持久型Windows Rootkit檢測技術(shù)的研究與實現(xiàn).pdf

1、Rootkit是攻擊者在入侵系統(tǒng)后用來保持對系統(tǒng)的超級用戶訪問權(quán)限,創(chuàng)建后門和隱藏攻擊痕跡等常采用的一種技術(shù)。Rootkit存在于Linux,Solaris和Windows等各種操作系統(tǒng)上。 根據(jù)Rootkit的外部表現(xiàn),Rootkit分兩種：可持久的Rootkit和基于內(nèi)存的Rootkit。其最根本的區(qū)別就是被感染的機(jī)器重新啟動后,兩者的持久性。可持久的Rootkit在系統(tǒng)重啟后還繼續(xù)存在,而基于內(nèi)存的Rootkit則不行。永

2、久型Rootkit因其長期隱秘存在于受害系統(tǒng)中,被認(rèn)為是計算機(jī)安全的重大威脅。 本文概述了當(dāng)前檢測Windows Rootkit的主流技術(shù)和一些檢測工具。包括最早的基于特征碼檢測方法。目前發(fā)展迅速的啟發(fā)式檢測/行為檢測方法,代表的工具有VICE和Patchfinder。Cross-view是新興的檢測Rootkit的方法,本研究就是基于該方法,當(dāng)前代表作有Rootkit Revealer、Klister和StriderGhost

3、Buster。完整性檢測對內(nèi)存型Rootkit有較好的效果,硬件檢測是比較徹底解決Rootkit問題的方法。 本文應(yīng)用Cross-view方法構(gòu)建監(jiān)控系統(tǒng),通過對隱藏行為的發(fā)現(xiàn)來判定系統(tǒng)是否已被裝入永久型Windows Rootkit。使用文件系統(tǒng)過濾驅(qū)動、鉤掛注冊表相關(guān)系統(tǒng)服務(wù)來監(jiān)視文件系統(tǒng)和注冊表的操作,并構(gòu)造可信的操作信息數(shù)據(jù)集。并在不可靠的用戶態(tài)下驗證該數(shù)據(jù)集,以發(fā)現(xiàn)隱藏文件、注冊表和進(jìn)程的情況,判定Rootkit的存在