一种采用硬件虚拟化的内核数据主动保护方法

作者：傅建明; 沙乐天; 李鹏伟; 彭**

来源：四川大学学报(工程科学版), 2014, 46(01): 8-13.

DOI：10.15961/j.jsuese.2014.01.027

• 硬件虚拟化
• 内核数据完整性
• Rootkit检测

为保护操作系统内核的完整性,提出了一种基于硬件虚拟化技术的保护方案。该方法对关键寄存器、代码指针表、函数代码等恶意代码攻击的关键点进行识别和放入保护区,利用硬件虚拟化的自动陷入机制检测对保护区的非法篡改。同时,利用单步执行技术和事件转发技术保障OS其它操作的兼容性。另外,通过保护页的合并减少保护区的长度以提高异常处理的效率。最后,实现了一个采用该技术的原型工具——HVKDAP,该工具检测了主流的9款Rootkit样本,实验结果证实其增加的负载为12.7%。该工具还可以抑制内核本地权限提升的攻击,以及用于内核攻击的取证。

• 单位
  武汉大学; 软件工程国家重点实验室