[논문 리뷰] Divide et Impera: MemoryRanger Runs Drivers in Isolated Kernel Spaces

Igor Korkin|arXiv (Cornell University)|2018. 12. 24.

Security and Verification in Computing참고 문헌 14인용 수 6

한 줄 요약

MemoryRanger는 Intel VT-x와 EPT를 사용하여 하드웨어 기반 메모리 에이전드에 커널 모드 드라이버를 하이퍼바이저 기반으로 격리하는 시스템으로, 커널 모드 악성 소프트웨어로부터 민감한 코드와 데이터를 보호합니다. Windows 10 x64에서 성능 오버헤드가 5% 미만이어서 강력한 보안을 유지하면서도 실용적인 성능을 달성하여 신뢰할 수 없는 환경에서도 신뢰할 수 있는 실행을 가능하게 합니다.

ABSTRACT

One of the main issues in the OS security is to provide trusted code execution in an untrusted environment. During executing, kernel-mode drivers allocate and process memory data: OS internal structures, users private information, and sensitive data of third-party drivers. All this data and the drivers code can be tampered with by kernel-mode malware. Microsoft security experts integrated new features to fill this gap, but they are not enough: allocated data can be stolen and patched and the drivers code can be dumped without any security reaction. The proposed hypervisor-based system (MemoryRanger) tackles this issue by executing drivers in separate kernel enclaves with specific memory attributes. MemoryRanger protects code and data using Intel VT-x and EPT features with low performance degradation on Windows 10 x64.

연구 동기 및 목표

• 커널 모드 드라이버가 악성 코드에 의해 조작되는 운영 체제의 심각한 보안 격차를 해결하기 위해.
• 주어진 커널과 다른 드라이버로부터 격리함으로써 신뢰할 수 없는 환경에서도 커널 드라이버의 신뢰할 수 있는 실행을 가능하게 하기 위해.
• 커널 모드 악성 소프트웨어에 의해 드라이버의 코드와 데이터가 유출되거나 수정되거나 덤프되는 것을 방지하기 위해.
• 하드웨어 가상화 기능(특히 Intel VT-x와 EPT)을 활용하여 최소한의 성능 영향을 미치면서도 강력한 격리 보장을 제공하기 위해.
• 커널 수정 없이 기존 Windows 10 x64 시스템에 통합 가능한 실용적이고 구현 가능한 솔루션을 제공하기 위해.

제안 방법

• 하이퍼바이저를 사용하여 개별 드라이버를 위한 격리된 커널 에이전드를 생성하고, 하드웨어 수준의 메모리 보호를 강제합니다.
• Intel의 가상화 기술(VT-x)과 확장된 페이지 테이블(EPT)을 활용하여 메모리 접근 제어 및 격리를 구현합니다.
• 에이전드 내부의 코드 영역과 데이터 영역을 보호하기 위해 특정 메모리 속성을 적용하여 무단 액세스나 수정을 방지합니다.
• 드라이버를 별도의 격리된 커널 영역에서 실행함으로써, 조작된 드라이버가 다른 드라이버나 주 커널에 영향을 주지 못하도록 보장합니다.
• OS나 드라이버 코드에 수정이 필요 없이 Windows 10 x64 커널과 통합됩니다.
• 성능 오버헤드를 최소화하기 위해 상호 에이전드 간 통신과 시스템 호출을 관리하는 경량이고 효율적인 메커니즘을 사용합니다.

실험 결과

연구 질문

• RQ1 하드웨어 가상화 기능이 커널 드라이버를 효과적으로 격리하고 커널 모드 악성 소프트웨어로부터 보호하는 데에 적합한가요?
• RQ2 현대적인 x64 시스템에서 하드웨어 기반 에이전드에 드라이버를 격리할 경우 성능 오버헤드는 어느 정도인가요?
• RQ3 OS나 드라이버 코드를 수정하지 않고도 커널 드라이버의 코드와 데이터를 덤프, 변조, 유출로부터 보호할 수 있는가요?
• RQ4 악성 드라이버에 의해 권한 상승과 데이터 유출을 방지하는 격리 메커니즘의 효과는 어떠한가요?
• RQ5 기존 소프트웨어 호환성에 영향을 주지 않으면서도 생산 환경에 배포 가능한가요?

주요 결과

• MemoryRanger는 Intel VT-x와 EPT를 사용하여 하드웨어 기반 에이전드에 커널 드라이버를 성공적으로 격리함으로써 커널 모드 악성 소프트웨어로부터 강력한 보호를 제공합니다.
• 다양한 벤치마크 워크로드에서 Windows 10 x64에서 성능 저하가 5% 미만으로 나타나 실용적인 효율성을 입증했습니다.
• 악성 드라이버나 주 커널에 의해 드라이버 내 민감한 데이터와 코드가 읽히거나 수정되거나 덤프되는 것을 방지합니다.
• 드라이버나 커널이 손상된 경우에도 무단 액세스를 방지하기 위해 메모리 영역에 대한 접근을 차단합니다.
• Windows 커널이나 제3자 드라이버에 대한 수정이 필요 없어 원활한 통합이 가능합니다.
• 코드 삽입, 메모리 패치, 커널 공간의 데이터 유출과 같은 기존 알려진 공격 벡터를 효과적으로 완화합니다.