基于协处理器的行为监控：在检测针对系统管理模式攻击中的应用
密码学与安全
2018-03-08 v1
摘要
高特权软件（如固件）是攻击者的极具吸引力的目标。因此，BIOS 厂商使用密码学签名来确保启动时的固件完整性。然而，此类保护无法防止攻击者在运行时利用漏洞。为检测此类攻击，我们提出一种依赖于隔离协处理器的基于事件的行为监控方法。我们对主 CPU 上执行的代码进行插桩，将其行为信息发送给监控器。该信息有助于解决语义鸿沟问题。我们的方法不依赖于特定的行为模型，也不依赖于特定目标。我们将此方法应用于检测针对系统管理模式（SMM）的攻击，SMM 是一种在运行时执行固件代码的高特权 x86 执行模式。我们使用其控制流与相关 CPU 寄存器（CR3 与 SMBASE）的不变量对 SMM 的行为建模。我们对两种开源固件实现 EDK II 与 coreboot 进行了插桩。我们通过模拟耦合 ARM Cortex A5 协处理器的 x86 系统，评估了本方法检测最先进攻击的能力及其运行时开销。结果表明，我们的方案能检测出来自当前最先进的入侵，无任何误报，同时在 SMM 背景下性能开销可接受（即低于 Intel 定义的 150 s 阈值）。
引用
@article{arxiv.1803.02700,
title = {Co-processor-based Behavior Monitoring: Application to the Detection of Attacks Against the System Management Mode},
author = {Ronny Chevalier and Maugan Villatel and David Plaquin and Guillaume Hiet},
journal= {arXiv preprint arXiv:1803.02700},
year = {2018}
}
备注
The final version of this paper has been published in the Proceedings of the 33rd Annual Computer Security Applications Conference (ACSAC), 2017. 13 pages, 5 figures