[論文レビュー] EPA-RIMM: A Framework for Dynamic SMM-based Runtime Integrity Measurement

Brian Delgado, Karen L. Karavanic|arXiv (Cornell University)|May 9, 2018

Security and Verification in Computing参考文献 5被引用数 5

ひとこと要約

EPA-RIMMは、パフォーマンスに配慮したSMMベースのランタイム整合性測定フレームワークを提案する。このフレームワークは、大規模な整合性チェックを小さなタスクに分解することで、パフォーマンスのオーバーヘッドと副作用を最小限に抑える。システム管理モード（SMM）を活用して、セキュアで低レベルの監視を実現し、OSおよびハイパーバイザ構造におけるリモートキットの活動を、ランタイムへの影響を最小限に抑えつつ継続的に検出可能にする。この有効性は、Minnowboardプロトタイプ上で検証された。

ABSTRACT

Runtime integrity measurements identify unexpected changes in operating systems and hypervisors during operation, enabling early detection of persistent threats. System Management Mode, a privileged x86 CPU mode, has the potential to effectively perform such rootkit detection. Previously proposed SMM-based approaches demonstrated effective detection capabilities, but at a cost of performance degradation and software side effects. In this paper we introduce our solution to these problems, an SMM-based Extensible, Performance Aware Runtime Integrity Measurement Mechanism called EPA-RIMM. The EPA-RIMM architecture features a performance-sensitive design that decomposes large integrity measurements and schedules them to control perturbation and side effects. EPA-RIMM's decomposition of long-running measurements into shorter tasks, extensibility, and use of SMM complicates the efforts of malicious code to detect or avoid the integrity measurements. Using a Minnowboard-based prototype, we demonstrate its detection capabilities and performance impacts. Early results are promising, and suggest that EPA-RIMM will meet production-level performance constraints while continuously monitoring key OS and hypervisor data structures for signs of attack.

研究の動機と目的

• 既存のSMMベースのランタイム整合性測定システムにおけるパフォーマンスの低下とソフトウェア的副作用を是正すること。
• OSおよびハイパーバイザのデータ構造におけるリモートキットおよび不正な変更を、継続的かつリアルタイムに検出できること。
• タスクの分解と知的なスケジューリングにより、摂動を最小限に抑えたスケーラブルで拡張可能なフレームワークの設計。
• SMMと動的測定スケジューリングの活用により、悪意あるコードによる回避を防止する。
• 実世界のハードウェアプロトタイプ上で、フレームワークの有効性とパフォーマンスへの影響を検証すること。

提案手法

• フレームワークは、特権的で隔離されたCPUモードであるシステム管理モード（SMM）を用いて、プライベートな環境で整合性測定を実行する。
• 大規模な整合性測定を、実行に適した小さなタスクに分解することで、ランタイムオーバーヘッドを低減し、副作用を制御する。
• タスクは動的にスケジューリングされ、通常のシステム動作への干渉を最小限に抑え、パフォーマンス制約を維持する。
• アーキテクチャは拡張可能であり、新しい測定対象やセキュリティポリシーの統合が可能である。
• SMMベースの実行により、測定が悪意あるコードに検出されたり回避されたりするのを困難にする。
• 検出能力とパフォーマンスへの影響を評価するために、Minnowboard上でプロトタイプを実装した。

実験結果

リサーチクエスチョン

• RQ1 SMMベースの整合性測定は、パフォーマンスの低下を最小限に抑えつつ、実用的な生産環境システムに適用可能か？
• RQ2 大規模な整合性測定をどのように分解・スケジューリングすれば、ランタイムの摂動を低減できるか？
• RQ3 このフレームワークは、リモートキットマルウェアによる回避をどの程度耐えられるか？
• RQ4 実ハードウェア上で継続的な整合性監視の測定可能なパフォーマンスオーバーヘッドはどの程度か？
• RQ5 フレームワークは、OSおよびハイパーバイザのデータ構造における不正な変更をリアルタイムで検出できるか？

主な発見

• EPA-RIMMフレームワークは、大規模な整合性測定を小さなタスクに分解し、パフォーマンスのオーバーヘッドを顕著に低減した。
• 動的スケジューリングとタスクの分解により、パフォーマンスへの影響が最小限に抑えられ、生産環境のパフォーマンス制約を満たした。
• SMMの活用により検出の耐性が向上し、悪意あるコードが測定を検出または回避するのを困難にした。
• Minnowboardプロトタイプは、OSおよびハイパーバイザの主要なデータ構造における不正な変更の効果的な検出を示した。
• 初期の結果から、EPA-RIMMは許容可能なパフォーマンスコストで継続的なランタイム整合性監視を提供できると示唆された。
• フレームワークの拡張性により、新しい測定対象の統合や、進化する脅威への適応が可能となった。