[论文解读] Polymorphic Worms Collection in Cloud Computing

Ashraf A. Shahin|arXiv (Cornell University)|Sep 5, 2014

Advanced Malware Detection Techniques参考文献 13被引用 5

一句话总结

本文提出了一种高互动蜜罐框架，通过使用开源 forensics 工具和 VMWare 虚拟磁盘开发工具包，分析虚拟机（VM）内存和磁盘镜像，以在云环境中收集零日多态蠕虫的载荷。该方法成功克服了在同构和异构云平台中检测与收集的挑战，实现了对不断演化的蠕虫的有效签名生成和行为分析。

ABSTRACT

In the past few years, computer worms are seen as one of significant challenges of cloud computing. Worms are rapidly changing and getting more sophisticated to evade detection. One major issue to defend against computer worms is collecting worms' payloads to generate their signature and study their behavior. To collect worms' payloads, we identified challenges for detecting and collecting worms' payloads and proposed high-interactive honeypot to collect payloads of zero-day polymorphic worms in homogeneous and heterogeneous cloud computing platforms. Virtual machine (VM) memory and VM disk image are inspected from outside using open-source forensics tools and VMWare Virtual Disk Development Kit. Our experiments show that the proposed approach overcomes the identified challenges.

研究动机与目标

• 解决在云环境中检测和收集快速演化、多态蠕虫载荷的挑战。
• 为在同构和异构云平台中收集零日蠕虫签名，开发可扩展的解决方案。
• 通过检查虚拟机外部的内存和磁盘镜像，实现对蠕虫行为的取证分析。
• 克服传统检测方法在面对多态、自我修改蠕虫时的局限性。
• 证明在云计算中，通过外部虚拟机取证实现蠕虫收集的可行性和有效性。

提出的方法

• 在云环境中部署高互动蜜罐，以吸引并捕获多态蠕虫。
• 使用开源取证工具分析虚拟机内存转储和磁盘镜像中的蠕虫载荷。
• 利用 VMWare 虚拟磁盘开发工具包，在无需直接访问虚拟机的情况下提取和检查虚拟机磁盘镜像。
• 实施双分析流水线：内存取证用于检测活跃载荷，磁盘取证用于识别持久性痕迹。
• 对收集到的载荷应用签名提取技术，以进行行为和模式分析。
• 在同构和异构云平台上验证该方法，以确保可移植性和鲁棒性。

实验结果

研究问题

• RQ1 尽管蠕虫具有自我修改特性，如何在云计算环境中有效收集多态蠕虫载荷？
• RQ2 哪些技术能够实现无需直接访问虚拟机，从虚拟机内存和磁盘镜像中可靠提取蠕虫载荷？
• RQ3 高互动蜜罐是否可用于在同构和异构云平台中捕获零日多态蠕虫？
• RQ4 在虚拟化云环境中检测和收集多态蠕虫面临哪些关键挑战？
• RQ5 使用开源工具和 VMWare 虚拟磁盘开发工具包进行外部虚拟机取证，在蠕虫载荷收集方面有多高效？

主要发现

• 所提出的蜜罐在同构和异构云平台中均成功捕获并收集了零日多态蠕虫的载荷。
• 通过使用开源取证工具对外部虚拟机内存和磁盘镜像进行分析，即使在蠕虫具有多态行为的情况下，也实现了有效的载荷提取。
• VMWare 虚拟磁盘开发工具包在无需虚拟机级别访问或修改的情况下，成功实现了对虚拟机磁盘镜像的访问和检查。
• 该方法克服了检测和收集多态蠕虫的关键挑战，包括混淆和快速变异。
• 该框架在多样化云环境中表现出可扩展性和适应性，支持签名生成和行为研究。
• 实验结果证实了该方法在真实云安全基础设施中部署的可行性和鲁棒性。