积分商城

最新搜索： CH340 排插 入门教程 canopen TMC5160 altium Designer 20 电路设计与仿真从入门到精通
您现在的位置是：首页 > 技术资料 > 基于快速语义修复的操作系统隐藏对象检测技术
推荐星级：
  • 1
  • 2
  • 3
  • 4
  • 5

基于快速语义修复的操作系统隐藏对象检测技术

更新时间：2019-12-24 12:02:55 大小：1021K 上传用户：守着阳光1985查看TA发布的资源 标签：快速语义修复 下载积分：1分 评价赚积分 （如何评价?） 打赏 收藏 评论(0) 举报

资料介绍

与传统的入侵检测系统相比,基于虚拟机自省的入侵检测系统的抗干扰性更强.但由于存在语义鸿沟问题,即低层的硬件字节信息与操作系统级语义之间的差异,导致入侵检测系统的通用性和实时性下降.针对此问题,本文提出了Vlhd,一种基于语义鸿沟修复方法的rootkit隐藏对象检测技术.Vlhd将系统分离成离线和在线模块两部分.在线模块用于即时地在虚拟机外部重构虚拟机语义视图;离线模块用于离线地提取操作系统语义知识,并向在线模块提供语义服务.通过对各类Linux操作系统和多种rootkit进行入侵检测试验,发现Vlhd对rootkit的隐藏对象检测效果良好,通用性强.Vlhd的单次扫描时间为34ms,对系统引入了1.1%(扫描周期设置为8s时)的性能开销.


