[논문 리뷰] On the effectiveness of virtualization-based security

Francesco Gadaleta, Raoul Strackx외 3명|Open Repository and Bibliography (University of Liège)|2014. 05. 22.

Security and Verification in Computing참고 문헌 14인용 수 3

한 줄 요약

이 논문은 가상화 기반 보안을 평가하며, 게스트 OS나 애플리케이션을 수정하지 않고 커널 수준의 루트킷을 탐지할 수 있는 하이퍼바이저 수준의 불변성 강제 프레임워크인 Hello Rootkitty를 제시하고, TrustVisor에서 소프트웨어 기반 TPM(µTPM)을 통한 하드웨어 지원 기반의 공식적으로 증명 가능한 보안을 탐색한다. 낮은 오버헤드와 강력한 격리 성능을 입증하며, 가상화가 효과적이고 경량의 악성코드 탐지 및 민감한 코드와 데이터에 대한 공식적으로 증명 가능한 보호를 가능하게 함을 보여준다.

ABSTRACT

Protecting commodity operating systems and applications against malware and targeted attacks has proven to be difficult. In recent years, virtualization has received attention from security researchers who utilize it to harden existing systems and provide strong security guarantees. This has lead to interesting use cases such as cloud computing where possibly sensitive data is processed on remote, third party systems. The migration and processing of data in remote servers, poses new technical and legal questions, such as which security measures should be taken to protect this data or how can it be proven that execution of code wasn't tampered with. In this paper we focus on technological aspects. We discuss the various possibilities of security within the virtualization layer and we use as a case study \HelloRootkitty{}, a lightweight invariance-enforcing framework which allows an operating system to recover from kernel-level attacks. In addition to \HelloRootkitty{}, we also explore the use of special hardware chips as a way of further protecting and guaranteeing the integrity of a virtualized system.

연구 동기 및 목표

• 클라우드 및 기업 환경에서 일반 운영 체제가 커널 수준의 악성코드와 표적 공격으로부터 보호받을 수 있도록 하는 것.
• 기존 운영 체제나 애플리케이션을 수정하지 않고도 가상화가 강력한 격리와 보안 보장을 제공할 수 있는지 탐색하는 것.
• 하이퍼바이저 기반 불변성 강제 기법이 루트킷 탐지에 얼마나 효과적인지와, 민감한 소프트웨어 구성 요소에 대해 하드웨어 지원 기반의 공식적으로 증명 가능한 보안이 얼마나 실현 가능한지 평가하는 것.
• 공식적으로 증명 가능한 무결성 확보를 위해 코드 수정이 필요한 복잡한 접근 방식과 달리, 경량이고 비침습적인 보안 메커니즘(예: Hello Rootkitty)과 비교하여 보안 커버리지 및 실용적 구현 측면에서의 성능을 분석하는 것.

제안 방법

• Hello Rootkitty는 하이퍼바이저 내부에서 작동하는 프레임워크로, 커널 데이터 구조에 대한 불법 수정을 지속적으로 모니터링하여 불변성을 강제함으로써 루트킷 활동을 탐지함.
• 이 프레임워크는 커널 메모리와 제어 구조에 대한 런타임 검사를 수행하며, 예상된 상태에서의 이탈을 감지하면 경고를 발생하거나 복구 조치를 취함.
• TrustVisor는 하이퍼바이저를 사용해 보안 민감도가 높은 코드와 데이터를 격리하고, 악성코드가 보호된 메모리 영역을 읽거나 쓰는 것을 방지하기 위해 엄격한 액세스 제어를 시행함.
• 주 CPU에서 하드웨어 TPM의 功能을 에뮬레이트하는 소프트웨어 기반 TPM(µTPM)을 구현하여 느린 하드웨어 TPM에 대한 의존도를 줄이고 성능을 향상시킴.
• 부팅 중에 하드웨어 TPM을 사용해 장기적인 비밀 정보를 측정하고 봉인함으로써, 오직 정상적으로 로드된 보안 모듈만이 보호된 데이터에 접근할 수 있도록 보장함.
• 보안 민감도가 높은 애플리케이션은 신뢰할 수 있는(보호된) 및 신뢰할 수 없는(비보호된) 구성 요소로 분할되며, 신뢰할 수 있는 부분은 강화되고 격리된 환경에서 실행됨.

실험 결과

연구 질문

• RQ1 하이퍼바이저 기반 불변성 강제 프레임워크는 게스트 OS나 애플리케이션을 수정하지 않고도 커널 수준의 루트킷을 탐지할 수 있는가?
• RQ2 가상화 환경에서 이러한 탐지 메커니즘을 실행할 경우 성능 오버헤드는 어느 정도인가?
• RQ3 소프트웨어 기반 TPM(µTPM)은 하드웨어 TPM보다 성능 향상을 이룰 수 있으며, 강력한 보안 보장을 유지할 수 있는가?
• RQ4 가상화와 하드웨어 지원(예: TPM)을 결합하여 민감한 코드와 데이터의 공식적으로 증명 가능한 격리를 얼마나 달성할 수 있는가?
• RQ5 경량이고 비침습적인 보안 메커니즘과 더 복잡하고 코드 수정이 필요한 접근 방식 간에 보안 커버리지 및 실용적 구현 측면에서의 성능을 비교하면 어떠한가?

주요 결과

• Hello Rootkitty는 커널 데이터 구조에 대한 불변성 강제를 통해 커널 수준의 루트킷을 탐지하며, 게스트 OS 수정이 필요 없고 성능 오버헤드도 최소화함.
• 이 프레임워크는 이상 징후를 감지할 경우 관리자에게 알림을 보내며, 일부 경우에 커널 복구를 자동으로 시작함으로써 루트킷 공격에 대한 회복력이 크게 향상됨.
• TrustVisor는 하이퍼바이저를 통해 액세스 제어를 강화함으로써 민감한 코드와 데이터의 강력한 격리를 달성함.
• µTPM의 사용은 반복적인 느린 하드웨어 TPM 호출을 제거함으로써 암호화 연산의 성능 비용을 줄여, Flicker와 같은 시스템 대비 측정 가능한 성능 향상을 이룸.
• TPM을 통한 하드웨어 지원은 부팅 무결성의 공식적 검증과 장기 비밀 정보의 안전한 봉인을 가능하게 하여, 오직 정상적으로 부팅된 보안 모듈만이 보호된 데이터에 접근할 수 있도록 보장함.
• Hello Rootkitty(탐지용)와 TrustVisor(공식적으로 증명 가능한 격리용)의 두 접근 방식은 상호보완적이며, 다중 테넌트 클라우드 환경에서 악성코드 탐지와 강력한 데이터 보호를 동시에 실현함.