ソフトウェアセキュリティ研究チームポスター・デモ紹介

Size: px

Start display at page:

Download "ソフトウェアセキュリティ研究チームポスター・デモ紹介"

あゆみかいじ
4 years ago
Views:

情報セキュリティ研究センター Research Center for Information Security ゼロディ攻撃に対する異常挙動解析と挿入可能な仮想マシンモニタによるデバイス制御 Windows のゼロディ攻撃に対して振舞いから異常動作を検出し仮想マシンモニタでのデバイス制御をすることより情報漏洩改竄を防止する開発項目 1Windows 上での異常挙動検出 2

情報通信研究機構との共同提案 ) 1 Windows 上での異常挙動検出 Windowsのシステムコールをフックしてレジストリファイルメモリのアクセスをモニタするツールを開発し挙動を多角的に解析して異常動作を検出するモニタ類と解析の関係 Windowsのシステムコールのテーブル (SDT: Service Descriptor Table) をドライバロード時レジストリモニタ動作図

push 8 E8 30 call 00407631 1C 00 00 <- システムコール呼び出し C2 1C 00 ret 1Ch ZwQueryKey B8 A0 00 00 mov eax,0a0h 00 8D 54 24 04 lea edx,[esp+4] 9C pushfd 6A 08 push 8 E8 E4 12 00 call 00407631 00

1 情報セキュリティ研究センター Research Center for Information Security ゼロディ攻撃に対する異常挙動解析と挿入可能な仮想マシンモニタによるデバイス制御 Windows のゼロディ攻撃に対して振舞いから異常動作を検出し仮想マシンモニタでのデバイス制御をすることより情報漏洩改竄を防止する開発項目 1Windows 上での異常挙動検出 2 仮想マシンモニタインサーション 3 仮想マシンモニタによるデバイス制御計画概要システムコールをフックし, その振舞いを解析する USB/CD から仮想マシンモニタを起動するが, 仮想マシンモニタ上でハードディスクの Windows が普通に使えるようにする仮想マシンモニタでのデバイス抑制 / 停止して漏洩改竄を防止平成年度経済産業省新世代情報セキュリティ研究開発事業 ( 情報通信研究機構との共同提案 ) 1 Windows 上での異常挙動検出 Windowsのシステムコールをフックしてレジストリファイルメモリのアクセスをモニタするツールを開発し挙動を多角的に解析して異常動作を検出するモニタ類と解析の関係 Windowsのシステムコールのテーブル (SDT: Service Descriptor Table) をドライバロード時レジストリモニタ動作図に書換えフック関数を通るようにするゼロディ攻撃解析フィルタリング, 振舞い解析レジストリモニタファイルモニタメモリモニタ SystemCall Hook Windows ゼロディ攻撃 ZwCreateKey B mov eax,29h <- eaxにインデックスをコピー 8D lea edx,[esp+4] 9C pushfd 6A 08 push 8 E8 30 call C <- システムコール呼び出し C2 1C 00 ret 1Ch ZwQueryKey B8 A mov eax,0a0h 00 8D lea edx,[esp+4] 9C pushfd 6A 08 push 8 E8 E call 書換えられたSDTを読込み C ret 14h ZwQueryValueKey B8 B mov eax,0b1h 8D lea edx,[esp+4] 9C pushfd 6A 08 push 8 E call C ret 18h 須崎有康 ( ソフトウェアセキュリティ研究チーム ) 情報漏洩既存フック関数引数解析改竄 SDT ZwCreateKey ZwDeleteKey ZwDeleteValueKey ZwEnumerateKey ZwEnumerateValueKey ZwQueryKey ZwQueryValueKey ZwSetValueKey 仮想マシンモニタを挿入した異常挙動解析と対策ブートローダからインサート書換え SystemCall 挙動解析システムコールのフックによる振舞い監視ファイルモニタレジストリモニタメモリモニタ HyperCall による通信連携挙動解析メモリ監視対策ネットワーク停止 HD の書込み仮想化デバイス制御 2 仮想マシンモニタインサーション USB/CDから仮想マシンモニタを起動するがユーザから見れば通常のハードディスクWindowsが起動するようにみえる USB/CD 起動仮想マシンモニタ ( 管理 ) Windows on VM (Xen) 開発課題 : Windowsに仮想マシンモニタを気づかせない I/O PassThroughの技術を使ってほとんどのデバイスはWindows が直接アクセス可能にする CopyOnWriteによる書込み抑制を行うデバイスのドライバ作成の挿入が認知されない USB/CD ブートローダからインサート CopyOnWrite 3 仮想マシンモニタによるデバイス制御仮想マシン上のメモリ内容を変更できる XenDoor およびハードウェアイベントの通知を受ける XenPolice を開発 Control XenPolice XenDoor monitor memory write/exec map/read/write memory Monitor hardware event Xen API (libxc, libxs) Dom0 (XenLinux) CR3 Guest (WinXP) Interrupt HyperCall Page Tables Shadow Page CR3 Page Tables Xen Virtual Machine Monitor Hardware (SMP, MMU, physical memory, Ethernet, SCSI/IDE)

