基于快速语义修复的操作系统隐藏对象检测技术

作者：李勇钢; 崔超远; 乌云; 孙丙宇

来源：电子学报, 2018, 46(05): 1025-1031.

• 虚拟化
• 隐藏检测
• rootkit
• xen
• 语义修复

与传统的入侵检测系统相比,基于虚拟机自省的入侵检测系统的抗干扰性更强.但由于存在语义鸿沟问题,即低层的硬件字节信息与操作系统级语义之间的差异,导致入侵检测系统的通用性和实时性下降.针对此问题,本文提出了Vlhd,一种基于语义鸿沟修复方法的rootkit隐藏对象检测技术.Vlhd将系统分离成离线和在线模块两部分.在线模块用于即时地在虚拟机外部重构虚拟机语义视图;离线模块用于离线地提取操作系统语义知识,并向在线模块提供语义服务.通过对各类Linux操作系统和多种rootkit进行入侵检测试验,发现Vlhd对rootkit的隐藏对象检测效果良好,通用性强.Vlhd的单次扫描时间为34ms,对系统引入了1.1%(扫描周期设置为8s时)的性能开销.

• 单位
  中国科学技术大学; 合肥智能机械研究所; 中国科学院合肥物质科学研究院