弥合虚拟机内省与取证内存分析中的语义鸿沟
密码学与安全
2025-03-10 v1 机器学习
摘要
取证内存分析（FMA）和虚拟机内省（VMI）是基于虚拟化方法的关键安全工具。VMI和FMA涉及使用数字取证方法从系统中提取信息，以识别和解释安全事件。FMA和VMI的一个关键挑战是“语义鸿沟”，即在缺乏专用工具和专业知识的情况下解释原始内存数据的困难。在这项工作中，我们研究了先验知识、元数据和工程特征如何辅助VMI和FMA，利用机器学习自动化信息提取并减轻取证调查人员的工作量。我们选择OpenSSH作为用例，测试提取高级结构的不同方法。我们还在完整的物理内存转储上测试了我们的方法，以展示工程特征的有效性。我们的特征范围从基本统计特征到使用malloc头和指针转换的高级基于图的表示。训练和测试在我们与已认可的基线方法进行比较的公开数据集上进行。我们表明，使用元数据可以在训练数据非常少的情况下提高算法的性能，并量化了拥有更多数据如何带来更好的泛化性能。最后的贡献是一个开放的物理内存转储数据集，总计超过1 TB的不同内存状态、软件环境、主存容量和操作系统版本。我们的方法表明，拥有更多元数据可提升性能，所有方法的F1-Score均超过80%。我们的研究强调了使用特征工程和机器学习技术弥合语义鸿沟的可能性。
引用
@article{arxiv.2503.05482,
title = {Bridging the Semantic Gap in Virtual Machine Introspection and Forensic Memory Analysis},
author = {Christofer Fellicious and Hans P. Reiser and Michael Granitzer},
journal= {arXiv preprint arXiv:2503.05482},
year = {2025}
}