VMI 기반의 라이브 가상머신 리눅스 커널 런타임 보호 시스템 LLKP 구현 (An Implementation of VMI-based Live Linux Kernel Runtime Protection System for Virtual Machine)

서지정보

· 발행기관 : 한국차세대컴퓨팅학회
· 수록지 정보 : 한국차세대컴퓨팅학회 논문지 / 18권 / 6호 / 81 ~ 92페이지
· 저자명 : 조여름, 최상훈, 박기웅

초록

운영체제의 상태를 조작하는 커널 레벨의 악성코드는 시스템 보안에 심각한 위협이 된다. 이러한 공격이 클라우드 환경의 가상머신을 대상으로 발생하면 전체 가상화 인프라가 손상될 수 있기 때문에 가상머신 커널을 보호하는 것은 클라우드에서 중요한 보안 과제이다. 가상화 환경에서 가상머신 보호를 위한 접근방식으로 VMI(Virtual Machine Introspection)가 제안되어왔다. VMI를 통해 호스트 수준에서 가상머신의 상태를 투명하게 모니터링할 수 있다. 그러나 VMI를 활용한 기존 연구는 클라우드 환경 적용에 대한 확장성 문제를 가지고 있다. 또는 기존 VMI의 메모리 덤프 방식으로 인한 시간 오버헤드로 검증의 실시간성을 제공하지 못하며 가상머신 성능저하를 유발한다는 한계점이 있다. 본 논문에서는 클라우드에 적용 가능한 VMI 기반의 라이브 가상머신 리눅스 커널 런타임 보호 시스템인 Live Linux Kernel Protection(LLKP)를 제안한다. 호스트의 커널을 수정하지 않고 유저 레벨에서 동작하며 단일 커널 버전에 대한 하나의 해시 데이터베이스를 생성하여 다수의 가상머신 무결성 검사를 효율적으로 수행한다. 또한, VMI의 시간 오버헤드를 최소화하기 위해 인-메모리 방식의 메모리 부분 덤프를 수행한다. 제안하는 시스템의 실용성을 검증하기 위해 보안성과 성능 실험을 수행하였다. 실험 결과, 커널 변조가 발생했을 때 평균 58.48ms인 짧은 시간 내에 탐지했으며, 가상머신 벤치마크는 평균 8.08%의 성능저하가 발생했다. 본 논문에서 제안하는 VMI 기반의 클라우드 환경의 가상머신 리눅스 커널 런타임 보호 시스템으로 가상머신의 보안성을 향상할 수 있다.

영어초록

Malicious code at the kernel level that manipulates the state of the operating system is a serious threat to system security. Such attacks can cause a wider range of damage in a cloud environment. An attacker can consider a virtual machine(VM) as a target, damaging the entire virtualization infrastructure. Therefore, protecting the guest operating system from such attacks is an important security challenge in the cloud. Virtual Machine Introspection(VMI) based approach has been proposed to protect VM. VMI enables transparent monitoring of VMs at the host level. However, existing studies using VMI have a scalability problem for the introduction of cloud environments. Otherwise, due to the time overhead caused by the existing VMI memory dump method, there is a limitation in that it does not provide real-time verification and causes performance degradation of VM. In this paper, we propose Live Linux Kernel Protection (LLKP), a VMI-based virtual machine Linux kernel runtime protection system applicable to real-world cloud environments. It operates at the user level without modifying the host's kernel and efficiently performs multiple VM integrity checks by creating a single hash database for a single kernel version operating system. In addition, in-memory manner of integrity measurements is performed to minimize the performance overhead of VMI. Security and performance experiments were conducted to verify the practicality of the proposed system. Experiments show that when kernel modification occurred, it was detected quickly within an average of 58.48 ms, and VM benchmarks experienced performance loss of 8.08%. The security of VMs can be improved with the LLKP in a VMI-based cloud environment proposed in this paper.

참고자료

· 없음