论文研究-基于不变量保护的内核rootkit入侵检测和系统恢复 .pdf
需积分: 10 79 浏览量
2019-08-21
03:10:53
上传
评论
收藏 288KB PDF 举报
http://www.paper.edu.cn
- 1 -
中国科技论文在线
基于不变量保护的内核 rootkit 入侵检测和
系统恢复
#
邓凌志，陈浩，孙建华
1**
基金项目：国家重点基础研究发展计划（973 计划）项目（2007CB310900）
作者简介：邓凌志，（1985-），男，硕士研究生，计算机虚拟化技术、计算机系统安全
通信联系人：陈浩，（1977-），男，副教授，主要研究方向：并行分布式系统、网络安全和信息安全、操
作系统和虚拟机. E-mail: haochen@aimlab.com
（湖南大学信息科学与工程学院，长沙 410082） 5
摘要：最新的内核 rootkit 通过改变运行时操作系统内核中的动态数据结构的方法来达到其
恶意的目的。这种方法更隐蔽更难于发现和恢复，对操作系统安全构成了严重的考验。本文
提出了一种虚拟机架构下结合内核不变量保护和快照回卷技术的 rootkit 入侵检测和系统
恢复机制，实现了验证系统 IDRS(Intrusion Detection and Recovery System)，它通过实
时对操作系统运行过程进行监测，能够高效地发现引起内核不变量发生改变的 rootkit 入10
侵，并触发基于可信快照的系统恢复；通过结合写时复制技术 、重定向技术和增量系统快
照卷技术实现了高性能系统快照卷，从而实现操作系统的高性能恢复。基于真实工作负载和
基准测试程序的实验表明，IDRS 系统能以较低的系统性能消耗高准确性的发现不管是破坏
控制类数据结构还是非控制类数据结构的 rootkit 入侵，并恢复受污染的系统。
关键词：系统不变量检测；系统恢复；增量快照15
中图分类号：TP31
An Architecture for Intrusion Detection and System
Recovery from kernel Data Structures’ Invariant Violations
Deng Lingzhi, Chen Hao, Sun Jianhua 20
(College of Information Science and Engineering,Hunan University, ChangSha 410082)
Abstract: The newest kernel-level rootkits affect system security by tampering with the running
kernel data structures to achieve a variety of malicious goals. The way is more secret and harder to
discover it and to recover the system’s reliability, being a serious challenge for system’s security.
A virtual machine based architecture for system reliability recovery by compositing detection of 25
kernel data structures’ invariant and snapshot recovery technique is proposed, IDRRs. By real time
monitoring the system operating status, a rootkit's invation by violating the system's invariants can
be effectively detected and then triggers a corresponding recovery behavious; By compositing
copy on write technique、redirect on write technique and incremental snapshot technique, the
IDRRs maintains a high performance reliability snapshot; After adopting Self-adaptive snapshot 30
generation policy, modification to data block will be traced, and the time interval of generating a
new trustful snapshot volume can be dynamically shifted to follow the waving of application loads,
and then effectively recover the dirty system’s reliability. In our experiments, we found that
IDRRs can detect rootkits that both polluting control and non-control data structures, and then
recover the system’s reliability from it. Both the false positive rate and recovering overheads are 35
negligible.
Keywords:
Detection of kernel data structures’ invariant; System recovery; Incremental snapshot
0 引言
近年来 rootkit 技术获得了长足的进步，其所带来的危害受到了人们的广泛关注，各种40
针对它的检测技术也日臻完美，但有关从这种危害中恢复安全操作系统的研究却发展缓慢。
最新的内核 rootkit 通过改变运行中系统内核的数据结构来达到其恶意的目的，这种方法更
隐蔽更难于发现和恢复，对系统安全构成了严重的危害。这些被其利用的内核数据结构包括
剩余10页未读，继续阅读
资源评论
weixin_39840914
- 粉丝: 435
- 资源: 1万+
