Wintersemester 26/27

Die Vorlesung „Application Management“ bietet eine umfassende Einführung in die Planung, Entwicklung, Bereitstellung, Sicherheit und Wartung von Anwendungen über ihren gesamten Lebenszyklus hinweg. Die Studierenden erhalten ein tiefes Verständnis dafür, wie moderne Anwendungen effizient und sicher verwaltet werden können, um den stetig wachsenden Anforderungen der Softwareentwicklung gerecht zu werden. In der Veranstaltung wird die Bedeutung der Sicherheit in modernen Anwendungen hervorgehoben und ermutigt zu bewährten Praktiken. Sie betont, wie wichtig es ist, robuste Sicherheitsmechanismen in den Entwicklungsprozess zu integrieren, um potenzielle Schwachstellen zu minimieren und Benutzerdaten zu schützen. Weiterhin werden nicht nur technische Aspekte behandelt, sondern auch Aspekte des Managements, hierzu zählen Update-Strategien, Wartungsroutinen und Backup/Recovery-Methoden. Dieses Wissen ist entscheidend, um Anwendungen kontinuierlich funktionsfähig und sicher zu halten.

In den letzten Jahren haben LLM-basierte Coding Assistants beeindruckende Fortschritte erzielt. Im Bereich der IT-Sicherheit werden Large Language Models (LLMs) – also auf riesigen Datenmengen trainierte neuronale Netze zur Verarbeitung von Code und Sprache – zunehmend eingesetzt, um Schwachstellen direkt im Quellcode zu identifizieren. Die rein textuelle Verarbeitung von Code ist jedoch oft suboptimal. Dabei werden Code-Fragmente in sogenannte Embeddings (numerische Vektoren) umgewandelt, die jedoch die strukturelle und semantische Essenz des Codes nur unzureichend erfassen und somit den Kern eines Problems verfehlen können. In dieser Projektgruppe soll daher analysiert werden, wie aussagekräftigere Coderepräsentationen die Qualität der Schwachstellenerkennung in Solidity-Smart-Contracts (der primären Sprache für die Ethereum-Blockchain) verbessern können. Dazu entwickeln die Studierenden ein Framework, das Quellcode in strukturierte Formate überführt, darunter: Abstract Syntax Trees (Baumstrukturen, die die syntaktische Gliederung des Codes abbilden), Kontrollflussgraphen (Graphen, die alle möglichen Ausführungspfade eines Programms zeigen, und Code Property Graphs (ASTs, CFGs und Datenflüsse in einem einzigen Graphen vereint). Anschließend werden Modelle trainiert, die für solche Strukturen optimiert sind, insbesondere Graph Neural Networks (GNNs). Parallel dazu werden existierende LLMs wie CodeLLaMa durch Fine-Tuning – ein gezieltes Nachtrainieren auf spezialisierten Daten – für die Aufgabe angepasst. In einer umfassenden empirischen Studie werden die Ergebnisse quantifiziert und visualisiert. Als Bewertungsmetriken dienen dabei etablierte Maße wie Accuracy (Anteil korrekter Vorhersagen), Recall (Anteil der gefundenen Schwachstellen an allen existierenden) und der F1-Score (ein balanciertes Maß aus beiden). Als Grundlage dient ein selbst erstellter, manuell verifizierter Datensatz, der als verlässliche Baseline für den Modellvergleich fungiert. Nach Abschluss des Projekts sind die Studierenden in der Lage, die Vor- und Nachteile verschiedener Coderepräsentationen für die statische Analyse zu bewerten. Sie können dieses Wissen praktisch anwenden, um Neuronale Netze und Transformer-Modelle gezielt für die automatisierte Schwachstellensuche in Smart Contracts zu trainieren und anzupassen.

Dieses Bachelorprojekt bietet die Gelegenheit, in den aktuellen Stand der Technik der IT-Sicherheit einzutauchen. Wissenschaftliche Publikationen gehen üblicherweise mit einem Forschungsartefakt einher, etwa dem Programmcode und den Evaluationsdaten. Diese Artefakte bilden den Ausgangspunkt für unser Projekt. Sie arbeiten sich in eine aktuelle Publikation ein, bringen das zugehörige Artefakt zum Laufen, reproduzieren dessen Ergebnisse und erweitern es anschließend um einen eigenen Beitrag. Dabei schärfen Sie Fähigkeiten, die weit über das Projekt hinaus tragen: das Einarbeiten in komplexe fremde Systeme, das eigenständige Lösen offener Probleme und das Bewerten wissenschaftlicher Ergebnisse.

