基于Xen虛擬化的內(nèi)核態(tài)rootkit檢測.pdf

1、隨著計算機技術(shù)的不斷發(fā)展,計算機在越來越多的領(lǐng)域得到了應(yīng)用。伴隨而來的計算機系統(tǒng)安全問題越來越引起人們的關(guān)注,圍繞計算機系統(tǒng)安全的相關(guān)問題成為研究的熱點。內(nèi)核態(tài)rootkit是目前隱藏性最好、最難檢測的一類惡意軟件,對計算機系統(tǒng)安全構(gòu)成了嚴重威脅,研究內(nèi)核態(tài) rootkit的檢測技術(shù)有十分重要的意義。
　　本文首先對與內(nèi)核態(tài)rootkit緊密相關(guān)的 Linux內(nèi)核知識以及本文采用的Xen虛擬化技術(shù)進行了分析與介紹。然后研究分析了內(nèi)

2、核態(tài)rootkit的攻擊技術(shù)與原理。傳統(tǒng)的rootkit檢測方法依賴于系統(tǒng)底層的系統(tǒng)調(diào)用或數(shù)據(jù)結(jié)構(gòu),當(dāng)內(nèi)核rootkit入侵系統(tǒng)時,檢測結(jié)果不再準確。利用虛擬化結(jié)構(gòu)的特點,本文提出了基于虛擬化的內(nèi)核 rootkit檢測方法。本文將檢測工具部署在被檢測系統(tǒng)外的虛擬機中,利用虛擬機監(jiān)控器對被檢測虛擬機的 CPU、內(nèi)存信息完全可見的優(yōu)勢,針對內(nèi)核態(tài)rootkit攻擊內(nèi)核關(guān)鍵數(shù)據(jù)和代碼、隱藏進程信息的特點,對被檢測系統(tǒng)中內(nèi)核的關(guān)鍵區(qū)域的完整性以