基于内核不变量保护的rootkit入侵检测和系统恢复

论文摘要

互联网应用的蓬勃发展伴随了网络入侵的迅速增长。攻击的目标也逐渐由系统用户对象转入操作系统内核；这种攻击更难于发现和处理,给操作系统带来了巨大的破坏性。以内核rootkit为代表的入侵行为,在侵入计算机系统后会进行痕迹清理和后门创建等工作。通过获得系统管理者权限,内核rootkit能够窃取用户隐私信息或在未经用户允许的情况下执行非法操作。而目前的入侵检测和系统恢复技术远远落后于内核rootkit技术的发展,使得网络环境下的操作系统屡遭攻击。最新的内核rootkit通过改变运行时操作系统内核中的动态数据结构的方法来达到其恶意的目的。这种方法更隐蔽更难于发现和恢复,对操作系统安全构成了严重的考验。本文提出了一种虚拟机架构下结合操作系统内核数据结构不变量保护和快照回卷技术的内核rootkit入侵检测和系统恢复机制,实现了验证系统IDRS(Intrusion Detection and Recovery System),它通过实时对操作系统运行过程进行监测,能够高效地发现引起内核不变量发生改变的rootkit入侵,并触发基于虚拟机快照的系统恢复；通过结合写时复制技术、重定向技术和增量系统快照卷技术实现了高性能系统快照卷,从而实现操作系统的高性能灾难恢复。基于真实工作负载和基准测试程序的实验表明,IDRS系统能以较低的系统性能消耗高准确性的发现不管是破坏控制类数据结构还是非控制类数据结构的内核rootkit入侵,并恢复受污染的系统。

论文目录

• 摘要
• Abstract
• 插图索引
• 附表索引
• 第1章 绪论
• 1.1 课题背景与意义
• 1.2 国内外研究现状
• 1.2.1 rootkit
• 1.2.2 入侵检测
• 1.2.3 系统恢复
• 1.2.4 传统方法的局限性
• 1.3 本文的研究内容
• 1.4 本文的结构组织
• 第2章 相关研究综述
• 2.1 引言
• 2.2 内核rootkit入侵检测研究
• 2.2.1 内核rootkit入侵简介
• 2.2.2 内核数据结构不变量概述
• 2.3 操作系统灾难恢复技术研究
• 2.3.1 操作系统灾难恢复简介
• 2.3.2 快照技术概述
• 2.4 小结
• 第3章 基于操作系统内核不变量的入侵检测
• 3.1 引言
• 3.2 虚拟机自省机制分析
• 3.3 操作系统内核不变量生成
• 3.4 内核rootkit入侵检测
• 3.5 实验及结果分析
• 3.6 小结
• 第4章 基于系统快照的操作系统安全恢复
• 4.1 引言
• 4.2 VCPU的状态快照
• 4.3 内存快照的实现
• 4.4 磁盘快照的实现
• 4.5 系统恢复功能的实现
• 4.6 实验及结果分析
• 4.7 小结
• 结论
• 参考文献
• 致谢
• 附录A 攻读硕士学位期间所参与的项目及申请的专利