|
|
EDA365欢迎您登录！
您需要 登录 才可以下载或查看，没有帐号？注册
x
摘要:与传统的入侵检测系统相比,基于虚拟机自省的人侵检测系统的抗干扰性更强.但由于存在语义鸿沟问题,即低层的硬件字节信息与操作系统级语义之间的差异,导致入侵检测系统的通用性和实时性下降.针对此问题，本文提出了VIhd,一种基于语义鸿沟修复方法的rootkit隐藏对象检测技术.VIld将系统分离成离线和在线模块两部分.在线模块用于即时地在虚拟机外部重构虚拟机语义视图;离线模块用于离线地提取操作系统语义知识,并向在线模块提供语义服务.通过对各类Linux操作系统和多种 rootkit进行入侵检测试验,发现Vlld对rookit 的隐藏对象检测效果良好,通用性强.Vlhd 的单次扫描时间为34ms ,对系统引入了1.1%(扫描周期设置为8s时)的性能开销.$ G( t5 N! ^: V
5 E' ]' Z! E( o) {; J- z, ?
关键词:虚拟化;隐藏检测;rootkit; xen;语义修复5 e/ W# s8 Z! {
{- o: M* L7 o; x3 O7 v
随着虚拟化市场的不断扩大,虚拟机(VM)已经成为rootkit 攻击的新目标.新生恶意软件也往往和rootkit相结合进行自我隐藏,以规避检测.受商业利益驱使, rootkit开发者不断提升其隐藏性,所采用隐藏的技术也由操作系统指令的简单替换升级为劫持内核控制流、直接内核对象操作等先进技术,导致恶意软件更加难以被检测到.6 C% ^% g! ]0 f/ i; e
1 k6 |% I- ?' j8 ]& L
: U9 \2 }" E4 K- s A' m3 }
$ z( D* y0 l Q& C
! X9 `- o! o% J4 O3 P) `" J9 h# s* v2 o+ `& a N+ `% _2 d
- L, w7 Z, g; i! @$ t9 P4 n
) P! {! a3 y' ^7 Z0 u
/ m4 Y5 X) \" Q8 B4 |6 d% X- |' f' d. @. R- N
|
|
/1 
发表于 2021-7-23 09:57
收藏
淘帖
支持！
反对！