Bei der Einführungsveranstaltung stellen wir eine kuratierte Liste von Artefakten aktueller Security-Konferenzen vor, und Sie melden sich für das Projekt an. Wer ausgewählt wird, wählt anschließend drei Artefakte aus dieser Liste aus und gibt sie mit einer Rangfolge der Präferenz an. Daraufhin weisen wir jedem und jeder Studierenden ein Artefakt und eine Betreuung zu. Die Zahl der Plätze ist begrenzt. Alle Termine finden in Präsenz statt, und die Teilnahme an den Kolloquien ist verpflichtend. Ein unentschuldigtes Fehlen bei den Kolloquien führt zum Nichtbestehen des Projekts.

Ablauf:

 

• Einführungsveranstaltung (05.11., 14 Uhr, SGW-007): Anmeldung sowie Vorstellung der Artefakte.
• Erstes Kolloquium (Dezember): Sie stellen Ihre geplante Erweiterung vor und begründen, warum sie interessant und nützlich ist.
• Zweites Kolloquium (Februar): Sie präsentieren den aktuellen Stand und die Herausforderungen, einschließlich eines Videos, das die bisher implementierten Erweiterungen zeigt.
• Finales Kolloquium (März): Abschlusspräsentation mit einer Video-Demo des finalisierten Artefakts sowie Abgabe der schriftlichen Ausarbeitung und des Artefakts.

Bewertung:

Der Fokus liegt nicht allein auf dem Endergebnis, sondern ebenso auf Ihrer Mitarbeit über das gesamte Semester. Dazu zählen Ihre Beteiligung an den Diskussionen in den Kolloquien, Ihre Fragen zu den vorgestellten Arbeiten der übrigen Teilnehmenden sowie die Videos, mit denen Sie ab dem zweiten Kolloquium Ihre Erweiterungen am Artefakt in Aktion zeigen. Bewertet wird, was Sie im Verlauf des Projekts tatsächlich leisten, nicht allein das abschließende Ergebnis.

Die genauen Termine geben wir rechtzeitig bekannt.

In dieser Vorlesung erhalten die Studierenden einen Überblick über aktuelle Forschung, Angriffstechniken und Abwehrmethoden im Bereich der Software- und Systemsicherheit. Es werden Sicherheitsprobleme und Schutztechnologien auf Applikations- und Betriebssystemebene für unterschiedliche Rechnerarchitekturen (Desktop PCs, mobile und eingebettete Systeme) analysiert. Ein besonderer Fokus dieser Vorlesung ist die Verwundbarkeit von Softwaresystemen gegenüber Laufzeitangriffen (Exploits). Ziel der Vorlesung ist sowohl das Verständnis von modernen, praktischen Angriffstechniken gegen Softwaresysteme als auch die Entwicklung und Anwendung von Sicherheitstechnologien für Softwaresysteme. Die Vorlesung umfasst folgende Themenschwerpunkte:

• Konventionelle und fortgeschrittene Software Exploittechniken (Buffer Overflow, Return-Oriented Programming)
• Entwicklung von Sicherheitstechnologien zur Detektion und Prävention von Software Exploits (Programmfluss-Integrität, Speicherrandomisierung)
• Software Fault Isolation und Application Sandboxing
• Betriebssystemsicherheit und Zugriffsmodelle mit praktischen Beispielen anhand von Sicherheitsarchitekturen in Multics, Android und Windows
• Trusted Computing Konzepte
• Hardware-basierte Konzepte zur Unterstützung von Softwaresicherheit

Die Studierenden kennen die wichtigsten Klassen von Angriffstechniken und Abwehrmethoden im Bereich der Softwaresicherheit von der Applikationsebene bis zum Betriebssystem. Sie besitzen fundierte Kenntnisse in der Entwicklung von Angriffstechniken auf Softwaresystemen und sind in der Lage konkrete Verfahren zur Härtung von Softwaresystemen gegen fortgeschrittene Softwareangriffe anzuwenden. Sie kennen hardware-basierte Verfahren zur Durchsetzung von Softwaresicherheit und kennen die aktuelle Forschung und Problemstellungen bezüglich der Entwicklung von sicheren Softwaresystemen. Zusätzlich beherrschen sie die Konzepte von Softwarebasierten Angriffstechniken und Abwehrmethoden für verschiedenen Rechnerplattformen.

• W. Stallings, L. Brown: Computer Security: Principles and Practice, Prentice Hall, 2014
• M. Bishop: Computer Security: Art and Science, Pearson Education, 2015
• T. Jaeger: Operating System Security, Morgan & Claypool, 2008
• C. Anley, J. Heasman, F. Lindner, G. Richarte: The Shellcoder's Handbook: Discovering and Exploiting Security Holes, Wiley, 2007
• L. Davi: Building Secure Defenses Against Code-Reuse Attacks, Springer, 2015
• R. Anderson. Security Engineering: A Guide to Building Dependable Distributed Systems, Wiley, 2008
• Aktuelle wissenschaftliche Publikationen von einschlägigen Sicherheitstagungen (werden in der Vorlesung bekannt gegeben)

mündlich