部分文件列表

文件名 大小
基于快速语义修复的操作系统隐藏对象检测技术.pdf 1021K

【关注视频号领20积分】   【关注公众号立即送20积分】

部分页面预览

（完整内容请下载后查看）
5
Vol． 46 No． 5  
May 2018  
第
期
电
子
学
报
2018  
5
ACTA ELECTRONICA SINICA  
年
月
基于快速语义修复的操作系统  
隐藏对象检测技术  
1，2  
1
3
1
， ， ，  
李勇钢 崔超远 乌 云 孙丙宇  
( 1．  
，
，
230031; 2．  
中国科学院合肥物质科学研究院 合肥智能机械研究所智能决策实验室 安徽合肥  
中国科学技术  
， 230088)  
中国科学院合肥物质科学研究院应用技术所 安徽合肥  
，
大学 安徽合肥  
230027; 3．  
:
， ．  
与传统的入侵检测系统相比 基于虚拟机自省的入侵检测系统的抗干扰性更强 但由于存在语义鸿沟  
摘
要
， ， ．  
问题 即低层的硬件字节信息与操作系统级语义之间的差异 导致入侵检测系统的通用性和实时性下降 针对此问题  
，
Vlhd，  
一种基于语义鸿沟修复方法的  
rootkit  
． Vlhd  
隐藏对象检测技术 将系统分离成离线和在线模块两部  
本文提出了  
． ; ，  
分 在线模块用于即时地在虚拟机外部重构虚拟机语义视图 离线模块用于离线地提取操作系统语义知识 并向在线  
．
模块提供语义服务 通过对各类  
Linux rootkit ， Vlhd rootkit  
操作系统和多种 进行入侵检测试验 发现 对  
的隐藏对象检测  
，
效果良好 通用性强  
． Vlhd  
34ms，  
的单次扫描时间为 对系统引入了  
1. 1% (  
8s ) ．  
扫描周期设置为 时 的性能开销  
:
;
; rootkit; xen;  
语义修复  
关键词  
中图分类号  
URL: http: / /www． ejournal． org． cn  
虚拟化 隐藏检测  
:
TP316  
:
A
: 0372-2112 ( 2018) 05-1025-07  
DOI: 10． 3969 /j． issn． 0372-2112． 2018． 05． 001  
文献标识码  
文章编号  
电子学报  
The OS Hidden Object Detection Technology Based on  
Fast Semantic Repair  
1，2  
1
3
1
LI Yong-gang ，CUI Chao-yuan ，WU Yun ，SUN Bing-yu  
( 1． Lab of Intelligent Decision，Institute of Intelligent Machines，Hefei Institutes of Physical Science，Chinese Academy of Sciences，  
Hefei，Anhui 230031，China; 2． University of Science and Technology of China，Hefei，Anhui 230027，China;  
3． Institute of Applied Technology，Hefei Institutes of Physical Science，Chinese Academy of Sciences，Hefei，Anhui 230088，China)  
Abstract: Compared with the traditional intrusion detection system，the intrusion detection system based on virtual  
machine introspection has stronger anti-jamming ability． However，the difference between the hardware byte information and  
the high level semantics leads to the decrease of the versatility and real-time． Aiming to solve this problem，this paper propo-  
ses Vlhd，a OS hidden object detection technology based on semantic repair method． Vlhd separates the system into two  
parts: the offline module and the online module． The online module reconstructs semantic view outside the target virtual ma-  
chine; the offline module is responsible for the extraction of OS semantic knowledge，and providing semantic services to the  
online module． Through a variety of rootkit intrusion detection test in various types of Linux OS，we find that Vlhd can de-  
tect the objects hidden by rootkits． A single scan time of Vlhd is 34ms，and the performance overhead is 1. 1% ( scan cycle  
is set to 8s) ．  
Key words: virtualization; hidden detection; rootkit; xen; semantic repair  
，rootkit  
，
开发者不断提升其隐藏性 所采用隐藏的  
驱使  
1
引言  
技术也由操作系统指令的简单替换升级为劫持内核控  
［4，5］  
，
( VM)  
随着虚拟化市场的不断扩大 虚拟机  
已经成  
．
新生恶意软件也往往和  
、
制流 直接内核对象操作等先进技术  
，
导致恶意软  
［1 ～ 3］  
rootkit  
为
攻击的新目标  
．
件更加难以被检测到  
rootkit  
， ．  
相结合进行自我隐藏 以规避检测 受商业利益  
，
近年来 研究人员针对  
rootkit  
进行了大量关于安  
