高可靠In-VM隐藏进程对抗检测方法

• 作者: 刘望桐 潘丽敏 罗森林 闫广禄
• 来源期刊: 北京理工大学学报
• 学科: 工学
• 关键词: 进程检测 虚拟化 In-VM模型 Rootkit 隐藏进程
• 年，卷（期）: 2018,（3）
• 所属期刊栏目: 信息与控制
• 页码范围: 305-312
• 页数: 8页
• 分类号: TP399
• 字数: 6240字
• 语种: 中文
• DOI: 10.15918/j.tbit1001-0645.2018.03.014

摘要

通过隐藏进程执行恶意代码是信息攻击的一种重要手段,目前虚拟化平台中 In-VM隐藏进程检测方法还存在被绕过和相关数据被篡改的可能性,针对这一问题,提出了一种高可靠 In-VM隐藏进程对抗检测方法.该方法利用 In-VM模型,通过改进虚拟化内存保护机制保护隐藏进程检测代码及其相关内核数据,确保其不被恶意篡改;通过准确劫持系统调用函数,并结合交叉视图方法检测隐藏进程,确保隐藏进程的检测算法无法被绕过.实验选取并构建多种典型的 Rootkit隐藏进程,结果表明,该方法可以检测各种 Rootkit隐藏进程,其隐藏进程检测代码及其相关数据无法被恶意篡改,检测算法和内存保护机制无法被绕过,而且改进的虚拟化内存保护机制对系统的性能影响更小,方法的可靠性高,实用价值大.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	罗森林	北京理工大学信息系统及安全对抗实验中心	121	821	14.0	23.0
2	潘丽敏	北京理工大学信息系统及安全对抗实验中心	66	402	10.0	17.0
3	闫广禄	北京理工大学信息系统及安全对抗实验中心	7	25	3.0	5.0
4	刘望桐	北京理工大学信息系统及安全对抗实验中心	6	9	2.0	3.0