基于新型VMI技术的内核Rootkit检测方案.PDFVIP

第３２卷第７期　　　 计算机应用与软件 Ｖｏｌ３２Ｎｏ．７ ２０１５年７月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｊｕｌ．２０１５ 基于新型ＶＭＩ技术的内核Ｒｏｏｔｋｉｔ检测方案 １ ２ ２ 陈　进 　夏虞斌 　臧斌宇 １（复旦大学软件学院　上海２００４３３） ２（上海交通大学软件学院　上海２００２４０） 摘　要　　随着互联网的发展，当今社会对于信息安全的关注度越来越高。内核级Ｒｏｏｔｋｉｔ能够隐藏自身及恶意软件，对系统安全 产生了严重威胁。现有基于虚拟化技术的内核Ｒｏｏｔｋｉｔ检测方案主要针对系统静态Ｈｏｏｋ进行检测和保护，对基于动态Ｈｏｏｋ的攻击 行为缺乏有效的分析和防御手段。为了解决上述问题，设计并实现了一种基于新型ＶＭＩ（ＶｉｒｔｕａｌＭａｃｈｉｎｅＩｎｔｒｏｓｐｅｃｔｉｏｎ）的检测内核 Ｒｏｏｔｋｉｔ的通用系统，对内核静态和动态Ｈｏｏｋ都能够进行检测和保护。实验表明，系统成功检测出内核级Ｒｏｏｔｋｉｔ对于内核Ｈｏｏｋ的 攻击和篡改，对大量常见的内核Ｒｏｏｔｋｉｔ都有效，同时对于基于动态Ｈｏｏｋ的攻击行为也能够及时报警，能够有效增强系统对于Ｒｏｏｔ ｋｉｔ的检测能力。 关键词　　内核Ｒｏｏｔｋｉｔｓ　内核Ｈｏｏｋ　虚拟机自省　系统安全 中图分类号　ＴＰ３１６　　　　文献标识码　Ａ　　　　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００３８６ｘ．２０１５．０７．０６５ ＡＮＥＷＶＭＩＢＡＳＥＤＫＥＲＮＥＬＲＯＯＴＫＩＴＤＥＴＥＣＴＩＯＮＳＣＨＥＭＥ １ ２ ２ ＣｈｅｎＪｉｎ　ＸｉａＹｕｂｉｎ　ＺａｎｇＢｉｎｙｕ １（ＳｏｆｔｗａｒｅＳｃｈｏｏｌ，ＦｕｄａｎＵｎｉｖｅｒｓｉｔｙ，Ｓｈａｎｇｈａｉ２００４３３，Ｃｈｉｎａ） ２（ＳｏｆｔｗａｒｅＳｃｈｏｏｌ，ＳｈａｎｇｈａｉＪｉａｏＴｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｓｈａｎｇｈａｉ２００２４０，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　ＷｉｔｈｔｈｅｄｅｖｅｌｏｐｍｅｎｔｏｆＩｎｔｅｒｎｅｔ，ｃｕｒｒｅｎｔｓｏｃｉｅｔｙｐａｙｓｍｏｒｅａｎｄｍｏｒｅａｔｔｅｎｔｉｏｎｓｏｎｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙ．Ｋｅｒｎｅｌｌｅｖｅｌｒｏｏｔｋｉｔｓ ａｒｅｔｈｅｓｅｒｉｏｕｓｓｅｃｕｒｉｔｙｔｈｒｅａｔｔｏｏｐｅｒａｔｉｎｇｓｙｓｔｅｍｂｅｃａｕｓｅｔｈｅｙｃａｎｈｉｄｅｔｈｅｍｓｅｌｖｅｓａｎｄｏｔｈｅｒｍａｌｉｃｉｏｕｓｓｏｆｔｗａｒｅ．Ｃｕｒｒｅｎｔｋｅｒｎｅｌｒｏｏｔｋｉｔ ｄｅｔｅｃｔｉｏｎｓｃｈｅｍｅｓｂａｓｅｄｏｎｖｉｒｔｕａｌｉｓａｔｉｏｎｔｅｃｈｎｏｌｏｇｙｍａｉｎｌｙｆｏｃｕｓｏｎｔｈｅｄｅｔｅｃｔｉｏｎａｎｄｐｒｏｔｅｃｔｉｏｎｏｆｓｔａｔｉｃｋｅｒｎｅｌＨｏｏｋｓｂｕｔｌａｃｋｓｅｆｆｅｃｔｉｖｅ ａｎａｌｙｓｉｓａｎｄｄｅｆｅｎｓｅｍｅａｎｓａｇａｉｎｓｔｔｈｅａｔｔａｃｋｓｂａｓｅｄｏｎｄｙｎａｍｉｃＨｏｏｋｓ．Ｔｏａｄｄｒｅｓｓｔｈｅａｂｏｖｅｐｒｏｂｌｅｍｓ，ｗｅｄｅｓｉｇｎａｎｄｉｍｐｌｅｍｅｎｔａｎｅｗ ｇｅｎｅｒｉｃｓｙｓｔｅｍｔｏｄｅｔｅｃｔｋｅｒｎｅｌｒｏｏｔｋｉｔｓｗｈｉｃｈｉｓｂａｓｅｄｏｎｎｅｗＶＭＩ，ｉｔｃａｎｄｅｔｅｃｔａｎｄｄｅｆｅｎｄｂｏｔｈｋｅｒｎｅｌｓｔａｔｉｃａｎｄｄｙｎａｍｉｃＨｏｏｋ． Ｅｘｐｅｒｉｍｅｎｔｄｅｍｏｎｓｔｒａｔｅｓｔｈａｔ，ｔｈｅｓｙｓｔｅｍｓｕｃｃｅｓｓｆｕｌｌｙｄｅｔｅｃｔｓｔｈｅａｔｔａｃｋｓａｎｄｔｅｍｐｅｒｓｏｎｋｅｒｎｅｌＨｏｏｋｂｙｔｈｅｋｅｒｎｅｌｌｅｖｅｌｒｏｏｔｋｉｔｓ，ａｎｄｉｔｉｓ ｅｆｆｅｃｔｉｖｅｔｏａｌｏｔｏｆｃｏｍｍｏｎｋｅｒｎｅｌｒｏｏｔｋｉｔｓ．Ｍｅ