: 2016-10-12;  
: 2017-07-21;  
:
责任编辑 蓝红杰  
收稿日期  
修回日期  
:
基金项目 国家自然科学基金  
( No． 31371340) ;  
( No． 2016YFB0502604)  
国家重点研发计划基金  
1026  
2018  
年
电
子
学
报
［6］  
，
( VMI)  
，
全检测服务 的研究 采用虚拟机自省  
技术提出  
的检测工具被从  
内部移至外部 使其与目标操作系统之间具有了更  
，VMI VM  
与数据访问进行分离后利用内核重定向技术 将处于  
TVM VM  
内存中的数据相结合生成自省程  
［7 ～ 9］  
．
VMI  
了多种入侵检测模型  
VM  
高的隔离性 另外  
基于  
内部的代码与  
． Virtuoso VMST ．  
的显著缺陷是性能损耗偏大  
，
序
与
．
，
上述方法自动化程度低 生成语义视图的过程大  
检测技术能够取得并分析  
，
硬件字节信息 以查看  
VM  
．
内部状态 但由于硬件的字  
， ．  
都依赖于专业的操作系统和内核知识 通用性不强 此  
， ，  
节信息与高层语义之间存在巨大差异 因此 此类方法  
， ．  
外 频繁的在线交互也会影响系统效率 相比之下  
，Vlhd  
—
也面临着一项重大挑战 消除语义鸿沟  
．
，
一方面离线地建立了完备的语义知识库 使其对内核  
，
解决语义鸿沟问题 需要对底层的硬件状态信息  
， ; ，  
版本不再敏感 提高了通用性 另一方面 避免了检测过  
．
进行系统级的语义重构 语义重构涉及到底层硬件状  
程中为获取语义信息而进行的在线交互和过多的手工  
、 ． ，  
态数据 高层语义信息和语义知识 其中 语义知识是桥  
， ．  
操作 提高了检测效率  
．
接底层状态数据和高层语义信息的桥梁 但不同操作  
3
Vhld  
系统总体设计  
， ，  
系统之间的语义知识存在差异 即使是细微差距 都可  
Vlhd  
1 ，  
的整体设计如图 所示 主要包括在线和离线  
．
能导致检测系统失灵 语义知识的获取主要采用在线  
， ，  
模块两部分 它们在逻辑上相互联系 部署上相互独立  
．
．
内核语义截取和手动获取两类方法 前者会严重影响  
离线模块负责构建语义知识库并向在线模块提供语义服  
;
到系统的执行效率 后者则使系统通用性受到限制  
．
．
务 语义知识库需要在系统运行之前就已由高级语义解  
，
针对以上问题 本文本文提出了  
Vlhd，  
一种基于轻  
，
析模块生成 其中包含各类  
OS  
语义信息及内核操作函  
rootkit  
． Vlhd  
离线  
量级语义修复的  
地构建完备的语义知识库 在线对语义进行重构 能够  
VM( TVM) rootkit  
隐藏对象检测方法  
． ，  
数 当接收到索引请求时 离线模块会根据请求参数调用  
，
，
．
相关函数获取语义信息并反馈至在线模块 完成上述动  
．
检测到目标  
中被  
隐藏的对象 通过与  
， ，  
作后 离线模块进入静默状态 等待下一个索引请求  
．
，Vlhd  
、
在检测效果 效率  
与其他检测工具的对比可发现  
．
以及通用性上都有较大的优势  
2
相关工作  
VMI  
研究者们采用  
技术解决语义鸿沟问题并展开  
［7］  
． X-TIER  
TVM  
了大量的研究工作  
VM ．  
状态信息 首先向  
采用介入  
的方式获取  
中注入模块 然后通过该模块  
VM  
TVM  
，
TVM  
，
读取  
级调用  
的数据结构以获取  
的状态信息 最后以超  
( Hypercall)  
VM  
的形式将获取的信息实时传递给  
［8］  
( VMM) ．  
X-TIER  
，SYRINGE  
func-  
管理器  
与
不同  
技术 使其能够在  
Localized shepherding  
采用  
外部对其内部的  
技术监控  
SYRINGE  
tion-call injection  
，
VM  
．
函数进行调用 同时采用  
数据获取代码的控制流完整性  
VM  
． X-TIER  
与
的
， ．  
内外频繁交互 影响系统性能  
实现过程需  
［10］  
LibVMI  
TVM  
．
即可获得其内部状态 用  
无需介入  
接口可获取到诸如进程列表 网络端口  
TVM LibVMI  
LibVMI  
、
、
户通过  
可加载模块等  
TVM  
．
状态信息 但  
生成语义视图  
，
．
内部的特定文件的支持 如对进程描  
的过程 需要  
，
述符和可加载内核模块的定位 都需要在线手动提取  
TVM  
system． map  
，
文件 导致  
LibVMI  
TVM  
与 之间存  
的
VM( SVM)  
，
内部 监视客户  
VM  
在线模块部署在安全  
( GVM)  
．
在强耦合的特点  
． ，  
状态 在线模块采用在线即时处理的方式 通过  
［11］  
［12］  
Virtuoso  
VMST  
，
从控制逻辑角度着手 解决  
和
hypervisor GVM  
获取  
， ，  
的硬件字节信息 然后解析语义 进  
． Virtuoso  
， VM  
首先进行训练 将  
语义鸿沟问题  
TVM  
内部程序  
． :  
行入侵检测 在线模块主要包括三部分 内存定位映射模  
， ;  
内运行多次 提取相关指令及指令执行路径 之  
在
， ．  
块 语意视图构建模块及交叉视图验证模块 内存定位映  
;
后动态地提取生成自省代码所需的路径 最后将其融合  
GVM  
( ) ，  
中监视对象 如进程 的虚拟地址 进行  
射模块定位  
VM ． VMST vir-  
外执行语义重构的代码 针对  
翻译为可在  
，
可读映射 然后精确读取特定地址中相应字节数的内存  
tuoso  
，
训练工作繁琐且自动化程度低的问题 将代码执行  

相关下载

全部评论(0)

暂无评论
评论赚积分>>

上传资源 上传优质资源有赏金

热门标签

更多>>

最新上传

  • 打赏
  • 30日榜单

热门下载

推荐下载

本站上的所有资源均为源于网上收集或者由用户自行上传，仅供学习和研究使用，无任何商业目的，版权归原作如有侵权，请 来信指出，本站将立即改正。

ICP许可证号：京ICP证070360号     21IC电子网 2000- 版权所有

京ICP备11013301号

京公网安备 11010802024343号