Kärnrobotar utgör ett betydande hot mot datorsystemen eftersom de löper på högsta prioritetsnivå och har obegränsad tillgång till offrens resurser. Många pågående insatser inom kärnrootkitförsvar fokuserar på upptäckt av kärnrootkit - efter en rootkit attack har ägt rum, medan det mindre antalet insatser i kärnrootkit förebyggande uppvisar begränsningar i deras förmåga eller utplacering. I detta dokument presenterar vi ett kärnrootkit preventionssystem som heter NICKLE som behandlar en vanlig, grundläggande egenskap hos de flesta kärnrootkit: behovet av att köra sin egen kärnkod. NICKLE är ett lätt, virtuell maskinmonitor (VMM)-baserat system som på ett transparent sätt förhindrar exekvering av otillåten kärnkod för omodifierade operativsystem (gäster). NICKLE är baserat på ett nytt system som kallas minnesskuggning, där den betrodda VMM behåller ett skuggfysiskt minne för en körande VM och utför autentisering av kärnans kod i realtid så att endast autentiserad kärnkod lagras i skuggminnet. Dessutom leder NICKLE transparent gästkärnan instruktioner hämtar till skuggminnet på runtime. Genom att göra det garanterar NICKLE att endast den autentiserade kärnkoden kommer att köras, vilket omintetgör kärnans rootkitts försök att slå till från början. Vi har implementerat NICKLE i tre VMM-plattformar: QEMU+KQEMU, VMware Workstation och VirtualBox. Våra experiment med 23 verkliga kärnrootkit som riktar sig mot Linux eller Windows OS visar NICKLEs effektivitet. Dessutom visar vår prestandautvärdering att NICKLE introducerar små omgångar till VMM-plattformen (t.ex. < 2% till QEMU+KQEMU).
NICKLE REF, en lättviktig VMM, försöker förhindra exekvering av otillåten kärnkod genom att använda skuggminne.
Guest-Transparent Prevention of Kernel Rootkits with VMM-based Memory Shadowing
{'venue': 'In Proceedings of the 11th International Symposium on Recent Advances in Intrusion Detection (RAID', 'journal': None, 'mag_field_of_study': ['Computer Science']}