基于TWPos内核完整性保护.pdfVIP

第 44卷 第 6期 电 子 科 技 大 学 学 报 、，o1．44 No．6 2015年l1月 JournalofUniversityofElectronicScienceandTechnologyofChina NOV．2015 基于TWPos内核完整性保护 何 进，范明钰，王光卫 (电子科技大学计算机科学与工程学院 成都 611731) 【摘要】内核rookits攻击对内核的完整性构成致命威胁，因此对内核rootkits防护是内核完整性保护的重点。当前研究主 要侧重于内核rootkits探测和防护，不足之处在于：1)rootkits防护存在单一保护模式；21内核rootkits探测只能做探测使用，即 便发现内核已经受到攻击，也无能为力 鉴于这种情况，该文设计了一种内核完整性保护方法，采用安全认证保护和探测恢 复两种方式(TWPos)4~护操作系统，同时具备探测和防护能力，即便 内核受到攻击也能进行恢复。实验表明，TwPos系统既 能全面有效的防护，而且又不牺牲系统性能，并且兼容多种OS系统。 关 键 词 探测恢复复试； 内核完整性；rootkits；安全认证保护模式；TWPos；虚拟机管理 中图分类号 TP309 文献标志码 A doi：10．3969~．issn．1001—0548．2015．06．017 ProtectionofKernelIntegritywithTwo—-M odeProtection OperationSystem HEJin，FAN Ming—yu，andWANGGuang—wei (SchoolofComputerScienceandEngineering，UniversityofElectronicSciencenadTechnologyofChina Chengdu 611731) Abstract Kernel—leve1rootkitsaaacksposeadeadlythreattokernelintegrity,andkernelrootkitsiScurrently aresearch foCUS，primarilyfocusedonkeme1．1evelrootkitsdetectionandrootkitsprotection．Howeve~these studiesarealwaysflawed：therootkitsprotectionpresentsasingleprotectedmode；kemel—levelrootkitsdetection canonlydothedetectionuse，evenifthekernelhasbeenfoundtobeaRacked，thereisnomethodtosolve．Give thissituation，wedesignatwo．modeprotectionoperationsystem (TWPos)。thisiS．akernel—levelintegrity protectionmethodalongwiht detectionandprotectioncapability,evenifthekemelisalreadyunderattack，TW Pos alsorecoverieskemelintegrity．Theexperimentsshow thatTWPosisacomprehensiveandeffectiveprotection systemwithoutsacrificingsystem performancefortheprice．andiscompatiblewithavarietyOfOSsystems． Keywords detection recoverymode； kernelintegrity： rootkits； safeauthentication protectionmode； wt o·modeprotectionoperationsystem； virtua1machinemonitoring