一种基于VMM的内核级Rootkit检测技术

摘要：

针对云平台中的虚拟机内核级Rootkit破坏租户虚拟机完整性的问题,文章提出一种基于VMM(虚拟机监视器,Virtual Machine Monitor)的内核级Rootkit检测技术.该技术以在关键路径设置陷入点的方式构建TML(True Module List),得到虚拟机中真实的内核模块视图,在VMM层利用自下而上的调用方式获取虚拟机用户态视图,并在VMM层获取重构的虚拟机内核态视图,通过交叉对比这三个视图检测隐藏在虚拟机中的Rootkit.最后,利用该技术在KVM(基于内核的虚拟机,Kernel-based Virtual Machine)中实现了原型系统,实验结果表明系统能迅速准确地检测出虚拟机中的Rootkit,并依据TML报告内核级Rootkit的详细信息,系统的综合性能损耗在可接受范围内.

关键词：VMM、内核级Rootkit检测、关键路径陷入点、KVM

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金61272447;国家科技支撑计划2012BAH18B05

在线出版日期：2015-07-16（万方平台首次上网日期，不代表论文的发表时间）

页数：共6页

页码：56-61