Удаленное обслуживание системных вызовов в микроядерном гипервизоре
https://doi.org/10.15514/ISPRAS-2015-27(3)-18
Аннотация
В данной работе описывается дальнейшая разработка системы защиты Sevigator, использующей аппаратную виртуализацию. Изначальное устройство Sevigator состоит в исполнении пользовательских приложений в отдельной виртуальной машине, у которой отсутствует сетевой интерфейс. Для доверенных приложений Sevigator перехватает системные вызовы, связанные с операциями с сетью, и перенаправляет их на обслуживание в выделенную виртуальную машину. Такое устройство позволяет системе Sevigator защищать сетевое взаимодействие от вредоносных приложений, включая злонамеренный код на самом высоком уровне привилегий в ядре ОС. Использование современных гипервизоров, построенных по микроядерной архитектуре, позволяет изменить архитектуру системы Sevigator. Такие гипервизоры по своей природе являются маленькой операционной системой, в которой большинство аппаратных операций и управление виртуальными машинами изолированно в процессы с низким уровнем приоритета. Компрометация таких процессов не приведет к компрометации всего гипервизора. В данной работе мы предоставляем экспериментальную архитектуру Sevigator-а, основанную на гипервизоре NOVA, в рамках которой системные вызовы доверенных приложений обрабатываются в отдельном процессе в гипервизоре, а не в отдельной виртуальной машине. Этот эксперимент показал 25% прирост производительности при уменьшении количества переключений контекстов
Об авторах
К. Маллачиев
Московский государственный университет имени М.В.Ломоносова, факультет вычислительной математики и кибернетики
Россия
Россия
Н. Пакулин
Институт Системного Программирования РАН
Россия
Россия
Список литературы
1. Intel® 64 and IA-32 Architectures Software Developer's Manual Combined Volumes 3A, 3B, and 3C: System Programming Guide.
2. AMD64 Architecture Programmer’s Manual Volume 2: System Programming PDF, 2011
3. I. Burdonov, A. Kosachev, P. Iakovenko Virtualization-based separation of privilege: working with sensitive data in untrusted environment. 1st Eurosys Workshop on Virtual-ization Technology for Dependable Systems, New York, NY, USA, ACM. 2009. P. 1-6.
4. Д.В. Силаков Использование аппаратной виртуализации в контексте информаци-онной безопасности, Труды ИСП РАН том 20. 2011 г. стр.25-36. ISSN 2220-6426 (Online), ISSN 2079-8156 (Print)
5. П.Н. Яковенко. Прозрачный механизм удаленного обслуживания системных вызо-вов. Труды ИСП РАН Том 18. 2010 г. Стр. 221-242. ISSN 2220-6426 (Online), ISSN 2079-8156 (Print)
6. K. Mallachiev, N. Pakulin. Protecting Applications from Highly Privileged Malware Using Bare-metal Hypervisor. DOI: 10.15514/SYRCOSE-2014-8-10.
7. U. Steinberg and B. Kauer. 2010. NOVA: a microhypervisor-based secure virtualization architecture. In Proceedings of the 5th European conference on Computer systems (Eu-roSys '10). ACM, New York, NY, USA, 209-222.
8. T. Shinagawa, H. Eiraku, K. Tanimoto, K. Omote, S. Hasegawa, T. Horie, M. Hirano, K. Kourai, Y. Oyama, E. Kawai, K. Kono, S. Chiba, Y. Shinjo, and K. Kato. 2009. BitVisor: a thin hypervisor for enforcing i/o device security. In Proceedings of the 2009 ACM SIGPLAN/SIGOPS international conference on Virtual execution environments (VEE '09). ACM, New York, NY, USA, 121-130.
9. A. Seshadri, M., Ning Qu, and A. Perrig. 2007. SecVisor: a tiny hypervisor to provide lifetime kernel code integrity for commodity OSes.SIGOPS Oper. Syst. Rev.41, 6, 335-350. DOI=10.1145/1323293.1294294 C. Takemura and L. S. Crawford. The Book of Xen. 2009, 312 pp. ISBN-13 978-1-59327-186-2,
10. J. Rutkowska. Software compartmentalization vs. physical separation. Invisible Things Lab, 2014 http://www.invisiblethingslab.com/resources/2014/Software_compartmentalization_vs_physical_separation.pdf
11. A. Dunkels lwIP, a small independent implementation of the TCP/IP protocol suite. http://www.nongnu.org/lwip
Рецензия
Для цитирования:
Маллачиев К., Пакулин Н. Удаленное обслуживание системных вызовов в микроядерном гипервизоре. Труды Института системного программирования РАН. 2015;27(3):267-278. https://doi.org/10.15514/ISPRAS-2015-27(3)-18
For citation:
Mallachiev K., Pakulin N. Remote Service of System Calls in Microkernel Hypervisor. Proceedings of the Institute for System Programming of the RAS (Proceedings of ISP RAS). 2015;27(3):267-278. (In Russ.) https://doi.org/10.15514/ISPRAS-2015-27(3)-18
Послать статью по эл. почте 