I detta dokument presenteras ett nytt tillvägagångssätt för dynamisk övervakning av operativsystemets kärnintegritet, baserat på en egenskap som kallas statsbaserad kontrollflödesintegritet (SBCFI). Brott mot SBCFI signalerar en ihållande, oväntad ändring av kärnans kontrollflödeskurva. Vi gjorde en grundlig analys av 25 Linux rootkits och fann att 24 (96 %) använder ihållande kontroll-flödesändringar; en informell studie av Windows rootkits gav liknande resultat. Vi har implementerat SBCFI efterlevnad som en del av Xen och VMware virtuella maskinmonitorer. Vår implementation upptäckte alla kontrollflödesmodifierande rootkits vi kunde installera, samtidigt som omärkbara overheads infördes för både en typisk webbserver arbetsbelastning och CPU-intensiva arbetsbelastningar vid drift med 10 sekunders intervall.
Petroni och Hicks REF beskriver ett tillvägagångssätt för dynamisk övervakning av kärnans integritet baserat på en egenskap som kallas tillståndsbaserad kontrollflödesintegritet, som består av två steg: (i) validera kärntext, inklusive alla statisk kontroll-flödesöverföringar, genom att behålla en hash av koden; (ii) validera dynamiska styr-flödesöverföringar.
Automated detection of persistent kernel control-flow attacks
{'venue': "CCS '07", 'journal': None, 'mag_field_of_study': ['Computer Science']}