9、抵御篡改、感知应用的恶意网络流量阻断及实时僵尸网络控制者溯源探索

抵御篡改、感知应用的恶意网络流量阻断及实时僵尸网络控制者溯源探索

1. VMwall防火墙系统

在网络安全领域，抵御恶意网络流量是关键任务。VMwall作为一种应用导向的防火墙，利用虚拟机隔离技术来保护自身免受攻击。它能通过虚拟机内省技术关联网络流与绑定的进程，从而恢复易受攻击系统的进程级信息。

1.1 UDP回声回复流设置时间

VMwall对系统性能有一定影响，体现在单UDP回声回复流设置时间上。以下是有无VMwall时的设置时间对比：
| 方向 | 无VMwall（μs） | 有VMwall（μs） | 开销（μs） |
| ---- | ---- | ---- | ---- |
| 入站发起 | 434 | 815 | 381 |
| 出站发起 | 271 | 848 | 577 |

从表格数据可以看出，使用VMwall后，无论是入站发起还是出站发起的UDP回声回复流设置时间都显著增加，这意味着VMwall的引入带来了一定的性能开销。

1.2 安全分析

VMwall在面对多种攻击时，有相应的应对策略，但也存在一些挑战：
- 内核数据结构完整性攻击 ：攻击者若完全控制domU，可能破坏其维护的数据结构以绕过VMwall的内省。可借助先前的内核完整性保护工作，如Petroni等人提出的检测动态内核数据结构攻击的框架，以及Loscocco等人引入的利用虚拟化技术监控Linux内核操作完整性的系统，确保VMwall读取的内核数据结构有效。
- 伪装成白名单软件 ：攻击者可能通过观察