基于Xen虚拟化的内核态rootkit检测-计算机技术专业论文.docxVIP

万方数据 万方数据 创新性声明 本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究 成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不 包含其他人已经发表或撰写过的研究成果；也不包含为获得西安电子科技大学或 其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做 的任何贡献均已在论文中做了明确的说明并表示了谢意。 申请学位论文与资料若有不实之处，本人承担一切相关责任。 本人签名： 日期 关于论文使用授权的说明 本人完全了解西安电子科技大学有关保留和使用学位论文的规定，即：研究 生在校攻读学位期间论文工作的知识产权单位属西安电子科技大学。本人保证毕 业离校后，发表论文和使用论文工作成果时署名单位仍然为西安电子科技大学。 学校有权保留送交论文的复印件，允许查阅和借阅论文；学校可以公布论文的全 部或部分内容，可以允许采用影印、缩印或其它复印手段保存论文。(保密的论文 在解密后遵循此规定) 本人签名： 日期 导师签名： 日期 摘 要 随着计算机技术的不断发展，计算机在越来越多的领域得到了应用。伴随而 来的计算机系统安全问题越来越引起人们的关注，围绕计算机系统安全的相关问 题成为研究的热点。内核态 rootkit 是目前隐藏性最好、最难检测的一类恶意软件， 对计算机系统安全构成了严重威胁，研究内核态 rootkit 的检测技术有十分重要的 意义。 本文首先对与内核态 rootkit 紧密相关的 Linux 内核知识以及本文采用的 Xen 虚拟化技术进行了分析与介绍。然后研究分析了内核态 rootkit 的攻击技术与原理。 传统的 rootkit 检测方法依赖于系统底层的系统调用或数据结构，当内核 rootkit 入 侵系统时，检测结果不再准确。利用虚拟化结构的特点，本文提出了基于虚拟化 的内核 rootkit 检测方法。本文将检测工具部署在被检测系统外的虚拟机中，利用 虚拟机监控器对被检测虚拟机的 CPU、内存信息完全可见的优势，针对内核态 rootkit 攻击内核关键数据和代码、隐藏进程信息的特点，对被检测系统中内核的关 键区域的完整性以及隐藏进程信息进行检测从而确定 rootkit；利用虚拟化架构提供 的隔离性等特性，保证检测工具不受被检测系统中 rootkit 的攻击。最后本文在 80X86 系统结构的计算机上，利用 Xen 虚拟化平台构建了系统原型，并进行了 rootkit 检测的实验。 关键词：Linux 内核 rootkit 检测 虚拟化 Abstract With the development of computer technology, computer is widely used in more and more fields. The security of computer system is more and more important and interesting, the issues related to security of computer is the hot point of today’s research. Kernel mode rootkit is one class of the best hidden and the most difficult detected malicious, it’s a huge threat to the security of computer system. To research the detection of kernel mode rootkit has a important significance. This article introduced and analyzed Linux kernel which is closely related to the kernel mode rootkit and Xen virtualization which is used in this article. Then this article deeply analyzed the principle and techniques of kernel mode rootkit. Traditional methods for detection of rootkit rely on the underlying system call or kernel data structure, when kernel mode rootkit intrusion system, the result of traditional is no longer accurate. B