Методика обнаружения нелегитимного программного обеспечения, использующего технологию аппаратной виртуализации

• Автор: Коркин, Игорь Юрьевич
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2011
• Место защиты: Москва
• Количество страниц: 151 с. : ил.

1 Проблема обнаружения программного обеспечения,
использующего технологию аппаратной виртуализации
1.1 Применение технологии аппаратной виртуализации для сокрытия программного обеспечения
1.1.1 Особенности работы программного обеспечения, использующего технологию аппаратной виртуализации процессоров 1Ще1 и АМГЭ
1.1.2 Примеры программного обеспечения, использующего технологию аппаратной виртуализации
1.2 Сравнительный анализ существующих способов обнаружения программного обеспечения, использующего технологию аппаратной виртуализации
1.2.1 Классификация существующих способов обнаружения ПОАВ
1.2.2 Временные способы обнаружения ПОАВ
1.2.3 Поведенческие способы обнаружения
1.2.4 Способ обнаружения на основе доверенного монитора виртуальных машин
1.2.5 Сигнатурные способы обнаружения
1.2.6 Анализ возможностей компьютерных счётчиков для измерения длительности выполнения процессорных инструкций
1.3 Выводы
2 Теоретические предпосылки обнаружения программного обеспечения, использующего технологию аппаратной
виртуализации
2.1 Модель нарушителя
2.1.1 Общие сведения
2.1.2 Возможные способы компрометации счётчика тактов

2.2 Построение моделей выполнения трассы
2.2.1 Сравнительный анализ схем переключения между режимами работы процессора
2.2.2 Особенности выполнения набора процессорных инструкций
2.2.3 Построение моделей выполнения трассы
2.2.4 Проверка адекватности построенных моделей опытным данным
2.2.5 Критерий присутствия программного обеспечения, использующего технологию аппаратной виртуализации
2.3 Выводы
3 Исследование статистических характеристик длительности выполнения набора процессорных инструкций и разработка методики обнаружения нелегитимного программного обеспечения, использующего технологию аппаратной
виртуализации
3.1 Организация проведения опытов по измерению длительности выполнения набора процессорных инструкций
3.2 Особенности процесса выполнения набора процессорных инструкций и обоснование подходов к обработке экспериментальных данных
3.3 Обработка опытных данных и выявление признаков для обнаружения программного обеспечения, использующего технологию аппаратной виртуализации
3.4 Предлагаемая методика обнаружения нелегитимного программного обеспечения, использующего технологию аппаратной виртуализации
3.5 Выводы
4 Архитектура и реализация средства обнаружения программного обеспечения, использующего технологию
аппаратной виртуализации

4.1 Состав и архитектура средства обнаружения
4.2 Форматы передаваемых данных
4.3 Подсистема выработки пороговых значений
4.4 Подсистема имитации действий нарушителя
4.5 Подсистема выявления образцов ПОАВ
4.6 Порядок использования средства обнаружения ПОАВ
4.7 Выводы
5 Внедрение методики обнаружения нелегитимного программного обеспечения, использующего технологию
аппаратной виртуализации
5.1 Использование предложенного средства обнаружения в системе обеспечения информационной безопасности ГНЦ РФ ФГУП «ЦНИИХМ им. Д.И. Менделеева»
5.2 Применение предложенного средства обнаружения для контроля отсутствия негласного программного обеспечения, использующего технологию аппаратной виртуализации в классе ЭВМ парка ФГУП
«НИИСУ»
5.3 Разработка лабораторных работ для курса «Безопасность операционных систем» кафедры «Криптология и дискретная математика» НИЯУ МИФИ
5.4 Выводы
Заключение
Список использованных источников
Приложение А. Фрагмент исходного кода программы для
построения графиков теоретических распределений
Приложение Б. Фрагмент исходного кода модуля обработки
матрицы и расчёта статистических характеристик

Представленная на рис. 12 схема измерения длительности выполнения трассы с учётом перехвата ПОАВ инструкций 1ШТ8С аналогична схеме рис. И, но с добавлением переключения между Я- и У-режимами процессора при выполнении инструкции ЮЭТБС.

1кгл:^с
крито
IЯОТ8С
К-режим
«1.4111

КРТвС-
-ВМ
_вм вх°ЯМО Ерх МОУ Ы, ЕАХ свит//1
У-режим

КсршсИО
котэс
—- геас! ьс(81ап_Т)
.Ф '•
1_сршё Е

"геаё Ьс(1ть11_1) гез_йте - 1;ыап Д, - Пп1зЬ_1,1_сри1с1)
vrite Г54(ГС8_ито1
МОУ ЬГт, ЕОХ МОУ 1Гт, ЕАХ

8ауе_йте(Ь8У81:Д1(1П,11т)
" •: Vй ' : У? У '
1 В -**' | Й ^ 1у|
Образец ПОЛИ
Рисунок 12 — Компрометация показаний счётчика тактов при перехвате инструкции чтения счётчика тактов КОТБС При выполнении первой инструкции ЮЭТ8С обработчик обнуляет переменную-счётчик числа инструкций чтения счётчика и записывает показания счётчика во временную переменную «81агМ:». Далее, при выполнении каждой инструкции из трассы обработчик ПОАВ получает управление и инкрементирует переменную-счётчик (на схеме для этого приведён оператор «1_сршс1++». При выполнении второй инструкции ИЭТБС в
обработчике выполняются следующие шаги:
- записываются показания процессорного счётчика тактов во временную переменную «ИшэйД»;