VMI 기반의 라이브 가상머신 리눅스 커널 런타임 보호 시스템 LLKP 구현
An Implementation of VMI-based Live Linux Kernel Runtime Protection System for Virtual Machine
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
운영체제의 상태를 조작하는 커널 레벨의 악성코드는 시스템 보안에 심각한 위협이 된다. 이러한 공격이 클라우드 환경의 가상머신을 대상으로 발생하면 전체 가상화 인프라가 손상될 수 있기 때문에 가상머신 커널을 보호하는 것은 클라우드에서 중요한 보안 과제이다. 가상화 환경에서 가상머신 보호를 위한 접근방식으로 VMI(Virtual Machine Introspection)가 제안되어왔다. VMI를 통해 호스트 수준에서 가상머신의 상태를 투명하게 모니터링할 수 있다. 그러나 VMI를 활용한 기존 연구는 클라우드 환경 적용에 대한 확장성 문제를 가지고 있다. 또는 기존 VMI의 메모리 덤프 방식으로 인한 시간 오버헤드로 검증의 실시간성을 제공하지 못하며 가상머신 성능저하를 유발한다는 한계점이 있다. 본 논문에서는 클라우드에 적용 가능한 VMI 기반의 라이브 가상머신 리눅스 커널 런타임 보호 시스템인 Live Linux Kernel Protection(LLKP)를 제안한다. 호스트의 커널을 수정하지 않고 유저 레벨에서 동작하며 단일 커널 버전에 대한 하나의 해시 데이터베이스를 생성하여 다수의 가상머신 무결성 검사를 효율적으로 수행한다. 또한, VMI의 시간 오버헤드를 최소화하기 위해 인-메모리 방식의 메모리 부분 덤프를 수행한다. 제안하는 시스템의 실용성을 검증하기 위해 보안성과 성능 실험을 수행하였다. 실험 결과, 커널 변조가 발생했을 때 평균 58.48ms인 짧은 시간 내에 탐지했으며, 가상머신 벤치마크는 평균 8.08%의 성능저하가 발생했다. 본 논문에서 제안하는 VMI 기반의 클라우드 환경의 가상머신 리눅스 커널 런타임 보호 시스템으로 가상머신의 보안성을 향상할 수 있다.
Abstract
Malicious code at the kernel level that manipulates the state of the operating system is a serious threat to system security. Such attacks can cause a wider range of damage in a cloud environment. An attacker can consider a virtual machine(VM) as a target, damaging the entire virtualization infrastructure. Therefore, protecting the guest operating system from such attacks is an important security challenge in the cloud. Virtual Machine Introspection(VMI) based approach has been proposed to protect VM. VMI enables transparent monitoring of VMs at the host level. However, existing studies using VMI have a scalability problem for the introduction of cloud environments. Otherwise, due to the time overhead caused by the existing VMI memory dump method, there is a limitation in that it does not provide real-time verification and causes performance degradation of VM. In this paper, we propose Live Linux Kernel Protection (LLKP), a VMI-based virtual machine Linux kernel runtime protection system applicable to real-world cloud environments. It operates at the user level without modifying the host's kernel and efficiently performs multiple VM integrity checks by creating a single hash database for a single kernel version operating system. In addition, in-memory manner of integrity measurements is performed to minimize the performance overhead of VMI. Security and performance experiments were conducted to verify the practicality of the proposed system. Experiments show that when kernel modification occurred, it was detected quickly within an average of 58.48 ms, and VM benchmarks experienced performance loss of 8.08%. The security of VMs can be improved with the LLKP in a VMI-based cloud environment proposed in this paper.
참고문헌 (24)
- M. A. Ajay Kumara, "Virtual machine introspection based spurious process detection in virtualized cloud computing environment", 2015 International Conference on Futuristic Trends on Computational Analysis and Knowledge Management(ABLAZE) (2015)
- Choi Sang-Hoon, "Cloud-BlackBox : Toward practical recording and tracking of VM swarms for multifaceted cloud inspection", Future Generation Computer Systems, 137, pp.219~233 (2022)
- Szefer, Jakub, "Eliminating the hypervisor attack surface for a more secure cloud", Proceedings of the 18th ACM conference on Computer and communications security (2011)
- 김진목, "TrustZone의 시큐어 타이머를 이용한 효율적인 커널 검사 시스템", 정보보호학회논문지, 25(4), pp.863~872 (2015), 한국정보보호학회[DOI]
- I. Ahmed, "ModChecker : Kernel Module Integrity Checking in the Cloud Environment", 2012 41st International Conference on Parallel Processing Workshops (2012)
- Lin, K., "HyperKRP : A Kernel Runtime Security Architecture with A Tiny Hypervisor on Commodity Hardware", 2021 IEEE Global Communications Conference(GLOBECOM), pp.1~6 (2021)
- Ahmed, Irfan, "Rule-based integrity checking of interrupt descriptor tables in cloud environments", IFIP International Conference on Digital Forensics (2013), Springer
- Garfinkel, Tal, "A virtual machine introspection based architecture for intrusion detection", Ndss, 3(2003) (2003)
- 최상훈, "클라우드 보안성 강화를 위한 연산 효율적인 인스턴스 메모리 모니터링 기술", 정보보호학회논문지, 27(4), pp.775~783 (2017), 한국정보보호학회[DOI]
- "Cloud market"[URL]
- 문현곤, "루트킷 탐지를 위한 리눅스 커널 감시 코드 삽입의 시스템 성능부하에 관한 연구", 한국정보처리학회 학술대회논문집, 21(1), pp.412~415 (2014)
- Hebbal, Yacine, "Virtual machine introspection : Techniques and applications", 2015 10th international conference on availability, reliability and security (2015), IEEE
- More, Asit, "Virtual machine introspection : towards bridging the semantic gap", Journal of Cloud Computing, 3(1), pp.1~14 (2014)
- Haiquan Xiong, "Libvmi : A Library for Bridging the Semantic Gap between Guest OS and VMM", IEEE 12th International Conference on Computer and Information Technology, pp.549~556 (2012)
- Matthias Bolte, "Non-intrusive virtualization management using libvirt", Proceedings of the Conference on Design, Automation and Test in Europe, pp.574~579 (2010)
- 최상훈, "클라우드 메모리 덤프 가속을 위한 API 설계 및 구현", 한국차세대컴퓨팅학회추계학술대회 (2015)
- "Volatility Foundation, dwarf2josn"[URL]
- "BLAKE3"[URL]
- "Linux Test Project, Hackbench"[URL]
- "Apache Software Foundation, Apache HTTP Server"[URL]
- "Sysbench"[URL]
- Riley, Ryan, "Multi-aspect profiling of kernel rootkit behavior", Proceedings of the 4th ACM European conference on Computer systems (2009)
- Wang, Xiao, "TKRD : Trusted kernel rootkit detection for cybersecurity of VMs based on machine learning and memory forensic analysis", Mathematical Biosciences and Engineering, 16(4), pp.2650~2667 (2019)
- Moon, Hyungon, "Detecting and preventing kernel rootkit attacks with bus snooping", IEEE Transactions on Dependable and Secure Computing, 14(2), pp.45~157 (2015)