46、基于硬件虚拟化的受控通道攻击检测

基于硬件虚拟化的受控通道攻击检测

1. 引言

在当前的安全环境中，尽管一些安全系统能够对访问页面的偏移量进行掩码处理，使得操作系统只能获取页面大小的地址粒度，普通攻击难以知晓进程执行的具体功能，但受控通道攻击却能通过页面帧号而非简单地址来推断信息。主流的安全系统和硬件难以抵御此类攻击，因此有必要研究有效的检测方法。

2. 威胁模型

2.1 攻击者特征

假设攻击者控制操作系统，在窃取敏感信息时具有以下特点：
1. 系统资源管理能力 ：操作系统具备管理系统资源的能力，如设置页表项（PTE）或加载中断描述符表寄存器（IDTR）。当进程访问未映射页面时，操作系统会处理页面错误（#PF）事件，尝试重新映射页面以恢复程序执行，或产生访问违规并终止相关进程。
2. 了解进程逻辑 ：攻击者需要了解进程内部的具体逻辑跳转，特别是基于用户输入的不同内存访问模式。为此，攻击者需在准备阶段搜索应用程序的源代码或二进制文件。同时，具有混淆内存访问模式的进程不在考虑范围内。
3. 主动触发攻击 ：在安全的操作系统中，攻击者操纵操作系统主动触发#PF事件，获取当前访问模式并与之前的模式进行比较，以推断用户输入。
4. 获取准确信息 ：与缓存和内存总线等有噪声的测量通道不同，攻击者从受控通道获取的上下文信息无噪声，能够获得准确信息。

2.2 攻击示例

为演示攻击过程，我们在来宾操作系统中模拟内核rootkit。受害者是一个简单的进程，其执行流程会因不同