基于影子内存的无代理虚拟机进程防护

• 作者: 金鑫 陈兴蜀 陈蒙蒙
• 来源期刊: 电子科技大学学报
• 学科: 工学
• 关键词: 无代理 进程 系统调用 虚拟机 VMM
• 年，卷（期）: 2018,（1）
• 所属期刊栏目: 计算机工程与应用
• 页码范围: 80-87
• 页数: 8页
• 分类号: TP309
• 字数: 5617字
• 语种: 中文
• DOI: 10.3969/j.issn.1001-0548.2018.01.012

摘要

为了提高虚拟机中进程的安全性,避免系统调用表SSDT和系统调用执行流被恶意挂钩,提出一种基于影子内存的无代理虚拟机进程防护方案.首先利用VMM的高特权级在虚拟机的非换页内存区透明构建一块影子内存,通过向影子内存透明注入SSDT和跳转函数,构建全新SSDT和系统调用执行流,保证SSDT和系统调用执行流的完整性.通过主动挂钩影子内存中的SSDT,利用硬件虚拟化的自动陷入机制检测进程的敏感行为,在VMM中过滤针对受保护进程的非法操作,实现无代理的进程防护.实验结果表明,该方案可以有效地对虚拟机中指定进程进行防护并过滤大部分的rootkit攻击,对虚拟机性能的影响在3%以下.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	陈兴蜀	四川大学计算机学院	117	695	14.0	21.0
2	金鑫	四川大学计算机学院	34	92	6.0	8.0
3	陈蒙蒙	四川大学计算机学院	2	2	1.0	1.0