準パススルー型ハイパーバイザによるメモリデータ収集機能の性能改善と評価

• Item type: SIG Technical Reports(1)
• 公開日: 2021-03-08
• タイトル: 準パススルー型ハイパーバイザによるメモリデータ収集機能の性能改善と評価
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: 情報収集・分析
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 豊田工業高等専門学校専攻科情報科学専攻
• 著者所属: 豊田工業高等専門学校情報工学科
• 著者所属: 豊田工業高等専門学校情報工学科
• 著者所属: 豊田工業高等専門学校専攻科情報科学専攻／豊田工業高等専門学校情報工学科
• 著者所属: 工学院大学情報学部
• 著者名: 大森, 貴通; 水野, 広基; 牧原, 京佑; 平野, 学; 小林, 良太郎
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 企業や官公庁でのランサムウェアの被害が増加している．我々の先行研究ではランサムウェア実行時のストレージ装置へのアクセスパターンを収集し，ランサムウェアを検知する機械学習モデルを訓練し，その検知性能を評価してきた．先行研究のシステムではランサムウェアをある程度の精度で検知できていたが，ストレージ装置へのアクセスパターンがランサムウェアと類似している無害なプログラムをランサムウェアと誤検知してしまう問題があった．そこで本研究ではランサムウェアの振る舞いをモデル化するために，先行研究で扱ったストレージ装置へのアクセスパターンに加えて，メインメモリから得られるプログラムの振る舞いに関する特徴量を収集し，それらの両方を用いることでランサムウェアの検知性能を向上させることを目的とする．先行研究では準パススルー型ハイパーバイザを用いてランサムウェアのストレージ装置に対するアクセス履歴を収集するシステムを実装，利用してきた．本研究ではこの先行研究のシステムを拡張し，メインメモリへのアクセス履歴を収集する機能を追加する．本稿では以下の 2 つの試作をおこなった結果を報告する．まず，試作（1）では物理メモリマップの情報を用いてゲスト OS のメモリ領域をバッファにコピーし，監視サーバへ転送することを繰り返す．試作（2）では Intel 社製 CPU の仮想化技術のひとつである Extended Page Table を利用し，メモリにアクセスされたタイミングで物理アドレスとそのデータを収集する．本稿ではそれぞれの試作を性能評価した結果を報告する．最後にメモリ管理の仮想化を応用した最新の関連研究をいくつか示し，監視の頻度と性能を両立できるメモリ監視システムの設計について考察する．
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA11235941
• 書誌情報: 研究報告コンピュータセキュリティ（CSEC）; 巻 2021-CSEC-92, 号 46, p. 1-7, 発行日 2021-03-08
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8655
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会