基于KVM虛擬機的惡意行為檢測系統(tǒng)設(shè)計與實現(xiàn).pdf

1、隨著云計算的廣泛應(yīng)用，其面臨的安全性也不容忽視。傳統(tǒng)惡意行為檢測系統(tǒng)運行權(quán)限與病毒相同，檢測結(jié)果容易遭到篡改。虛擬機監(jiān)視器作為云平臺的核心組件，具備高特權(quán)、隔離性、透明性和不可旁路性等優(yōu)點，可以為虛擬機用戶提供多種安全服務(wù)。本文設(shè)計了一個基于KVM虛擬機的惡意行為檢測系統(tǒng)，通過實時檢測客戶機內(nèi)部進程、驅(qū)動、內(nèi)核 Rookit、文件系統(tǒng)等核心對象，為虛擬機用戶提供第二道安全防線。本文的主要工作量及創(chuàng)新點如下。
　　1、搭建了Ovir

2、t云平臺開發(fā)環(huán)境，研究了虛擬化技術(shù)原理，分析了KVM虛擬化源碼和安全機制，分析了Libvmi內(nèi)省庫實現(xiàn)機制。
　　2、研究了Windows內(nèi)核運行原理，分析了以內(nèi)核Rootkit病毒為主的惡意行為，總結(jié)了傳統(tǒng)方法和虛擬機檢測法的優(yōu)缺點，提出了改進思路。
　　3、提高了Libvmi內(nèi)存透視能力，填補了磁盤透視空白。通過逆向缺頁中斷，實現(xiàn)了頁交換文件解析技術(shù)。通過逆向客戶機內(nèi)核同步機制，實現(xiàn)了訪問臨界資源同步技術(shù)。通過分析NTF

3、S和FAT32文件系統(tǒng)格式與RAW虛擬鏡像格式，實現(xiàn)了虛擬磁盤透視技術(shù)。
　　4、借助于改進的內(nèi)省庫對內(nèi)存和磁盤數(shù)據(jù)進行透視，并根據(jù)Windows內(nèi)核知識庫重構(gòu)高層語義，實現(xiàn)了惡意行為檢測系統(tǒng)。提出了基于多視圖模型的隱藏進程檢測算法，提出了基于內(nèi)存和文件樣本匹配的隱藏驅(qū)動檢測模型，提出了基于內(nèi)核標(biāo)準(zhǔn)庫匹配的Rootkit檢測模型。利用KVM內(nèi)存虛擬化原理構(gòu)建了進程行為與狀態(tài)檢測模型，設(shè)計了自適應(yīng)模型動態(tài)調(diào)節(jié)檢測策略，降低了負(fù)載。并