一種基于用戶級虛擬化的沙盒機制.pdf

1、隨著網(wǎng)絡(luò)的普及，惡意代碼的傳播也越來越廣，這無論對個人還是企業(yè)都造成了不可忽略的損失。惡意程序的傳統(tǒng)分析和檢測方法存在很多不足，作為一個給可疑程序運行提供高度隔離環(huán)境的新興安全技術(shù)——沙盒應(yīng)用而生。
　　虛擬化按照規(guī)?？梢苑譃榘胩摂M化和完全虛擬化。本文的沙盒是基于用戶級虛擬化。所謂的用戶級虛擬化指的是為應(yīng)用程序提供直接并且安全的特權(quán)操作的平臺，即Dune。相比于完全虛擬化提供對操作系統(tǒng)的支持，借助VT-x的Dune模塊更加小巧，輕

2、便，它提供對應(yīng)用程序的支持。相比與半虛擬化需要客戶操作系統(tǒng)更改內(nèi)核，Dune只是一個可加載的模塊不需要系統(tǒng)內(nèi)核做出相應(yīng)的更改。
　　沙盒按照運行級別可以分為應(yīng)用層沙盒和內(nèi)核層沙盒以及混合型沙盒。通過分析目前沙盒技術(shù)的研究現(xiàn)狀和存在的不足之處，本文提出了一種基于用戶級虛擬化技術(shù)的沙盒——Dune sandbox。Dune sandbox屬于內(nèi)核層沙盒和目前主流的沙盒相比擁有以下優(yōu)勢:第一，借助用戶級虛擬化技術(shù)——Dune，使得沙盒擁

3、有精簡代碼的同時保證了較高的性能;第二，通過采用二級獨立的ELF loaders，防止惡意代碼對沙盒本身的攻擊，提高了沙盒的穩(wěn)定性;第三，通過hacksys_call_table，Dune sandbox為用戶程序發(fā)出的API調(diào)用提供了一種高效且深度的監(jiān)控機制;第四，通過嚴密的隔離，Dune sandbox當檢測到用戶程序?qū)ο到y(tǒng)嘗試篡改的時候，將其操作轉(zhuǎn)移到安全區(qū)域，實現(xiàn)了系統(tǒng)的安全隔離;第五，通過快速恢復(fù)機制，Dune sandbox