任昭绪

【摘要】本文设计一种内核完整性保护方法TWPos，同时具备探测和防护能力，即便内核受到攻击也能进行恢复。实验表明TWPos系统既能全面有效的防护，而且又不牺牲系统性能为代价，并且兼容多种OS系统、同时防零日攻击。

【关键字】rootkits，VMM，TWPos，SAPW，DRW，GOS，HOS

1 介绍

rootkits是攻击者向计算机系统植入的，能够隐藏自身踪迹并保留超级用户访问权限的恶意程序。仅仅采用探测方式是无法保护内核完整性，即便阻止rootkits注入保证内核完整性这种方式，也存在诸多弊端，因而无法有效的保护内核完整性。鉴于此，本文采用了一种将安全防护及探测安全漏洞并进行恢复结合起来确保内核完整性的方案，称为TWPos（Two-Way Protection OS），TWPos基于VMM管理，将TWPos保护的内核划分为两种保护措施：一部分内核采用安全认证保护方式（Safe Authentication Protection Way缩写SAPW）；另一部分内核采用探测恢复方式（先探测内核完整性如果被攻击则进行恢复，Detection Recovery Way缩写DRW）。TWPos将保护的内核逻辑上划分为两个部分，采用SAPW方式保护的内核部分称为SAPW-K，采用DRW方式探测保护的内核部分称为DRW-K。对于内核完整性保护，用户既可以同时选择这两种方式，也可以选择两者之一。

2 TWPos设计

2.1 设计原则

TWPos设计不仅需要内核全面安全防护措施，而且在满足安全防护的同时，考虑系统性能、多操作系统的兼容，开发成本等。本篇论文从多个角度防护展开，并且设计时兼顾性能因素。

保护角度：内存及DMA完整性，扩展模块完整性，系统调用完整性等，也就是除CPU、内存控制器、系统内存芯片之外内核所有其他部分。……