丁丽萍-基于虚拟机的取证技术-无锡.ppt

虚拟环境下的取证分析 Derek Bem,Ema Huebner. University of West Sydney,Australia. “Computer Forensics in a Virtual Enviroment”. International Journal of Digital Evidence Fall 2007, Volume 6, Issue 2 基于虚拟机回放技术的计算机取证 　 简单地说，虚拟机回放几乎允许记录在点击录制与点击结束之间的发生在虚拟机中的任何事件。这是一个执行记录。可以在任何需要的时候回放记录的内容.更重要的是记录是在指令层面上的，所以，保存了完整的内存和系统状态。这个过程保存了guestOS发出的所有指令。这些指令包括所有的I/O指令、用户点击和任何其他类型的异步调用。 因此，回放虚拟机的这些记录的指令就可以进行gestOS中的事件重构。 影子系统 影子系统并非虚拟系统，因为它执行在使用中的系统上，只是原系统的影子！意思是说，原系统中安装了任何软件，作了任何配置，一切都在影子系统中保存。而且用户可以随时调用影子系统，影子系统便马上进入状态，用户不须重新安装系统，亦不须等待执行时间。 影子系统的最大特点是，用户由原系统进入影子系统，再退出影子系统返回原系统的整个过程，所做的数据储存，上网的记录，软件的安装等等所有的操作都不会被记录。可以说，“就像没有做过任何事情”一样。 影子系统的应用 1、利用影子系统能对操作不留任何痕迹，可用于对技术高超的嫌疑人进行秘密取证（当然，也可以用于反取证）； 2、预防病毒入侵、发作、木马的攻击等，真正的百毒不侵； 3、下载带有可疑附件的电子邮件； 4、测试、调试新软件，无任何后顾之忧与删除垃圾之工作； 5、修改注册表时，可以在影子系统上尝试，看看会否出现严重问题； 6、服务器上使用影子系统，让它更加安全、稳定，并减少管理员维护的负担； 7、试用极危险的操作 。 影子系统的取证 影子系统的本质：是一个磁盘过滤驱动。在硬盘上划出一个区域，然后把用户所有的操作全部保存到这个区域里，重启就撤销这种映射关系。 如果这块区域没有被覆盖过的话，其上的影子系统及其所做的操作完全可以恢复。 衷心感谢！ 我的联系方式： 北京市海淀区中关村南四街4号5号楼1201 中国科学院软件研究所基础软件国家工程研究中心 丁丽萍 邮政编码：100190 联系电话：0108312 手机电子邮箱：dlp@iscas.ac.cn National Engineering Research Center of Fundamental Software Institute of?Software, Chinese?Academy of Sciences Address: 4# South?Fourth Street, Zhong Guan Cun,?Haidian District,Beijing 100190.?P.R.CHINA P.O.BOX 8718 Beijing China Email address: dlp@iscas.ac.cn * * * * * As an example, a VMware VM requires one of its associated programs (Workstation, Player, or Server) to be installed on the host machine in order to run. Other virtual machines may be able to run from an external device without having an associated program installed on the host machine. * Xenon 的安全策略 Xenon 是基于开源hypervisor 的一个高保证虚拟机监控器（high-assurance virtual machine monitor ） 其安全策略模型是一个有条件的无干扰策略模型 用一个基于事件的范式描述了信息流的隔离和共享 实现了模型和 Xenon 接口的一致性. Xenon的基本信息流控制策略——MSL （　 multiple single levels ）信息流策略 信息隔离策略 禁止域间的任何信息流 信息共享策略 对上述策略做了修改，当两个域中的一个是作为所有安全域的最小上确界的边界控制域时，允许信息流动 所有其他的信息流是禁止的。 事件和接口定义 隔离策略事件： 共享请求事件： 共享策略事件： Xenon的安全