カーネルスタックの比較によるカーネルルートキット検知手法の提案

• Item type: Journal(1)
• 公開日: 2014-09-15
• タイトル: カーネルスタックの比較によるカーネルルートキット検知手法の提案
• タイトル / 言語: en
• タイトル: Proposal of Kernel Rootkits Detection Method by Comparing Kernel Stack
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: [特集：新しいリスクに対応するコンピュータセキュリティ技術] ルートキット，カーネルスタック，オペレーティングシステム，セキュリティ
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_6501
• 資源タイプ: journal article
• 著者所属: 岡山大学大学院自然科学研究科
• 著者所属: 岡山大学大学院自然科学研究科
• 著者所属(英): en
• 著者所属(英): Graduate School of Natural Science and Technology, Okayama University
• 著者所属(英): en
• 著者所属(英): Graduate School of Natural Science and Technology, Okayama University
• 著者名: 池上, 祐太; 山内, 利宏
• 著者名(英): Yuta, Ikegami; Toshihiro, Yamauchi
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 標的型攻撃でカーネルルートキットを使用する事例が増加している．カーネルルートキットに感染した場合，標的型攻撃の検知までに要する時間が長引き，計算機への被害が拡大する可能性がある．攻撃による被害の抑制には，カーネルルートキットの早期検知が重要である．しかし，既存のルートキット検知手法は，カーネルルートキットを早期に検知できるものが少なく，カーネルの拡張性を制限するという問題がある．そこで，カーネルルートキットに感染前と感染後のカーネルスタックの比較により，カーネルルートキットを検知する手法を提案する．提案手法では，カーネルルートキットに改ざんされる可能性の高いシステムコールの発行後に呼び出される正規のシステムコール処理ルーチンの呼び出し前に，処理をフックし，その時点のカーネルスタックの情報をホワイトリストと比較する．また，正規のカーネルモジュールの情報を事前にホワイトリストに登録しておくことで，提案手法による誤検知を防止する．本論文では，提案手法の設計，Linuxを対象とした実現方式，および評価結果を報告する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Recently, there is a case which attacker uses kernel rootkits on a target attack is increasing. If a system infected a kernel rootkit, the time required for until the detection of a target attack is prolonged. Moreover, the damage to a system may spread. Therefore, early detection of kernel rootkits is important. However, there are few kernel rootkit detection methods which can detect kernel rootkits earlier. In addition, existing methods limit the extensibility of the kernel. This paper proposes a kernel rootkits detection method which compares a kernel stack before infected a kernel rootkit with that after infected a kernel rootkit. This method compares the white list with a kernel stack before the system call service routine which invoked after system call that is more likely to be tampered with kernel rootkits. Also, the proposed method prevents false positive by registered information of the legitimate kernel module. In this paper, we report design of the proposed method, implementation for Linux, and evaluation results.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN00116647
• 書誌情報: 情報処理学会論文誌; 巻 55, 号 9, p. 2047-2060, 発行日 2014-09-15
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 1882-7764