Facebook 오픈 소스 Mariana Trench 정적 분석기

Facebook은 Android 플랫폼 및 Java 프로그램용 애플리케이션의 취약점을 식별하는 것을 목표로 하는 새로운 개방형 정적 분석기 Mariana Trench를 출시했습니다. Dalvik 가상머신용 바이트코드만 제공되는 소스코드 없이 프로젝트 분석이 가능합니다. 또 다른 장점은 매우 높은 실행 속도(수백만 줄의 코드 분석에 약 10초 소요)로, Mariana Trench를 사용하여 제안된 모든 변경 사항이 도착하는 대로 확인할 수 있습니다. 프로젝트 코드는 C++로 작성되었으며 MIT 라이선스에 따라 배포됩니다.

이 분석기는 Facebook, Instagram 및 Whatsapp용 모바일 애플리케이션의 소스 텍스트 검토 프로세스를 자동화하는 프로젝트의 일부로 개발되었습니다. 2021년 상반기에는 Facebook 모바일 애플리케이션의 전체 취약점 중 절반이 자동화된 분석 도구를 사용하여 식별되었습니다. Mariana Trench 코드는 다른 Facebook 프로젝트와 밀접하게 얽혀 있습니다. 예를 들어 Redex 바이트코드 최적화 프로그램은 바이트코드를 구문 분석하는 데 사용되었으며 SPARTA 라이브러리는 정적 분석 결과를 시각적으로 해석하고 연구하는 데 사용되었습니다.

SQL 쿼리, 파일 작업, 외부 프로그램을 트리거하는 호출 등 위험한 구조에서 원시 외부 데이터가 처리되는 상황을 식별하기 위해 애플리케이션 실행 중 데이터 흐름을 분석하여 잠재적인 취약점과 개인 정보 보호 문제를 식별합니다.

분석기의 작업은 데이터 소스와 소스 데이터를 사용해서는 안 되는 위험한 호출을 식별하는 것입니다. 분석기는 함수 호출 체인을 통해 데이터의 전달을 추적하고 소스 데이터를 코드의 잠재적으로 위험한 위치와 연결합니다. . 예를 들어 Intent.getData에 대한 호출을 통해 수신된 데이터는 소스 추적이 필요한 것으로 간주되며 Log.w 및 Runtime.exec에 대한 호출은 위험한 사용으로 간주됩니다.

출처 : opennet.ru