単一フックポイントのゲストOS監視による検知可能な権限昇格攻撃の拡大とオーバヘッド削減の実現

• Item type: Symposium(1)
• 公開日: 2019-10-14
• タイトル: 単一フックポイントのゲストOS監視による検知可能な権限昇格攻撃の拡大とオーバヘッド削減の実現
• タイトル / 言語: en
• タイトル: Expanding Detectable Privilege Escalation Attacks and Reducing Overhead by Guest OS Monitoring Using Single Hook Point
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: KVM，仮想化，権限昇格攻撃，権限情報，システムコールフック
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 岡山大学大学院自然科学研究科
• 著者所属: 岡山大学大学院自然科学研究科
• 著者所属(英): en
• 著者所属(英): Graduate School of Natural Science and Technology, Okayama University
• 著者所属(英): en
• 著者所属(英): Graduate School of Natural Science and Technology, Okayama University
• 著者名: 福本, 淳文; 山内, 利宏
• 著者名(英): Akifumi, Fukumoto; Toshihiro, Yamauchi
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 権限昇格攻撃はシステムの改ざんや情報漏えいにつながる可能性がある．これに対処するため，システムコールによる権限の変更に着目した権限昇格攻撃防止手法が提案された．この手法は，導入するためにカーネルソースコードを変更する必要がある．また，保存した権限情報が攻撃者に改ざんされる可能性がある．これらの課題に対して，我々は KVM 内に同様のセキュリティ機構（以降，従来手法）を実現することで対処した．しかし，従来手法は，システムコール処理中に発生する権限の改ざんしか検知できない．また，システムコールを発行するたびに VMexit が2 回発生し，システムコール処理のオーバヘッドが大きい．そこで，本稿では，従来手法からシステムコール処理後のフックポイントを削除し，システムコール処理前の権限の監視のみで権限昇格攻撃を防止する手法を提案する．提案手法は，従来手法では対応できなかったシステムコール処理外で発生する権限の変更を検知できる．また，システムコールあたりに発生する VMexit が1 回となり，システムコール処理のオーバヘッドが抑えられる．本稿では，提案手法の設計と実現方式について述べ，従来手法では検知できない攻撃を検知できることとオーバヘッドを半分に削減できることを述べる．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: To address privilege escalation attacks, a prevention method focusing on the change of credentials by system calls has been proposed. Because this method is implemented in OS, it requires modication of kernel source code. In addition, the stored credentials may be forged by an attacker. We addressed these problems by implementing the same mechanism (referred to as previous method) in KVM. But the previous method only can detect the change of credentials that occurs during system call and two VMexit added by previous method per system call may lead to large overhead. To address these problems, we set a hook only before system call. The proposal method can detect the change of credentials that occurs outside system call processing. In addition, the overhead can be reduced because additional VMexit is reduced to once. In this paper, we describe the design and implementation of the proposed method and report the evaluation result.
• 書誌レコードID / 識別子タイプ: NCID
• 書誌レコードID / 関連識別子: ISSN 1882-0840
• 書誌情報: コンピュータセキュリティシンポジウム2019論文集; 巻 2019, p. 144-151, 発行日 2019-10-14
• 出版者 / 言語: ja
• 出版者: 情報処理学会