메모리 주소 변환 공격에 대한 스케줄러 기반의 방어 방법
Scheduler-based Defense Method against Address Translation Redirection Attack (ATRA)
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
하드웨어 기반 커널 무결성 감시 시스템들은 감시 대상으로부터 물리적으로 완전히 분리된 공간에서 수행되기 때문에 감시 시스템 자체의 안전성을 보장받는다는 장점을 가진다. 반면, 이들 감시 시스템들은 물리 메모리 주소를기반으로 동작하기 때문에 가상-물리 메모리 주소 변환을 조작하는 공격으로부터 취약하다는 단점도 지닌다. 본 논문은 이러한 단점을 보완하기 위해 주소 변환 조작 공격에 대한 커널 스케줄러 기반의 탐지 기법을 제시한다. 제시된 탐지 기법은 커널 스케줄러가 모든 프로세스의 문맥 교환 시마다 수행된다는 점을 이용하여 프로세스 스케줄 시에 공격 여부를 검증한다. 탐지 시스템은 안드로이드 에뮬레이터와 TizenTV에서 구현되었으며, 실험을 통해 최대10% 정도의 성능저하만 발생시키면서, 루트킷이 수행하는 주소 변환 공격을 정확히 탐지한다는 것을 확인하였다.
Abstract
Since hardware-based kernel-integrity monitoring systems run in the environments that are isolated from the monitored OS, attackers in the monitored OS cannot undermine the security of monitoring systems. However, because the monitoring is performed by using physical addresses, the hardware-based monitoring systems are vulnerable to Address Translation Redirection Attack (ATRA) that manipulates virtual-to-physical memory translations. To ameliorate this problem, we propose a scheduler-based ATRA detection method. The method detects ATRA during the process scheduling by leveraging the fact that kernel scheduler engages every context switch of processes. We implemented a prototype on Android emulator and TizenTV, and verified that it successfully detected ATRA without incurring any significant performance loss.
참고문헌 (16)
- O. S. Hofmann, "Ensuring operating system kernel integrity with OSck", Proceedings of the sixteenth international conference on Architectural support for programming languages and operating systems, pp.279~290 (2011)
- Y. Liu, "Concurrent and consistent virtual machine introspection with hardware transactional memory", 2014 IEEE 20th International Symposium on High Performance Computer Architecture (HPCA), pp.416~427 (2014)
- N. L. Petroni Jr., "Copilot - a coprocessor-based kernel runtime integrity monitor", Proceedings of the 13th USENIX Security Symposium, pp.179~194 (2004)
- Hyungon Moon, "Vigilare: toward snoop-based kernel integrity monitor", Proceedings of the 2012 ACM conference on Computer and communications security, pp.28~37 (2012)
- Hojoon Lee, "KI-Mon : A hardware-assisted event-triggered monitoring platform formutable kernel object", Proceedings of 22nd USENIX Security Symposium, pp.511~526 (2013)
- Daehee Jang, "ATRA: Address translation redirection attack against hardware-based external monitors", Proceedings of the 2014 ACM SIGSAC Conference on Computer and Communications Security, pp.167~178 (2014)
- A. Seshadri, "SecVisor: A tiny hypervisor to provide lifetime kernel code integrity for commodity OSes", Proceedings of twenty-first ACM SIGOPS symposium on Operating systems principles, pp.335~350 (2007)
- A. M. Azab, "Hypervision across worlds: real-time kernel protection from the ARM TrustZone secure world", Proceedings of the 2014 ACM SIGSAC Conference on Computer and Communications Security, pp.90~102 (2014)
- X. Ge, "Sprobes: enforcing kernel code integrity on the TrustZone architecture", Proceedings of the Third Workshop on Mobile Security Technologies (MoST) (2014)
- INTEL, INC., "Intel R 64 and IA-32Architectures Software Developer’s Manual", Volume 3b: System Programming Guide (Part 2), pp.14~19 (2013)
- ARM, "Architecture reference manual(ARMv7-A and ARMv7-R edition)", ARM DDI C, ~ (2008)
- D. P. Bovet, "Understanding the Linux kernel" (2005), O'Reilly Media, Inc
- "Building Kernels"[URL]
- "Comprehensive Benchmark Suite for Android"[URL]
- "Industry-Standard Benchmarks for Embedded Systems"[URL]
- "Streamline Performance Analyzer"[URL]