SlideShare a Scribd company logo
雲端運算服務平台之Windows Rootkits
       技術研究

         大葉大學 資訊管理學系
           曹偉駿 教授
            蘇琮凱 研究生




 大葉大學網路安全實驗室
                       1
大綱
 緒論
      研究背景
      研究動機與目的
 文獻探討
   Rootkit防禦方法
   虛擬監測機制
   建構基於Windows 核心模式之 Driver-hidden Rootkit防禦機制
   防禦機制
   機制模組設計
 研究流程
 實驗測試
 結論
緒論-研究背景與動機
 越來越多的惡意程式結合Rootkit技術來遮掩本身的非
 法行為

 我們發現先進的Rootkit技術都是以”驅動程式”
(Driver Program)的形態被載入

 目前的防禦機制並無法有效判斷是否為Rootkit攻擊
序論-研究目的
 基於DKOM技術研製出一新型的Windows 雲端作業系
 統 Kernel Mode Rootkit

 提出新型有效的雲端Windows Kernel Mode Rootkit偵
 測方法。
文獻回顧 (1/8)-Rootkit偵測方式
 特徵偵測(Signature based detection)
   鑑別Rootkit的特徵
 行為偵測(Behavior based detection)
   搜尋Rootkit程式隱藏的元素,包括檔案或記錄
 完整性偵測(Integrity based detection)
   對系統中的檔案與目錄建立一個比對資料庫
 硬體式偵測(Hardware based detection)
   透過外接周邊設備方式安裝在電腦PCI插槽中,對Rootkit
   進行偵測與監控
 交叉察看偵測(Cross view based detection)
   透過Windows common APIs 取得系統上重要的資訊,如檔
   案(files)、程序(process)或機碼(Registry key),再與「經由
   程式本身演算法產生的資訊」進行交叉察看
文獻回顧 (2/8)-Rootkit偵測方式
                優點                缺點

  特徵偵測    需不定期更新病毒碼至資料庫     無法偵測未知型的惡意軟體
          中,即可偵測新的惡意軟體

  行為偵測    可辨識已知或未知的惡意軟體     無法辨識特定的惡意軟體

 完整性偵測    不需更新病毒碼至資料庫中,     無法辨識惡意軟體行為
          可發現系統檔案是否被竄改

 硬體式偵測    擁有自己的CPU,並透過DMA   需花費大量成本建置與維護
          對電腦記憶體掃描

 交叉察看偵測   檢測系統檔案、程序與機碼      只應用於Windows作業系統
文獻回顧 (3/8)-Rootkit防禦機制
 記憶體影子防禦系統(Memory Shadowing)
 內核代碼簽章(Kernel-Mode Code Signing Walkthrough)
 主機型入侵防禦系統(Host-based Intrusion Prevention System)
 虛擬機器(Virtual Machine)
文獻回顧 (4/8)-虛擬監測機制
 與惡意軟體交戰後,作業系統損壞與記錄喪失等問題

 個虛擬作業系統環境下,創造另一個虛擬作業系統並加於
 監測,我們稱之為虛擬監測機制(virtual machine monitor,
 VMM)

 全虛擬化(Full Virtualization) 必需透過主作業系統的支援,
 才能與硬替設備溝通

 半虛擬化(Paravirtualization) 這類型的虛擬監測機制,不
 需要透過主作業系統的支援,便可與硬體設備溝通
文獻回顧 (5/8)-Rootkit虛擬化技術




     全虛擬化       半虛擬化
文獻回顧 (6/8)-微軟雲端方案
       軟體
                   Virtual            Virtual
            QEMU             VMware             Xen   Hyper-v
比較項目               Box                 PC

 圖形化界面       No      Yes      Yes       Yes     No      Yes

 跨平台模擬性      No      No       Yes       No      Yes     Yes

  環境隔離       Yes     Yes      Yes       Yes     Yes     Yes

  全虛擬化       Yes     Yes      Yes       Yes     Yes     Yes

  半虛擬化       No      No        No       No      Yes     Yes

可模擬32位元系統    Yes     Yes      Yes       Yes     Yes     Yes

可模擬64位元系統    No      No       Yes       No      Yes     Yes
文獻回顧 (7/8)-隱藏技巧
 Direct Kernel Object Manipulation (DKOM)
適用雲端運算之Windows Rootkit
偵測機制-研究流程
適用雲端運算之Windows Rootkit
偵測機制-研究流程
適用雲端運算之Windows Rootkit
偵測機制
 新型Windows Rootkits隱藏技術


 (1)移除PE鏡像


 (2)移除註冊表
適用雲端運算之Windows Rootkit
偵測機制(1/2)
 (1)使用zwqueryvirtualmemory搜尋二元樹
適用雲端運算之Windows Rootkit
偵測機制 (2/2)
 (2)開機時以最優先的權限載入本研究所研發之Rootkit
 偵測軟體,Rootkit偵測軟體載入後能防止Rootkit自動
 載入並能防止Rootkit刪除其相關註冊表值,並常駐於
 系統之中
實驗環境(1/2)
             資安測試需於封閉之網路
             狀態下進行

