MARC

 008260126s2023        us                              c    eng  d
■001000017360555
■00520260202105546
■006m          o    d                
■007cr#unu||||||||
■020    ▼a9798263396077
■035    ▼a(MiAaPQ)AAI32315591
■035    ▼a(MiAaPQ)GeorgiaTech73137
■040    ▼aMiAaPQ▼cMiAaPQ
■0820  ▼a741
■1001  ▼aXiao,  Feng.
■24510▼aUnderstanding  and  Mitigating  Security  Threats  in  Software  Supply  Chain
■260    ▼a[Sl]▼bGeorgia  Institute  of  Technology▼c2023
■260  1▼aAnn  Arbor▼bProQuest  Dissertations  &  Theses▼c2023
■300    ▼a152  p
■500    ▼aSource:  Dissertations  Abstracts  International,  Volume:  87-05,  Section:  B.
■500    ▼aAdvisor:  Lee,  Wenke.
■5021  ▼aThesis  (Ph.D.)--Georgia  Institute  of  Technology,  2023.
■520    ▼aModern  software  heavily  relies  on  the  software  supply  chain  ecosystem  to  boost  development  efficiency  and  reduce  costs.  Due  to  its  popularity,  securing  the  software  supply  chain  has  become  an  increasingly  critical  concern  for  individuals,  organizations,  and  governments  alike.  Unfortunately,  the  inherent  vastness,  complexity,  and  interdependence  of  the  software  supply  chain  often  render  existing  security  techniques  inadequate.  In  particular,  as  software  developers  nowadays  incorporate  a  plethora  of  unfamiliar  third-party  code,  it  is  becoming  increasingly  challenging  for  existing  vulnerability  detection  and  mitigation  techniques  to  understand  and  restrict  program  behaviors.To  tackle  the  diverse  threats  and  rising  complexities,  my  dissertation  proposes  a  series  of  novel  program  analysis  techniques  that  focus  on  validating  the  interactions  between  supply  chain  modules.  This  decision  choice  is  based  on  two  reasons:  First,  this  approach  enables  unified  validation.  While  supply  chain  modules  have  diverse  types  and  their  internal  details  can  be  vastly  different,  the  way  they  connect  to  other  parts  of  the  system  is  standardized  (e.g.,  through  API  invocations).  By  focusing  on  this  unified  interaction  channel,  we  can  simplify  the  development  of  security  tools  since  they  can  operate  on  the  same  level  of  abstraction,  regardless  of  the  module's  underlying  technology  or  implementation.  Second,  this  approach  allows  efficient  and  scalable  analysis.  By  focusing  on  the  interactions,  our  analysis  can  avoid  the  complexity  and  resource-intensive  process  of  diving  into  the  full  internals  of  every  module.  Instead,  our  approach  can  concentrate  on  the  essential  "contract"  between  the  modules,  i.e.,  the  API  calls,  data  flows,  and  control  transfers  that  occur  at  the  boundaries.  This  allows  for  a  more  scalable  approach  to  security,  as  it  reduces  the  amount  of  code  that  must  be  analyzed  without  compromising  the  ability  to  detect  potential  vulnerabilities  that  could  affect  the  supply  chain.Along  this  path,  I  have  designed  and  implemented  a  robust,  end-to-end  program  analysis  framework.  In  this  dissertation,  I  first  present  LYNX  and  JASMINE,  which  are  designed  to  assist  developers  in  understanding  the  security-related  properties  of  complex  supply  chain  software.  Specifically,  LYNX  is  capable  of  revealing  and  comprehending  hidden  execution  paths  or  input  spaces  that  arise  from  careless  use  of  supply  chain  software  packages.  LYNX  has  led  to  the  discovery  of  a  novel  attack  vector,  Hidden  Property  Abusing  (HPA),  as  well  as  15  previously  unknown  vulnerabilities.  JASMINE,  on  the  other  hand,  is  a  scalable  program  analysis  diagram  that  simplifies  the  complexity  of  supply  chain  security  analysis  by  focusing  on  inter-module  behaviors  when  analyzing  bloated  and  complex  third-party  modules.  By  applying  JASMINE  to  real-world  programs  in  the  Node  Package  Manager  (npm)  supply  chain,  we  successfully  detected  22  new  vulnerabilities,  many  of  which  were  assigned  the  highest  severity  rating  by  the  Common  Vulnerability  Scoring  System  (CVSS).  In  the  end,  I  will  present  XGuard,  a  tool  designed  for  developers  to  implement  robust  and  efficient  security  protection.  This  tool  utilizes  the  comprehensive  security  properties  identified  by  LYNX  and  JASMINE  to  automatically  generate  detailed  protection  policies.  With  the  policy,  XGuard  ensures  the  integrity  of  data  and  control  flow  within  the  supply  chain  software.
■590    ▼aSchool  code:  0078.
■650  4▼aDesign
■650  4▼aUnmanned  aerial  vehicles
■650  4▼aBehavior
■650  4▼aSoftware
■650  4▼aSoftware  development
■650  4▼aApplication  programming  interface
■650  4▼aExploitation
■650  4▼aSemantics
■650  4▼aAerospace  engineering
■650  4▼aComputer  science
■650  4▼aRobotics
■690    ▼a0389
■690    ▼a0538
■690    ▼a0984
■690    ▼a0796
■690    ▼a0771
■71020▼aGeorgia  Institute  of  Technology.
■7730  ▼tDissertations  Abstracts  International▼g87-05B.
■790    ▼a0078
■791    ▼aPh.D.
■792    ▼a2023
■793    ▼aEnglish
■85640▼uhttp://www.riss.kr/pdu/ddodLink.do?id=T17360555▼nKERIS▼z이  자료의  원문은  한국교육학술정보원에서  제공합니다.

미리보기

내보내기

chatGPT토론

Ai 추천 관련 도서