基于虚拟机自省的隐藏文件检测方法.pdf

2016年 第25卷 第 1期 http：llwww．c—S—a．org．cn 计 算 机 系 统 应 用 基于虚拟机 自省的隐藏文件检测方 乌 云 ，李 平 ，一，李勇钢 r2， ． f中国科学院合肥物质科学研究院 应用技术研究所，合肥 ~30088) (中国科学院 合肥智能机械研究所，合肥 230031) 中国科学技术大学 自动化系，合肥 230027) 摘 要：通过检测虚拟机 内部的隐藏文件，检测工具可以及时判断虚拟机是否受到攻击．传统的文件检测工具驻 留在被监视虚拟机中，容易遭到恶意软件的攻击．基于虚拟机 自省原理，设计并实现一种模块化的虚拟机文件检 测方法FDM．FDM借助操作系统内核知识，解析虚拟机所依存的物理硬件，构建虚拟机文件语义视图，并通过与 内部文件列表 比较来发现隐藏文件．FDM 将硬件状态解析和操作系统语义信息获取以不同模块实现，不仅具备 虚拟机 自省技术的抗干扰性，还具备模块化架构的可移植性与高效性．实验结果表明，FDM 能够准确快速地检测 出虚拟机内部的隐藏文件． 关键词：虚拟机 自省；文件检测；隐藏文件 M ethodofHiddenFileDetectionBasedonVirtualM achineIntrOspecti0n 、ⅣU Y ，LIPing ，LIYong．Gang， (‘InstituteofAppliedTechnology,ChineseAcademyofSciences，Hefei230088，China) (InstiutteofIntelligentMachines，ChineseAcademyofSciences，Hefei23003l，China) (DepartmentofAutomation，UniversityofScienceandTechnologyofChina，Hefei230027，China) Abstract：Thede~ctiontoolscanjudgewhetherthevirtualmachineisunderattackornotthroughdetectinghtehidden files．Thetraditionalfiledetectiontoolsresideni themonitoredvirtualmachine．whicharevulnerabletoattackbyhte malicioussoftwrae．Accordingtohtevirtualmachnieintrospection，amodularizedvirtualmachinefiledetectionmethod (FDM)isdesignedandimplemented．、vitl1hteoperatingsystemkernelknowledge．FDMcanparsethephysicalhardwrae andbuildthesemanticview ofthefiles．ThenFDM canidentifyhtehiddenfilesbycomparingwiththeintemalfilelist． Menawhile，parsnighradwarestatusandobtaniingsemanticniformationareimplementedindifferentmodules．FDM has notonlyhtetamperresistanceofhtevirtualmachineinrtospection，also hasamodulararchitecutre，portability and efficiencyTh eexperimentalresultsshow htattheFDM canquicklyna daccuratelydetecthtehiddenfilesinsidevirtual machnie． Keywords：virtualmachineintrospection；filedetection；hiddenfile 随着互联网技术的发展，网络安全备受人们的关 算机病毒、木马等恶意代码 已经成为威胁互联网安全 注．中国互联网络信息中心2013年发布的(2013年中 的重大隐患． 国网民信息安全状况研究报告》【显示：有 74．1％的网 云计算对计算机资源的利用主要通过虚拟机