一种基于VMM的内核级Rootkit检测技术

针对云平台中的虚拟机内核级Rootkit破坏租户虚拟机完整性的问题,文章提出一种基于VMM(虚拟机监视器,Virtual Machine Monitor)的内核级Rootkit检测技术。该技术以在关键路径设置陷入点的方式构建TML(True Module List),得到虚拟机中真实的内核模块视图,在VMM层利用自下而上的调用方式获取虚拟机用户态视图,并在VMM层获取重构的虚拟机内核态视图,通过交叉对比这三个视图检测隐藏在虚拟机中的Rootkit。最后,利用该技术在KVM(基于内核的虚拟机,Kernel-based Virtual Machine)中实现了原型系统,实验结果表明系统能迅速准确地检测出虚拟机中的Rootkit,并依据TML报告内核级Rootkit的详细信息,系统的综合性能损耗在可接受范围内。

基于文件系统异常的内核级Rootkit检测

分析现有的两类Rootkit检测方法。根据内核级Rootkit在系统中的隐藏机制,提出了一种基于文件系统异常的有效检测方法。实验表明,该方法能够简便快捷地检测出内核级Rootkit的存在,帮助系统管理员进一步维护系统安全。

KVM环境下内核级Rootkit检测及防护技术研究

虚拟化技术在云计算环境中已得到广泛应用,其安全性也越来越重要.当前,恶意代码攻击正向复杂性、隐蔽性和持久性等方向发展,已成为我国云基础设施面临的重要威胁之一.特别是在云数据中心大量采用Linux和基于内核的虚拟机(kernel-based virtual machine, KVM)虚拟化背景下,研究KVM虚拟化环境下Linux内核级Rootkit的检测及防护技术具有十分重要的意义.而当前基于虚拟化环境实现Rootkit检测和防护技术研究偏重于检测,在响应和保护阶段还比较缺乏.针对这一问题,提出一种KVM虚拟化环境下集内核级Rootkit安全检测、响应及主动防护的安全架构,并在KVM虚拟化平台中进行了验证.实验结果表明,该安全架构可以有效检测并防止客户虚拟机中内核级Rootkit的攻击.

Windows内核级Rootkits隐藏技术的研究

随着Rootkits技术在信息安全领域越来越受到重视,各种Anti-rootkits新技术不断出现。在各种Anti-root-kits工具的围剿下,常规的Rootkits隐藏技术难以遁形。在系统分析和深入研究传统内核级Rootkits隐藏技术的基础上,提出了一个集驱动模块整体移位、内核线程注入、IRP深度内联Hook 3种技术为一体的Rootkits隐藏技术体系。实验结果显示,基于该隐藏技术体系所实现的Rootkits能够很好地躲避专业的Anti-rootkits工具(如Rootkit Unhooker和冰刃)的检测,从而充分表明了这种三位一体的Rootkits隐藏技术体系的有效性。

一种自动检测内核级Rootkit并恢复系统的方法

Rootkit是黑客入侵系统后保留后门常用的一项技术。目前不存在一种能自动检测内核级rookit并恢复系统的方法。该文在详细剖析内核级rootkit原理的基础上,提出了一种自动检测内核级rootkit并恢复系统的方法。该方法不仅对目前出现的所有内核级rootkit有效,而且考虑了将来可能出现的更高级的rootkit。

一种新型Linux内核级Rootkit设计与实现

传统的内核级Rootkit无法绕过当前主流的Rootkit检测方法。对传统的内核级Rootkit的实现机制和当前主流的Rootkit检测方法进行了分析,设计并实现了一种新型Linux内核级Rootkit。通过实验证明,该Rootkit能够实现后门提权、进程隐藏及文件隐藏等功能,并能绕过当前主流的Rootkit检测工具的检测,其抗检测能力明显好于传统的内核级Rootkit。

一种新的内核级Rootkit的检测方法

对Rootkit的基本概念进行了介绍,然后延伸至内核级Rootkit。在详细剖析内核级Rootkit原理的基础上分析了其他检测Rootkit方法的局限性,提出一种新的方法。该方法分析内核模块加载时是否有可疑行为,结合对比system.map和kmem文件判断其是否为Rootkit。最后用实验证明了此方法的有效性。

一种防范rootkit入侵的内核模块加载机制

内核级rootkit是破坏内核完整性的最大威胁,它通常通过冒充或篡改合法模块加载到内核,本文在对内核级rootkit防范技术对比分析的基础上,提出一种认证和检测相结合的内核模块加载机制,该机制把内核模块区分为信任模块和非信任模块,加载前者时首先验证其完整性,加载后者时,验证其身份和完整性,并实时检测其对内核数据的修改。实验表明,该机制能防范内核级rootkit的通过内核模块方式入侵。本文最后对该机制的优缺点及下一步研究方向进行了分析。

一种防范Rootkit入侵的内核模块加载机制

内核级Rootkit是破坏内核完整性的最大威胁,它通常通过冒充或篡改合法模块加载到内核。在对内核级Rootkit防范技术进行对比分析的基础上,提出一种认证和检测相结合的内核模块加载机制,该机制将内核模块区分为信任模块和非信任模块,加载前者时首先验证其完整性,加载后者时,验证其身份和完整性,并实时检测其对内核数据的修改。实验表明,该机制能防范内核级Rootkit通过内核模块方式入侵。

Linux系统内核级安全审计方法研究

LKM(LoadableKernelModules-可加载内核模块)技术是Linux系统为了扩充系统功能而提供的一种机制。该技术已经被黑客用于系统入侵,同样也可以利用它提高系统的安全性。文章在分析了现行Linux安全审计系统所存在问题的基础上,提出了一个基于LKM技术的Linux系统内核级安全审计模型。

