[論文レビュー] On the effectiveness of virtualization-based security

Francesco Gadaleta, Raoul Strackx+3 more|Open Repository and Bibliography (University of Liège)|May 22, 2014

Security and Verification in Computing参考文献 14被引用数 3

ひとこと要約

本論文は、仮想化ベースのセキュリティを評価するものであり、ゲストOS やアプリケーションを変更せずにカーネルレベルのルートキットを検出可能なハイパーバイザーレベルの不変性強制フレームワーク「Hello Rootkitty」を提示し、TrustVisor におけるソフトウェアベースのTPM（µTPM）を用いたハードウェア支援の形式的証明可能セキュリティを検討する。低遅延と強固な隔離を実現し、仮想化が効果的で軽量なマルウェア検出および機密コードやデータに対する形式的証明可能な保護を可能にすることを示している。

ABSTRACT

Protecting commodity operating systems and applications against malware and targeted attacks has proven to be difficult. In recent years, virtualization has received attention from security researchers who utilize it to harden existing systems and provide strong security guarantees. This has lead to interesting use cases such as cloud computing where possibly sensitive data is processed on remote, third party systems. The migration and processing of data in remote servers, poses new technical and legal questions, such as which security measures should be taken to protect this data or how can it be proven that execution of code wasn't tampered with. In this paper we focus on technological aspects. We discuss the various possibilities of security within the virtualization layer and we use as a case study \HelloRootkitty{}, a lightweight invariance-enforcing framework which allows an operating system to recover from kernel-level attacks. In addition to \HelloRootkitty{}, we also explore the use of special hardware chips as a way of further protecting and guaranteeing the integrity of a virtualized system.

研究の動機と目的

• クラウドやエンタープライズ環境におけるコンsumer OS がカーネルレベルのマルウェアや標的型攻撃から保護される課題に対処すること。
• 既存のオペレーティングシステムやアプリケーションを変更せずに、仮想化が強固な隔離とセキュリティ保証を提供できるかを検討すること。
• ハイパーバイザーに基づく不変性強制がルートキット検出に有効であるか、および機密ソフトウェアコンponent に対するハードウェア支援・形式的証明可能なセキュリティが実現可能かどうかを評価すること。
• 形式的整合性を保証するためのコード変更を要するより包括的な手法（例：TrustVisor）と、軽量で侵襲性のない手法（例：Hello Rootkitty）を比較し、セキュリティカバレッジと実用的導入の観点から検討すること。

提案手法

• Hello Rootkitty は、ゲストOS やアプリケーションを変更せずに、カーネルデータ構造に対する不正な変更を継続的に監視し、不変性を強制することでルートキット活動を検出するハイパーバイザー内フレームワークとして動作する。
• このフレームワークは、カーネルメモリおよび制御構造に対するランタイムチェックを実行し、期待される状態から逸脱した場合にアラートを発行するか、修復処理を実行する。
• TrustVisor はハイパーバイザーを用いてセキュリティ感受性の高いコードとデータを隔離し、マルウェアが保護されたメモリ領域を読み書きできないように厳密なアクセス制御を実装する。
• メインCPU 上でハードウェアTPM 機能をエミュレートするソフトウェアベースのTPM（µTPM）を実装し、遅いハードウェアTPM 依存度を低下させ、パフォーマンスを向上させる。
• システムはハードウェアTPM を用いてブート時に長期的な秘密鍵を測定・シールドし、正しくロードされたセキュリティモジュールのみが保護されたデータにアクセス可能であることを保証する。
• セキュリティ感受性の高いアプリケーションは、信頼できる（保護された）と非信頼できる（保護されていない）コンponent に分割され、信頼できる部分は強化された隔離環境で実行される。

実験結果

リサーチクエスチョン

• RQ1 ゲストOS やアプリケーションを変更せずに、ハイパーバイザーに基づく不変性強制フレームワークがカーネルレベルのルートキットを検出可能か？
• RQ2 仮想化環境でこのような検出メカニズムを実行する際のパフォーマンスオーバーヘッドはどの程度か？
• RQ3 ソフトウェアベースのTPM（µTPM）は、ハードウェアTPM よりもパフォーマンスを向上させつつ、強固なセキュリティ保証を維持できるか？
• RQ4 仮想化とハードウェア支援（例：TPM）を組み合わせることで、機密コードやデータの形式的証明可能な隔離をどの程度達成できるか？
• RQ5 軽量で侵襲性のないセキュリティメカニズム（例：Hello Rootkitty）と、より複雑でコード変更を要するアプローチ（例：TrustVisor）を、セキュリティカバレッジと実用的導入の観点から比較すると、それぞれどのような差異が生じるか？

主な発見

• Hello Rootkitty はカーネルデータ構造に対する不変性強制により、ゲストOS の変更なしにカーネルレベルのルートキットを検出でき、パフォーマンスオーバーヘッドは最小限に抑えられた。
• フレームワークは異常を検出すると管理者にアラートを発行でき、一部の状況ではカーネル修復を開始することができ、ルートキット攻撃に対する耐性が著しく向上する。
• TrustVisor はハイパーバイザーを活用してアクセス制御を厳密に実装し、マルウェアによる不正なメモリ操作を防止することで、機密コードやデータの強固な隔離を実現する。
• µTPM の使用により、遅いハードウェアTPM への繰り返し呼び出しを回避し、暗号演算のパフォーマンスコストを削減し、Flicker システムと比較して顕著な高速化が達成された。
• TPM を用いたハードウェア支援により、ブート整合性の形式的検証と長期的秘密鍵の安全なシールドが可能となり、正しくブートされたセキュリティモジュールのみが保護されたデータにアクセス可能であることを保証する。
• Hello Rootkitty による検出とTrustVisor による形式的証明可能な隔離という2つのアプローチは相補的であり、マルチテナントクラウド環境におけるマルウェア検出と強固なデータ保護を両立可能である。