다.

결론적으로, Aray는 상당한 수준의 감사 가능한 결정론적 코어가 어떻게 정규화된 YARA 술어를 휴대 가능한 테스트 피스처로 변환할 수 있는지 보여주며, 이를 통해 검증 목적으로 라이브 악성코드 코퍼스를 유지해야 하는 운영 부담을 크게 줄여줍니다.