                       網路測試環境必須是
 擁有完整資源控制權             獨立的
 以進行實驗




儲存實驗狀態,增加
重覆使用便利性              記錄實驗資訊,如執行步
                     驟、實驗結果
實驗環境(2/2)
隱藏能力測試 (1/3)
隱藏能力測試 (2/3)
隱藏能力測試 (3/3)
結論
 (一)找出現有Windows 2008雲端作業系統之核心弱點,
  並促使rootkit偵測軟體研發廠商重視Windows 2008雲
  端作業系統之rootkit偵測軟體研發,以有效保障雲端
  環境及廣大使用者電腦系統安全。
 (二)研製一新型Windows 2008 雲端作業系統 Kernel
  Mode Rootkit提供rootkit偵測軟體用以測試新研發之
  Windows 2008雲端作業系統之rootkit偵測軟體。
 (三)找出現有Windows 2008雲端作業系統Rootkits偵
  測軟體之弱點,激勵rootkit偵測軟體研發廠商須時時
  檢測其偵測功能,以有效保障廣大使S用者電腦系統安
  全。
謝謝聆聽
敬請指教

More Related Content

What's hot

卡巴斯基個人版 7.0導覽
卡巴斯基個人版 7.0導覽  卡巴斯基個人版 7.0導覽
卡巴斯基個人版 7.0導覽
briian
 
台科大網路鑑識課程 封包分析及中繼站追蹤
台科大網路鑑識課程 封包分析及中繼站追蹤台科大網路鑑識課程 封包分析及中繼站追蹤
台科大網路鑑識課程 封包分析及中繼站追蹤
jack51706
 
如何下载和安装Cite space
如何下载和安装Cite space如何下载和安装Cite space
如何下载和安装Cite space
cueb
 
Tdohconf 2017-ncku
Tdohconf 2017-nckuTdohconf 2017-ncku
Tdohconf 2017-ncku
jack51706
 
第一次使用Shodan.io就上手
第一次使用Shodan.io就上手第一次使用Shodan.io就上手
第一次使用Shodan.io就上手
Ting-En Lin
 
萬用 Ghost win 7 映像檔製作教學
萬用 Ghost win 7 映像檔製作教學萬用 Ghost win 7 映像檔製作教學
萬用 Ghost win 7 映像檔製作教學SeanRuan
 
网站运维与监控
网站运维与监控网站运维与监控
网站运维与监控yunhaozou
 
恶性代码和分析方案
恶性代码和分析方案恶性代码和分析方案
恶性代码和分析方案
Youngjun Chang
 
作業系統祕笈(張逸)
作業系統祕笈(張逸)作業系統祕笈(張逸)
作業系統祕笈(張逸)
逸 張
 
Con T788 Windows 7下的设备使用体验 Cameron Brodeur
Con T788 Windows 7下的设备使用体验 Cameron BrodeurCon T788 Windows 7下的设备使用体验 Cameron Brodeur
Con T788 Windows 7下的设备使用体验 Cameron Brodeurexherb
 
Forensics 101
Forensics 101Forensics 101
Forensics 101
HsiangMingHung
 

What's hot (12)

卡巴斯基個人版 7.0導覽
卡巴斯基個人版 7.0導覽  卡巴斯基個人版 7.0導覽
卡巴斯基個人版 7.0導覽
 
台科大網路鑑識課程 封包分析及中繼站追蹤
台科大網路鑑識課程 封包分析及中繼站追蹤台科大網路鑑識課程 封包分析及中繼站追蹤
台科大網路鑑識課程 封包分析及中繼站追蹤
 
如何下载和安装Cite space
如何下载和安装Cite space如何下载和安装Cite space
如何下载和安装Cite space
 
Tdohconf 2017-ncku
Tdohconf 2017-nckuTdohconf 2017-ncku
Tdohconf 2017-ncku
 
第一次使用Shodan.io就上手
第一次使用Shodan.io就上手第一次使用Shodan.io就上手
第一次使用Shodan.io就上手
 
试验
试验试验
试验
 
萬用 Ghost win 7 映像檔製作教學
萬用 Ghost win 7 映像檔製作教學萬用 Ghost win 7 映像檔製作教學
萬用 Ghost win 7 映像檔製作教學
 
网站运维与监控
网站运维与监控网站运维与监控
网站运维与监控
 
恶性代码和分析方案
恶性代码和分析方案恶性代码和分析方案
恶性代码和分析方案
 
作業系統祕笈(張逸)
作業系統祕笈(張逸)作業系統祕笈(張逸)
作業系統祕笈(張逸)
 
Con T788 Windows 7下的设备使用体验 Cameron Brodeur
Con T788 Windows 7下的设备使用体验 Cameron BrodeurCon T788 Windows 7下的设备使用体验 Cameron Brodeur
Con T788 Windows 7下的设备使用体验 Cameron Brodeur
 
