[论文解读] EPA-RIMM: A Framework for Dynamic SMM-based Runtime Integrity Measurement

Brian Delgado, Karen L. Karavanic|arXiv (Cornell University)|May 9, 2018

Security and Verification in Computing参考文献 5被引用 5

一句话总结

EPA-RIMM 提出了一种性能感知的、基于 SMM 的运行时完整性度量框架，通过将大型完整性检查分解为更小的任务，以最小化性能开销和副作用。通过利用系统管理模式实现安全、低级别的监控，该框架能够在对运行时性能影响极小的情况下，持续检测操作系统和虚拟机监控器结构中的 rootkit 活动，该方案已在 Minnowboard 原型上得到验证。

ABSTRACT

Runtime integrity measurements identify unexpected changes in operating systems and hypervisors during operation, enabling early detection of persistent threats. System Management Mode, a privileged x86 CPU mode, has the potential to effectively perform such rootkit detection. Previously proposed SMM-based approaches demonstrated effective detection capabilities, but at a cost of performance degradation and software side effects. In this paper we introduce our solution to these problems, an SMM-based Extensible, Performance Aware Runtime Integrity Measurement Mechanism called EPA-RIMM. The EPA-RIMM architecture features a performance-sensitive design that decomposes large integrity measurements and schedules them to control perturbation and side effects. EPA-RIMM's decomposition of long-running measurements into shorter tasks, extensibility, and use of SMM complicates the efforts of malicious code to detect or avoid the integrity measurements. Using a Minnowboard-based prototype, we demonstrate its detection capabilities and performance impacts. Early results are promising, and suggest that EPA-RIMM will meet production-level performance constraints while continuously monitoring key OS and hypervisor data structures for signs of attack.

研究动机与目标

• 解决现有基于 SMM 的运行时完整性度量系统中存在的性能下降和软件副作用问题。
• 实现在操作系统和虚拟机监控器数据结构中对 rootkit 和未经授权修改的持续、实时检测。
• 设计一种可扩展、可扩展的框架，通过任务分解和智能调度最小化干扰。
• 通过使用 SMM 和动态度量调度，增强对恶意代码逃避行为的抵抗力。
• 在真实硬件原型上验证该框架的有效性及其性能影响。

提出的方法

• 该框架使用系统管理模式（SMM）在特权、隔离的 CPU 模式下执行完整性度量。
• 将大型完整性度量分解为更小、可管理的任务，以减少运行时开销并控制副作用。
• 通过动态调度任务，最小化对正常系统运行的干扰，并维持性能约束。
• 该架构具有可扩展性，支持集成新的度量目标和安全策略。
• 基于 SMM 的执行确保了度量难以被恶意代码检测或绕过。
• 在 Minnowboard 上实现了原型，以评估检测能力与性能影响。

实验结果

研究问题

• RQ1 基于 SMM 的完整性度量能否在性能下降极小的前提下，应用于生产系统？
• RQ2 如何对大型完整性度量进行分解与调度，以减少运行时扰动？
• RQ3 该框架在多大程度上能够抵抗 rootkit 恶意软件的逃避行为？
• RQ4 在真实硬件上，持续完整性监控的可测量性能开销是多少？
• RQ5 该框架能否实现实时检测操作系统和虚拟机监控器数据结构中的未经授权修改？

主要发现

• EPA-RIMM 框架成功地将大型完整性度量分解为更小的任务，显著降低了性能开销。
• 通过动态调度和任务分解，性能影响被最小化，满足了生产级性能约束。
• 使用 SMM 增强了检测的鲁棒性，使恶意代码难以检测或逃避度量。
• Minnowboard 原型展示了对操作系统和虚拟机监控器关键数据结构中未经授权修改的有效检测。
• 初步结果表明，EPA-RIMM 可在可接受的性能成本下提供持续的运行时完整性监控。
• 该框架的可扩展性支持新度量目标的集成，并能适应不断演变的威胁。