基于硬件虚拟化的虚拟机内核完整性保护

《基于硬件虚拟化的虚拟机内核完整性保护》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、HEBEIUNIVERSITY密级：分类号：学校代码：10075学号：20151334硕士学位论文基于硬件虚拟化的虚拟机内核完整性保护学位申请人：许烨指导教师：杨晓晖教授学位类型：工学硕士学科专业：计算机科学与技术授予单位：河北大学答辩日期：二〇一八年五月ClassifiedIndex:CODE:10075U.D.C:NO:20151334ADissertationfortheDegreeofM.EngineeringAVirtualMachineKernelIntegrityProtectionMet

2、hodBasedonHardwareVirtualizationCandidate:XuYeSupervisor:Prof.YangXiaohuiAcademicDegreeAppliedfor:MasterofEngineeringSpecialty:ComputerScienceandTechnologyUniversity:HebeiUniversityDateofOralExamination:May,2018河北大学学位论文独创性声明本人郑重声明，是本人在导师指导下进行的研究工作：

3、所呈交的学位论文及取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写的研宄成果，也不包含为ｆｔ得河北大学或其他教育机构的学位或证书所使用过的材料一。与我同工作的同志对本研宄所做的任何贡献均己在论文中作了明确的说明并表示了致谢。：日期年／月作者签名＾：Ｗ卩７日学位论文使用授权声明本人完全了解河北大学有关保留、使用学位论文的规定，ｇ卩：学校有权保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。学校可以公

4、布论文的全部或部分内容，可以采用影印、缩印或其他复制手段保存论文。本学位论文属于１、保密□，在月日解密后适用本授权声明。年／２、不保密上相应方格“”（请在以内打Ｖ）：於日作者签名期：年ａ月日７导师签名：曰期：年彡月７日保护知识产权声明本人为帽河北大学對婿提舰翻力＾．ｆ的学位论文，是我个人在导师指导并与导师合作下取得的研究成果，研究工作及取得的研究成果是在河北大学所提供的研究经费及导师的研究经费资助下完成的。本人完全了解并严格遵守中

5、华人民共和国为保护知识产权所制定的各项法律、行政法规以及河北大学的相关规定。本人声明如下：本论文的成果归河北大学所有，未经征得指导教师和河北大学的书面同意和授权，本人保证不以任何形式公开和传播科研成果和科研工作内容。如果违反本声明，本人愿意承担相应法律责任。声明人：＿＾今日期：年６月＾日摘要摘要虚拟化架构中良好的隔离性、相对于操作系统来说更高的抽象层次以及更小的可信计算基等特性为解决安全领域中的旧难题提供了新思路。但是虚拟化技术在为用户带来方便的同时，也为恶意程序提供了

6、更多的攻击路径以及攻击面，虚拟化安全问题亟待解决。Rootkit攻击是虚拟化安全面临的主要威胁之一，恶意程序利用Rootkit技术隐藏自身来躲避安全工具的监测，并且利用系统的缺陷攻击系统。而内核级Rootkit运行于内核空间，具备更高的权限，它通过对虚拟机内核完整性的破坏试图控制整个系统运行，严重威胁着虚拟机内核的安全。针对虚拟机内核完整性保护问题，提出了一种被动保护的方式，利用硬件虚拟化扩展机制截获特权指令、敏感指令和中断。为了保护内核数据、代码以及关键寄存器，一方面为关键的内核数据与代码创建隔离的I

7、EPT页表并设置页表的访问权限，使其运行在独立隔离的地址空间内。一方面利用硬件虚拟化的“陷入”机制使得关键寄存器一旦被篡改便下陷到VMM，阻止内核级Rootkit的恶意攻击，保障内核数据的完整性。在虚拟机内核完整性检测方面，提出了一种主动检测隐藏进程的方法，通过监控内核动态数据的内存分配与释放，构建内核对象的映射关系，通过截获系统调用，构建目标虚拟机的进程视图，通过交叉对比的方式发现隐藏进程。本文提出的虚拟机内核数据完整性保护与检测模块从被动监控与主动检测两方面保障了运行时的虚拟机内核数据的完整性。实验

8、结果表明本文方法能够检测出常见的内核级Rootkit，并能阻止其对系统的恶意篡改，性能开销控制在6%以内，在提升安全性的同时，不会对性能产生明显的影响。关键词硬件虚拟化；虚拟机内核；完整性保护；IntelVTIAbstractAbstractThegoodisolationinthevirtualizedarchitecture,thehigherabstractionlevelrelativetotheoperatingsystem,an