对协议逆向工程自动化中的交互和信息需求的调查

研究背景与问题

• 作者发现的问题或挑战： 自动化的协议逆向工程（Protocol Reverse Engineering，简称ProtocolREing）工具在实际使用中有限，因为它们缺乏用户交互性，从而导致逆向工程师（ProtocolREs）更倾向于手动执行此任务或使用简单的可视化工具。

• 为什么这个问题重要： ProtocolREing 是恶意软件分析及网络安全的核心任务，尤其是在分析复杂嵌入式系统及不可运行的软件时。更好的工具可以提高效率并减少操作复杂性。

• 研究动机与相关工作： 当前研究大多集中在基于软件逆向工程（SoftwareREing）的人机交互研究，但 ProtocolREing 的人因研究仍处于空白。作者希望填补这一空白，通过理解 ProtocolREs 的过程和需求，为下一代工具的交互设计提供指导。

解决方案

• 作者提出的解决方法： 作者提出设计更优的 ProtocolREing 自动化接口，研发人机交互优化的支持工具，并通过对逆向工程师的访谈和原型设计来理解用户需求。

• 该解决方案的创新之处：

  1. 提出了专门针对 ProtocolREing 工作流的迭代循环模型，核心聚焦在字段边界识别和数据类型推断。
  2. 设计和测试了一个纸质原型的自动化界面，囊括了当前工具的优势特性，并新增了用户反馈和快速交互机制。
  3. 系统揭示了 ProtocolRE 的特定信息需求和交互需求，如对数据分布、统计信息及解释型自动化反馈的需求。

• 实施步骤及关键技术：

  1. 访谈设计：与16位专业 ProtocolREs 进行半结构化访谈以了解其需求和工作流程。
  2. 原型开发：融合现有工具功能和人机交互文献，设计五种视图（包括十进制-十六进制视图、拆分-合并视图、数据类型解码、直方图等）。
  3. 信息与交互需求的编码分析：基于访谈结果进行开放编码和轴心编码，提取关键主题和模式。
  4. 迭代研究模型：构建 ProtocolREing 的流程图，包括字段边界标记、数据类型推断及整合上下文信息。

研究成果

• 具体成果：

  1. ProtocolRE 的核心任务集中在字段边界（Field Boundaries）和数据类型（Data Types）的识别与迭代调整。
  2. 过程紧密交互，且需求多样化（如动态数据可视化、解释型数据支持、与其他工具的无缝集成）。
  3. 新的迭代研究模型展示了快速切换假设和验证的特点，特别在人机协作方面非常重要。

• 实验或评估结果：

  • 原型视图成功揭示了当前 ProtocolREing 工具的局限性，如缺乏用户自定义字段边界或数据类型，以及工具对自动化建议的解释能力不足。
  • 大多数参与者认可 Histogram View 和 Split-Merge View 的设计对初始探索的重要性，但认为应该隐藏冗余信息以避免视觉疲劳。

• 与现有解决方案相比的优势：

  1. 强调了用户与自动化工具的互动性，允许用户通过快速反馈机制引导自动化分析。
  2. 提供了数据分布和类型推断的可视化支持，使分析师能更快验证假设。
  3. 特别关注 ProtocolREing 的独特需求（如快节奏的迭代测试和灵活的格式支持），建立了比传统静态工具（如 Wireshark、CyberChef）更高的适配度。

• 局限性与未来方向：

  1. 局限性：

     • 研究样本量有限，仅限于16位专家。
     • 使用的纸质原型限制了对真实交互环境的全貌模拟。
     • 分析行业新人和专家间需求差异的实验未开展。

  2. 未来方向：

     • 开发基于原型设计的实际工具，并与嵌入式或恶意软件样本结合测试。
     • 扩大样本量，覆盖新手和更广泛的专业人士以验证通用性。
     • 探讨与代码分析领域（SoftwareREing）的交合点，研究两种不同任务的共同点与差异。
     • 增强合作验证模块，支持自动生成协议解析脚本并与其他工具（Wireshark等）整合。