Forensics 101
Forensics 101Forensics 101
Forensics 101
 

Similar to 虎尾科大報告

調試器原理與架構
調試器原理與架構調試器原理與架構
調試器原理與架構hackstuff
 
计算机培训
计算机培训计算机培训
计算机培训
cyj863
 
A DIY Botnet Tracking System
A DIY Botnet Tracking SystemA DIY Botnet Tracking System
A DIY Botnet Tracking System
log0
 
Ezilla
EzillaEzilla
Ezilla
hs1250
 
11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢
11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢
11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢
T客邦
 
ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...
ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...
ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...
ChinaNetCloud
 
資訊安全入門
資訊安全入門資訊安全入門
資訊安全入門Tyler Chen
 
Ict network security
Ict network securityIct network security
Ict network securityGary Tsang
 
雲端運算期中分組報告
雲端運算期中分組報告雲端運算期中分組報告
雲端運算期中分組報告
Yosheng Zhang
 
資訊證照講座
資訊證照講座資訊證照講座
資訊證照講座Ryan Chung
 
Con t532-基于 windows 7 的硬件设备安装体验-richie fang
Con t532-基于 windows 7 的硬件设备安装体验-richie fangCon t532-基于 windows 7 的硬件设备安装体验-richie fang
Con t532-基于 windows 7 的硬件设备安装体验-richie fangsirensings
 
CDP方案介绍
CDP方案介绍CDP方案介绍
CDP方案介绍
acqua young
 
議題三:政府網站常見弱點與分析
議題三:政府網站常見弱點與分析議題三:政府網站常見弱點與分析
議題三:政府網站常見弱點與分析Nicolas su
 
2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)
2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)
2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)
Simen Li
 
20030623 linuxbasic and-security
20030623 linuxbasic and-security20030623 linuxbasic and-security
20030623 linuxbasic and-security建融 黃
 
賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...
賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...
賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...
Wales Chen
 
盛大游戏运维体系
盛大游戏运维体系盛大游戏运维体系
盛大游戏运维体系Ken Liu
 
盛大游戏运维体系
盛大游戏运维体系盛大游戏运维体系
盛大游戏运维体系Ken Liu
 
99 第六屆國際健康資訊管理研討會簡報botnet
99 第六屆國際健康資訊管理研討會簡報botnet99 第六屆國際健康資訊管理研討會簡報botnet
99 第六屆國際健康資訊管理研討會簡報botnetShi-Hwao Wang
 

Similar to 虎尾科大報告 (20)

調試器原理與架構
調試器原理與架構調試器原理與架構
調試器原理與架構
 
计算机培训
计算机培训计算机培训
计算机培训
 
A DIY Botnet Tracking System
A DIY Botnet Tracking SystemA DIY Botnet Tracking System
A DIY Botnet Tracking System
 
Ezilla
EzillaEzilla
Ezilla
 
11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢
11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢
11/21王團研究室—火線殺毒完全攻略—菁英課程:2010防毒新趨勢
 
ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...
ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...
ChinaNetCloud Online Lecture: Fight Against External Attacks From Different L...
 
04
0404
04
 
資訊安全入門
資訊安全入門資訊安全入門
資訊安全入門
 
Ict network security
Ict network securityIct network security
Ict network security
 
雲端運算期中分組報告
雲端運算期中分組報告雲端運算期中分組報告
雲端運算期中分組報告
 
資訊證照講座
資訊證照講座資訊證照講座
資訊證照講座
 
Con t532-基于 windows 7 的硬件设备安装体验-richie fang
Con t532-基于 windows 7 的硬件设备安装体验-richie fangCon t532-基于 windows 7 的硬件设备安装体验-richie fang
Con t532-基于 windows 7 的硬件设备安装体验-richie fang
 
CDP方案介绍
CDP方案介绍CDP方案介绍
CDP方案介绍
 
議題三:政府網站常見弱點與分析
議題三:政府網站常見弱點與分析議題三:政府網站常見弱點與分析
議題三:政府網站常見弱點與分析
 
2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)
2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)
2018 VLSI/CAD Symposium Tutorial (Aug. 7, 20:00-21:00 Room 3F-VII)
 
20030623 linuxbasic and-security
20030623 linuxbasic and-security20030623 linuxbasic and-security
20030623 linuxbasic and-security
 
賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...
賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...
賽門鐵克端點安全教戰守則 - Symantec Endpoint Protection 及 Symantec Critical System Protec...
 
盛大游戏运维体系
盛大游戏运维体系盛大游戏运维体系
盛大游戏运维体系
 
盛大游戏运维体系
盛大游戏运维体系盛大游戏运维体系
盛大游戏运维体系
 
99 第六屆國際健康資訊管理研討會簡報botnet
99 第六屆國際健康資訊管理研討會簡報botnet99 第六屆國際健康資訊管理研討會簡報botnet
99 第六屆國際健康資訊管理研討會簡報botnet
 

虎尾科大報告