基于虚拟机架构内核Rootkit防范方案.pdfVIP

72 2011 ，47 （11） Computer Engineering and Applications 计算机工程与应用 基于虚拟机架构的内核Rootkit 防范方案 1，2 1 1 赵 帅 ，武延军 ，贺也平 1，2 1 1 ZHAO Shuai ，WU Yanjun ，HE Yeping 1.中国科学院 软件研究所 基础软件国家工程研究中心，北京 100190 2.中国科学院 研究生院，北京 100190 1.National Eng. Research Center of Fundamental Software ，Institute of Software ，Chinese Academy of Sciences ，Beijing 100190，China 2.Graduate University of Chinese Academy of Sciences ，Beijing 100190，China ZHAO Shuai ，WU Yanjun ，HE Yeping.Virtual machine based method to prevent kernel Rootkits.Computer Engineering and Applications ，2011 ，47 （11）：72-74. Abstract ：Kernel Rootkit runs in the kernel space of the operating system and is a huge threat to the security of computer system.Previous research shows that nearly all Rootkits modify the control flow of the OS kernel.The paper identifies the re- sources which affect kernel control flow in Linux.By protecting these resources in the OS kernel ，the kernel control flow can be prevented from being compromised.Experiments show that this method can effectively defend against a variety of Linux kernel Rootkits. Key words ：Rootkit ；virtual machine ；integrity protection 摘 要：内核Rootkit 是运行在操作系统内核空间的恶意程序，对系统安全构成巨大威胁。研究表明，内核Rootkit 的共同特征是 修改内核的程序控制流程。分析了Linux 内核中影响程序控制流程的资源，并通过对这些资源进行保护，来防止Rootkit 对内核 控制流程的篡改。实验表明，该方法能够有效防止多种Rootkit 对Linux 内核的攻击。 关键词：Rootkit；虚拟机；完整性保护 DOI ：10.3778/j.issn. 1002-8331.2011.11.020 文章编号：1002-8331（2011 ）11-0072-03 文献标识码：A 中图分类号：TP316.81 1 概述 1所示。SecVisor[1]和NICKLE[2]是近期提出的使用虚拟机技术 Rootkit 是攻击者向计算机系统中植入的，能够隐藏自身 防范Rootkit 的方案。 踪迹并保留超级用户访问权限的恶意程序。Rootkit 分为用户 用户程序 级和内核级两种。内核Rootkit 运行在操作系统的内核空间， 用户程序 操作系统 通过劫持系统调用，拦截中断，模块注入，内联挂钩等攻击手