I detta dokument presenteras ett nytt tillvägagångssätt för dynamisk övervakning av operativsystemets kärnintegritet, baserat på en egenskap som kallas statsbaserad kontrollflödesintegritet (SBCFI). Brott mot SBCFI signalerar en ihållande, oväntad ändring av kärnans kontrollflödeskurva. Vi gjorde en grundlig analys av 25 Linux rootkits och fann att 24 (96 %) använder ihållande kontroll-flödesändringar; en informell studie av Windows rootkits gav liknande resultat. Vi har implementerat SBCFI efterlevnad som en del av Xen och VMware virtuella maskinmonitorer. Vår implementation upptäckte alla kontrollflödesmodifierande rootkits vi kunde installera, samtidigt som omärkbara overheads infördes för både en typisk webbserver arbetsbelastning och CPU-intensiva arbetsbelastningar vid drift med 10 sekunders intervall.
Petroni m.fl. föreslog en tillståndsbaserad kontrollflödesintegritet (SBCFI) monitor REF som detekterar kärnrootkit genom att regelbundet ögonblicksbilda minnet i en virtuell dator.
Automated detection of persistent kernel control-flow attacks
{'venue': "CCS '07", 'journal': None, 'mag_field_of_study': ['Computer Science']}