基于虚拟机监控器的类蜜罐实时内存取证

• 作者: 张贵民 李清宝 程三军 赵宇韬
• 来源期刊: 浙江大学学报（工学版）
• 学科: 工学
• 关键词: 实时取证 蜜罐 内存行为 攻击载体 页面访问权限
• 年，卷（期）: 2018,（2）
• 所属期刊栏目: 计算机技术
• 页码范围: 387-397
• 页数: 11页
• 分类号: TP391
• 字数: 10577字
• 语种: 中文
• DOI: 10.3785/j.issn.1008-973X.2018.02.022

摘要

为了解决传统的基于“镜像-分析”的内存取证技术面临的提取内存镜像时间过长及无法有效截获瞬时性内存攻击的问题,提出类蜜罐的实时内存取证方法(RTMF).利用虚拟机监控器针对性地提取内存片段,对提取的数据进行语义重构,以获得操作系统级语义信息.利用扩展页表机制设置关键内存页面的访问权限,将这些内存页面作为蜜罐;针对蜜罐的违规访问会触发扩展页表故障而陷入虚拟机监控器,实时拦截攻击.结果表明,在发现内存攻击后,RTMF既可记录攻击者对内存的修改历史,又可对攻击者追踪溯源.经微基准测试,该方法引入的性能开销在可接受的范围内.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	李清宝	解放军信息工程大学数学工程与先进计算国家重点实验室	52	223	7.0	12.0
2	程三军		9	36	4.0	5.0
3	张贵民	解放军信息工程大学数学工程与先进计算国家重点实验室	5	6	1.0	2.0
4	赵宇韬	解放军信息工程大学数学工程与先进计算国家重点实验室	2	5	1.0	2.0