47、基于硬件虚拟化的受控通道攻击检测与高维稀疏向量相似度搜索

基于硬件虚拟化的受控通道攻击检测与高维稀疏向量相似度搜索

1. 受控通道攻击检测

在当今的计算机安全领域，受控通道攻击成为了一个日益严峻的问题。通过硬件虚拟化技术来检测此类攻击是一种有效的手段。

1.1 PT监控

在检测过程中，会对目标页表（PT）进行遍历，将页号提取出来并存储在哈希表中，方便后续搜索。当虚拟机监控器（VMM）中出现对页表项（PTE）的大量修改时，就可能存在攻击迹象。例如，当用户输入字母‘m’，控制流跳转到某一页的指令时，如果在遍历页表时发现该页不存在，就会在新的页错误（#PF）处理程序执行期间修改客户物理地址 0x79599028 处的 PTE 值。攻击者准备清除该例程中的保留位时，会陷入虚拟机管理程序（Hypervisor），并留下记录。后续由于机器检查异常（MTF）导致的虚拟机退出（VM - EXIT），会得到写入操作后的新值。最终，地址 0x79599028 处的值形成了 0x8000042f9c025→0x42f9c025→0x8000042f9c025 这样的变化链。除了这个地址，还发现了如 0x79599030 等其他可疑的客户物理地址（GPA），由此可以判断客户操作系统遭受了受控通道攻击。

1.2 性能测试

为了测试该检测方法对虚拟机（VM）的性能开销，使用 UnixBench 5.1.3 作为基准测试套件，共进行了 25 项性能测试。实验结果表明，启用检测功能后，execl 调用、进程创建、上下文切换和 shell 执行等操作的性能开销更为显著。例如，shell 测试的性能开销是原来的两倍，进程创建的性能下降最为明显。这是因为系统在页表上进行写入操作时会陷入 Hypervisor，任何与上下文切换相