基于新型VMI技术的内核Rootkit检测方案

随着互联网的发展,当今社会对于信息安全的关注度越来越高。内核级Rootkit能够隐藏自身及恶意软件,对系统安全产生了严重威胁。现有基于虚拟化技术的内核Rootkit检测方案主要针对系统静态Hook进行检测和保护,对基于动态Hook的攻击行为缺乏有效的分析和防御手段。为了解决上述问题,设计并实现了一种基于新型VMI(Virtual Machine Introspection)的检测内核Rootkit的通用系统,对内核静态和动态Hook都能够进行检测和保护。实验表明,系统成功检测出内核级Rootkit对于内核Hook的攻击和篡改,对大量常见的内核Rootkit都有效,同时对于基于动态Hook的攻击行为也能够及时报警,能够有效增强系统对于Rootkit的检测能力。

内核级木马隐藏技术研究与实践

文章通过对现有Linux下的内核级木马的隐藏和检测技术的分析研究,讨论了有关的隐藏和检测技术,并在此基础上实现了一个内核级木马。通过实验测试,该木马达到了较好的隐藏效果,可以避过目前大多数检测工具的检测。

内核级透明代理TPF的设计与实现

代理防火墙存在着性能不高、自身安全性无法保证、可扩展性差等诸多弱点。针对这些问题,本文提出了在定制安全操作系统基础上,将代理程序与OS内核协议栈一体化设计及代理程序分层实现的思想。介绍了报文分类标记、策略树机制、协议栈快速通道等实现内核级代理的关键技术,以及在安全OS内核中实现透明代理防火墙TPF的过程。TPF在性能、自身安全性和易扩展性方面较之传统代理防火墙有了显著的提高。

带8051内核的系统级ADC芯片MSC1210介绍及应用

介绍德州仪器公司最近出品的带有高性能8051内核的系统级ADC芯片——MSC1210。说明8051内核单片机的特点、性能以及片上Flash、24位高精度A/D转换器的使用方法。利用MSC1210丰富的片上资源,可以很简单地构建精密数据采集系统。

Linux内核级线程研究

Linux的内核级线程符合POSIX线程（P线程）标准。本文讨论Linux内核级线程的实现。

基于嵌入式Linux系统的内核级线程库的研究与实现

在当前嵌入式系统应用中,性能问题一直是人们关注的重点.大多数嵌入式Linux应用往往运行在用户态,系统运行时需要经常在内核态和用户态之间反复切换,降低了关键业务的执行效率.以往的研究较少从内核态下的线程库出发来考虑性能优化的实现方法,影响了嵌入式系统的整体性能.对此,本文提出一种适用于嵌入式Linux系统的内核级线程库(LKTL),并且分析了实现的关键技术.LKTL提供了线程管理、信号量同步、内存的动态分配和回收、日志管理以及基本的GNU C库的功能,不但大大提高了应用程序的运行效率,还方便了应用程序的开发和移植.实验表明LKTL能够显著优化嵌入式Linux系统的整体性能.

穿戴计算机的内核级检查点优化策略研究

为提高穿戴计算机的可靠性和可用性,提出了适用于穿戴计算机操作系统内核级检查点机制的优化检查点间隔的策略——适应穿戴计算机瞬时故障发生规律的步进式检查点(SP-CKPT)策略和基于内存数据量监测的内存监控门限法(MMTC)。前者针对可穿戴计算机故障频率的特点,动态地步进式调整检查点间隔,使检查点位置'逼近'系统失效的位置,有效减少计算损失;后者通过对系统内存数据量的监测,采用门限法控制检查点设置的时机,使系统尽可能在用内存资源最少的时间点来进行检查点的设置,减少检查点信息的存储量。这两种策略分别从时间和空间的角度优化检查点间隔。仿真结果表明,这两种策略结合,能够提高系统可靠性和可用性,减少无故障运行和卷回恢复阶段的开销。

基于结构体随机化的内核Rootkit防御技术

内核Rootkit对于操作系统来说是个严重的威胁.入侵者通过植入内核Rootkit,修改一些关键的内核结构体,实现恶意进程隐藏、日志文件删除、私密信息窃取等恶意行为.由于Rootkit主要通过篡改内核结构体对象来实现控制流截取,因此我们试图通过结构体随机化来防御这些入侵.在文中,作者提出了一种基于编译器的自动结构体随机化技术,解决了包括结构体的可随机化识别,随机化语义不变保护以及自动随机化等多个技术难题,最终利用随机环境下攻击者无法预知结构体域排列的特点,实现对内核Rootkit的防御.在实验环节,我们在被随机化的Linux系统中测试了已知的5种不同原理的8个真实的Rootkit,结果展示了我们的方法以几乎零负荷的代价防御了全部的Rootkit加载.

一种轻量级的Android内核保护监控器

为阻止针对Android系统内核的攻击,保护Android系统内核不被破坏,设计一种基于ARM平台轻量级的hypervisor监控器架构。该架构利用ARM硬件虚拟化扩展技术,对不信任模块进行隔离,阻止模块中恶意代码对内核的破坏,保护关键对象不被篡改,并基于hypervisor、利用交叉视图检测rootkit。实验结果表明,该架构能及时阻止对被监控对象的修改,快速检测出rootkit威胁,减少系统被攻击后带来的损失。

Linux下基于可执行路径分析的内核rootkit检测技术研究

如何检测系统是否被入侵者安装了rootkit是计算机安全领域中的重要问题。该文描述了一种基于可执行路径分析(EPA)的检测内核级rootkit的新技术,该技术利用处理器的单步执行模式,来测定系统内核中执行指令的数量,从而达到检测rootkit的目的。