[논문 리뷰] EPA-RIMM: A Framework for Dynamic SMM-based Runtime Integrity Measurement

Brian Delgado, Karen L. Karavanic|arXiv (Cornell University)|2018. 05. 09.

Security and Verification in Computing참고 문헌 5인용 수 5

한 줄 요약

EPA-RIMM는 성능 인식형이며 SMM 기반의 런타임 무결성 측정 프레임워크를 제안하며, 큰 무결성 검사를 더 작은 작업으로 분해하여 성능 오버헤드와 부작용을 최소화한다. 시스템 관리 모드를 활용해 보안적이며 저수준의 모니터링을 수행함으로써, 운영체제 및 하이퍼바이저 구조에서 루트킷 활동을 지속적으로 탐지할 수 있으며, 이는 Minnowboard 프로토타입에서 검증되었다.

ABSTRACT

Runtime integrity measurements identify unexpected changes in operating systems and hypervisors during operation, enabling early detection of persistent threats. System Management Mode, a privileged x86 CPU mode, has the potential to effectively perform such rootkit detection. Previously proposed SMM-based approaches demonstrated effective detection capabilities, but at a cost of performance degradation and software side effects. In this paper we introduce our solution to these problems, an SMM-based Extensible, Performance Aware Runtime Integrity Measurement Mechanism called EPA-RIMM. The EPA-RIMM architecture features a performance-sensitive design that decomposes large integrity measurements and schedules them to control perturbation and side effects. EPA-RIMM's decomposition of long-running measurements into shorter tasks, extensibility, and use of SMM complicates the efforts of malicious code to detect or avoid the integrity measurements. Using a Minnowboard-based prototype, we demonstrate its detection capabilities and performance impacts. Early results are promising, and suggest that EPA-RIMM will meet production-level performance constraints while continuously monitoring key OS and hypervisor data structures for signs of attack.

연구 동기 및 목표

• 기존 SMM 기반 런타임 무결성 측정 시스템에서 발생하는 성능 저하와 소프트웨어 부작용을 해결하기 위해.
• 운영체제 및 하이퍼바이저 데이터 구조에서의 루트킷 및 비승인 변경 사항을 지속적이고 실시간으로 탐지할 수 있도록 하기 위해.
• 작업 분해와 지능적인 스케줄링을 통해 간섭을 최소화하는 확장 가능하고 유연한 프레임워크를 설계하기 위해.
• SMM 및 동적 측정 스케줄링을 통해 악성 코드에 의한 회피를 방지함으로써 내성적 저항력을 확보하기 위해.
• 실제 하드웨어 프로토타입에서 프레임워크의 효과성과 성능 영향을 검증하기 위해.

제안 방법

• 프레임워크는 시스템 관리 모드(SMM)를 사용하여 특권적이고 격리된 CPU 모드에서 무결성 측정을 수행한다.
• 큰 무결성 측정 작업을 더 작은, 관리하기 쉬운 작업으로 분해하여 런타임 오버헤드를 줄이고 부작용을 통제한다.
• 작업은 동적으로 스케줄링되어 정상적인 시스템 운영에 미치는 간섭을 최소화하고 성능 제약을 유지한다.
• 아키텍처는 확장 가능하여 새로운 측정 대상과 보안 정책의 통합이 가능하다.
• SMM 기반 실행은 측정이 악성 코드에 의해 감지되거나 우회되는 것을 어렵게 한다.
• 검출 능력과 성능 영향을 평가하기 위해 Minnowboard에 프로토타입을 구현하였다.

실험 결과

연구 질문

• RQ1 SMM 기반의 무결성 측정이 성능 저하를 최소화하면서 실용적인 생산 환경에 적용 가능한가?
• RQ2 큰 무결성 측정은 어떻게 분해하고 스케줄링하여 런타임 간섭을 줄일 수 있는가?
• RQ3 이 프레임워크는 루트킷 악성 소프트웨어에 의해 얼마나 잘 저항할 수 있는가?
• RQ4 실제 하드웨어에서 지속적인 무결성 모니터링의 측정 가능한 성능 오버헤드는 얼마인가?
• RQ5 이 프레임워크는 운영체제 및 하이퍼바이저 데이터 구조에서의 비승인 변경 사항을 실시간으로 탐지할 수 있는가?

주요 결과

• EPA-RIMM 프레임워크는 큰 무결성 측정을 더 작은 작업으로 성공적으로 분해하여 성능 오버헤드를 크게 감소시켰다.
• 동적 스케줄링과 작업 분해를 통해 성능 영향을 최소화하여 생산 수준의 성능 제약을 충족시켰다.
• SMM의 사용은 탐지에 대한 내성적 저항력을 향상시켜, 악성 코드가 측정를 감지하거나 우회하는 것을 어렵게 했다.
• Minnowboard 프로토타입은 운영체제 및 하이퍼바이저의 핵심 데이터 구조에서의 비승인 변경 사항을 효과적으로 탐지하는 데 성공했다.
• 초기 결과에 따르면 EPA-RIMM는 수용 가능한 성능 비용으로 지속적인 런타임 무결성 모니터링을 제공할 수 있다.
• 프레임워크의 확장성 덕분에 새로운 측정 대상 통합과 변화하는 위협에 대한 적응이 가능하다.