Applications of Hypervisors in Security
As malware continue to evolve, so do the countermeasures which attempt to fight
them. A modern computer system typically has many security services installed
on top of its operating system which include antivirus, application-control, IDS,
firewall, and many more.
Modern operating systems are a highly complex pieces of software which
typically contains millions of lines of code. Furthermore, primarily due to endless
hardware support, new code is regularly added, resulting in a security sink with
an open drain.
Most security services run on top of the operating system and, therefore,
are subject to the security of the operating system and its applications. In case of
a vulnerability, these services can be removed, thus rendering them them completely
useless. This thesis proposes a thin hypervisor-based architecture for a
system on top of which a variety of security services can be implemented. These
services run in a secure, isolated environment. Furthermore, the proposed system
can hide the presence of these security services. The proposed system architecture
provides strong security guarantees.
The thesis presents four common, heavily researched security problems and
proposes four solutions, which are all based on the proposed architecture. The
proposed solutions can compete, and even outperform current solutions, both in
terms of security and performance.
Keywords: trusted computing, virtualization, hypervisor, thin hypervisor, unauthorised
execution, malware analysis, code encryption, memory forensics
...
Haittaohjelmien kehittyessä, myös vastatoimet niitä vastaan kehittyvät yhä kiihtyvällä
tahdilla. Nykyaikaisessa tietokonejärjestelmässä on tyypillisesti käyttöjärjestelmän
päälle asennettu useita tietoturvapalveluita, jotka sisältävät esimerkiksi
virustentorjunta-, sovellusohjaus-, IDS-, palomuuri ja muita suojausmekanismeja.
Nykyaikaiset käyttöjärjestelmät ovat erittäin monimutkaisia ohjelmistopaketteja,
jotka sisältävät tyypillisesti miljoonia koodirivejä. Lisäksi, pääasiassa valtavan
laitteistotuen vuoksi, uutta koodia lisätään säännöllisesti, mistä seuraa tietoturvariskejä.
Useimmat tietoturvapalvelut toimivat käyttöjärjestelmän päällä, ja siksi ne
ovat käyttöjärjestelmän ja sen sovellusten turvallisuuden osia. Haavoittuvuuden
vuoksi nämä palvelut voidaan poistaa, jolloin ne eivät tietenkään ole käytössä
ja ovat siten täysin hyödyttömiä. Tämä opinnäyte ehdottaa ohuita hypervisoripohjaisia
arkkitehtuureja järjestelmälle, jonka päälle voidaan toteuttaa erilaisia
turvallisuuspalveluita. Nämä palvelut toimivat turvallisessa, eristetyssä ympäristössä.
Lisäksi ehdotettu järjestelmä voi piilottaa näiden tietoturvapalvelujen
näkyvyyden. Ehdotettu järjestelmäarkkitehtuuri tarjoaa siten vahvat turvallisuustakuut.
Opinnäytetyössä esitetään neljä yleistä tutkittua turvallisuusongelmaa ja
ehdotetaan niille neljää ratkaisuvaihtoehtoa, jotka kaikki perustuvat työssä suunniteltuun
arkkitehtuuriin. Ehdotetut ratkaisut voivat kilpailla ja toimia tehokkaammin
kuin nykyiset ratkaisut sekä turvallisuuden että suorituskyvyn kannalta.
Avainsanat: luotettava tietojenkäsittely, virtualisointi, hypervisori
(virtuaalikonemonitori), luvattomat suoritukset, haittaohjelman
analyysi, koodin salaus, muistin analyysi
...




ISBN
978-951-39-7854-9Contains publications
- Artikkeli I: Leon, Roee S; Kiperberg, Michael; Zabag, Anat Anatey Leon; Resh, Amit; Algawi, Asaf; Zaidenberg, Nezer J. (2019). Hypervisor-Based White Listing of Executables. IEEE Security & Privacy, 17 (5), 58-67. DOI: 10.1109/MSEC.2019.2910218
- Artikkeli II: Kiperberg, M., Leon, R., Resh, A., Algawi, A., & Zaidenberg, N. (2019). Hypervisor-assisted Atomic Memory Acquisition in Modern Systems. In P. Mori, S. Furnell, & O. Camp (Eds.), ICISSP 2019 : Proceedings of the 5th International Conference on Information Systems Security and Privacy, Volume 1 (pp. 155-162). Setúbal: SCITEPRESS Science And Technology Publications. DOI: 10.5220/0007566101550162
- Artikkeli III: Kiperberg, M., Leon, R., Resh, A., Algawi, A., & Zaidenberg, N. J. (2019). Hypervisor-based Protection of Code. IEEE Transactions on Information Forensics and Security, 14 (8), 2203-2216. DOI: 10.1109/TIFS.2019.2894577
- Artikkeli IV: Resh, A., Kiperberg, M., Leon, R., & Zaidenberg, N. J. (2017). Preventing Execution of Unauthorized Native-Code Software. International Journal of Digital Content Technology and its Applications, 11 (3), 72-90.
- Artikkeli V: Resh, A., Kiperberg, M., Leon, R., & Zaidenberg, N. (2017). System for Executing Encrypted Native Programs. International Journal of Digital Content Technology and its Applications, 11 (3), 56-71.
- Artikkeli VI:Leon, R.; Kiperberg, M.; Leon Zabag, A. A.; Zaidenberg. N.J. Hypervisor-assisted Dynamic Malware Analysis. ACM Transactions on Privacy and Security (TOPS), submitted.
Metadata
Show full item recordCollections
- Väitöskirjat [3229]
Related items
Showing items with similar title or keywords.
-
Manipulating the ARM Hypervisor and TrustZone
Ben Yehuda, Raz (2021)ARM architecture keeps extending, and new features are added in each edition of this processor’s architecture. We examine the various techniques to manipulate the ARM hypervisor. In this work, we present a new execution ... -
Hypervisor-Based White Listing of Executables
Leon, Roee S; Kiperberg, Michael; Zabag, Anat Anatey Leon; Resh, Amit; Algawi, Asaf; Zaidenberg, Nezer J. (IEEE Computer Society Press, 2019)We describe an efficient system for ensuring code integrity of an operating system (OS), both its own code and application code. The proposed system can protect from an attacker who has full control over the OS kernel. An ... -
Using Hypervisors to Overcome Structured Exception Handler Attacks
Algawi, Asaf; Kiperberg, Michael; Leon, Roee; Zaidenberg, Nezer (Academic Conferences International, 2019)Microsoft windows is a family of client and server operating systems that needs no introduction. Microsoft windows operating system family has a feature to handle exceptions by storing in the stack the address of an ... -
Hypervisor-assisted dynamic malware analysis
Leon, Roee S.; Kiperberg, Michael; Zabag, Anat Anatey Leon; Zaidenberg, Nezer Jacob (Springer, 2021)Malware analysis is a task of utmost importance in cyber-security. Two approaches exist for malware analysis: static and dynamic. Modern malware uses an abundance of techniques to evade both dynamic and static analysis ... -
H-KPP : Hypervisor-Assisted Kernel Patch Protection
Kiperberg, Michael; Zaidenberg, Nezer Jacob (MDPI AG, 2022)We present H-KPP, hypervisor-based protection for kernel code and data structures. H-KPP prevents the execution of unauthorized code in kernel mode. In addition, H-KPP protects certain object fields from malicious ...