2 ゼロディ攻撃に対する異常挙動解析と挿入可能な仮想マシンモニタによるデバイス制御情報セキュリティ研究センター (RCIS) ソフトウェアセキュリティ研究チーム須崎有康

3 研究概要 Windowsのゼロディ攻撃に対して振舞いから異常動作を検出し仮想マシンモニタでデバイス制御することより情報漏洩改竄を防止するゼロディ攻撃情報漏洩既存改竄開発項目 1 Windows 上での異常挙動検出 2 仮想マシンモニタインサーションブートローダからインサート仮想マシンモニタを挿入した異常挙動解析と対策 3 仮想マシンモニタによるデバイス制御平成年度経済産業省新世代情報セキュリティ研究開発事業情報通信研究機構 (T) との共同提案挙動解析システムコールのフックによる振舞い監視ファイルモニタレジストリモニタメモリモニタ HyperCall による通信連携挙動解析メモリ監視対策ネットワーク停止 HD の書込み仮想化

4 1Windows 上での異常挙動検出 Windowsのシステムコールをフックしてレジストリファイルメモリのアクセスをモニタするツールを開発し挙動を多角的に解析して異常動作を検出するレジストリモニタの動作ゼロディ攻撃解析 H21 フィルタリング, 振舞い解析レジストリモニタファイルモニタメモリモニタ H20 systemcall Hook 今後の開発 Windows 異常動作の振舞いをシーケンスから検出例 : GetProcAddress -> kernel32dll -> Loadlibrary -> URLdownload 振舞いのシーケンスが既知の場合シーケンスを外れた時に異常動作と検出

5 2 挿入可能な仮想マシンモニタ既存の Windows で簡単に採用できるように外部から挿入 ( インサーション ) できる仮想マシンモニタを開発 USB 起動仮想マシンモニタ ( 管理 ) Windows on VM USB/CD から仮想マシンモニタを最初に起動するが最終的にはハードディスクの Windows が起動するユーザから見れば通常の Windows が使うことができるの挿入が認知されない仮想マシンモニタは独自のデバイスモデルを持つが I/O PassThrough (Intel VT-d, AMD IOMMU) を使ってデバイスの直接アクセス可能にする制御が必要なデバイスは仮想化する USB/CD ブートローダからインサート I/O PassThrough CopyOnWrite

6 3 仮想マシンモニタによるデバイス制御異常を検知した場合仮想マシンモニタがネットワークやハードディスクの抑制制御を行う仮想マシン上のメモリ内容を変更できる XenDoor およびハードウェアイベントの通知を受ける XenPolice を開発このツールを使ってネットワークのフィルタリングや CopyOnWrite などの機能を統合 Control XenDoor map/read/write memory Dom0 (XenLinux) XenPolice monitor memory write/exec Monitor hardware event Xen API (libxc, libxs) Guest (WinXP) Interrupt HyperCall CR 3 Page Tables Shadow Page CR 3 Page Tables Xen Virtual Machine Monitor Hardware (SMP, MMU, physical memory, Ethernet, SCSI/IDE)

今週の進捗

今週の進捗 Virtualize APIC access による APIC フック手法立命館大学富田崇詠, 明田修平, 瀧本栄二, 毛利公一 2016/11/30 1 はじめに (1/2) マルウェアの脅威が問題となっている 2015年に4 億 3000 万以上の検体が新たに発見されているマルウェア対策にはマルウェアが持つ機能挙動の正確な解析が重要マルウェア動的解析システム : Alkanet 仮想計算機モニタのBitVisorの拡張機能として動作

ソフトウェアセキュリティ研究チーム ポスター・デモ紹介

ソフトウェアセキュリティ研究チームポスター・デモ紹介