Preview

Труды Института системного программирования РАН

Расширенный поиск

Удаленное обслуживание системных вызовов в микроядерном гипервизоре

https://doi.org/10.15514/ISPRAS-2015-27(3)-18

Полный текст:

Аннотация

В данной работе описывается дальнейшая разработка системы защиты Sevigator, использующей аппаратную виртуализацию. Изначальное устройство Sevigator состоит в исполнении пользовательских приложений в отдельной виртуальной машине, у которой отсутствует сетевой интерфейс. Для доверенных приложений Sevigator перехватает системные вызовы, связанные с операциями с сетью, и перенаправляет их на обслуживание в выделенную виртуальную машину. Такое устройство позволяет системе Sevigator защищать сетевое взаимодействие от вредоносных приложений, включая злонамеренный код на самом высоком уровне привилегий в ядре ОС. Использование современных гипервизоров, построенных по микроядерной архитектуре, позволяет изменить архитектуру системы Sevigator. Такие гипервизоры по своей природе являются маленькой операционной системой, в которой большинство аппаратных операций и управление виртуальными машинами изолированно в процессы с низким уровнем приоритета. Компрометация таких процессов не приведет к компрометации всего гипервизора. В данной работе мы предоставляем экспериментальную архитектуру Sevigator-а, основанную на гипервизоре NOVA, в рамках которой системные вызовы доверенных приложений обрабатываются в отдельном процессе в гипервизоре, а не в отдельной виртуальной машине. Этот эксперимент показал 25% прирост производительности при уменьшении количества переключений контекстов

Об авторах

К. Маллачиев
Московский государственный университет имени М.В.Ломоносова, факультет вычислительной математики и кибернетики
Россия


Н. Пакулин
Институт Системного Программирования РАН
Россия


Список литературы

1. Intel® 64 and IA-32 Architectures Software Developer's Manual Combined Volumes 3A, 3B, and 3C: System Programming Guide.

2. AMD64 Architecture Programmer’s Manual Volume 2: System Programming PDF, 2011

3. I. Burdonov, A. Kosachev, P. Iakovenko Virtualization-based separation of privilege: working with sensitive data in untrusted environment. 1st Eurosys Workshop on Virtual-ization Technology for Dependable Systems, New York, NY, USA, ACM. 2009. P. 1-6.

4. Д.В. Силаков Использование аппаратной виртуализации в контексте информаци-онной безопасности, Труды ИСП РАН том 20. 2011 г. стр.25-36. ISSN 2220-6426 (Online), ISSN 2079-8156 (Print)

5. П.Н. Яковенко. Прозрачный механизм удаленного обслуживания системных вызо-вов. Труды ИСП РАН Том 18. 2010 г. Стр. 221-242. ISSN 2220-6426 (Online), ISSN 2079-8156 (Print)

6. K. Mallachiev, N. Pakulin. Protecting Applications from Highly Privileged Malware Using Bare-metal Hypervisor. DOI: 10.15514/SYRCOSE-2014-8-10.

7. U. Steinberg and B. Kauer. 2010. NOVA: a microhypervisor-based secure virtualization architecture. In Proceedings of the 5th European conference on Computer systems (Eu-roSys '10). ACM, New York, NY, USA, 209-222.

8. T. Shinagawa, H. Eiraku, K. Tanimoto, K. Omote, S. Hasegawa, T. Horie, M. Hirano, K. Kourai, Y. Oyama, E. Kawai, K. Kono, S. Chiba, Y. Shinjo, and K. Kato. 2009. BitVisor: a thin hypervisor for enforcing i/o device security. In Proceedings of the 2009 ACM SIGPLAN/SIGOPS international conference on Virtual execution environments (VEE '09). ACM, New York, NY, USA, 121-130.

9. A. Seshadri, M., Ning Qu, and A. Perrig. 2007. SecVisor: a tiny hypervisor to provide lifetime kernel code integrity for commodity OSes.SIGOPS Oper. Syst. Rev.41, 6, 335-350. DOI=10.1145/1323293.1294294 C. Takemura and L. S. Crawford. The Book of Xen. 2009, 312 pp. ISBN-13 978-1-59327-186-2,

10. J. Rutkowska. Software compartmentalization vs. physical separation. Invisible Things Lab, 2014 http://www.invisiblethingslab.com/resources/2014/Software_compartmentalization_vs_physical_separation.pdf

11. A. Dunkels lwIP, a small independent implementation of the TCP/IP protocol suite. http://www.nongnu.org/lwip


Для цитирования:


Маллачиев К., Пакулин Н. Удаленное обслуживание системных вызовов в микроядерном гипервизоре. Труды Института системного программирования РАН. 2015;27(3):267-278. https://doi.org/10.15514/ISPRAS-2015-27(3)-18

For citation:


Mallachiev K., Pakulin N. Remote Service of System Calls in Microkernel Hypervisor. Proceedings of the Institute for System Programming of the RAS (Proceedings of ISP RAS). 2015;27(3):267-278. (In Russ.) https://doi.org/10.15514/ISPRAS-2015-27(3)-18

Просмотров: 107


Creative Commons License
Контент доступен под лицензией Creative Commons Attribution 4.0 License.


ISSN 2079-8156 (Print)
ISSN 2220-6426 (Online)