EPA-RIMM：一种基于 SMM 的动态运行时完整性度量框架

运行时完整性度量识别操作系统和虚拟机监控器在运行期间的意外变更，从而实现持久威胁的早期检测。系统管理模式（System Management Mode，一种特权 x86 CPU 模式）有潜力有效执行此类 rootkit 检测。先前提出的基于 SMM 的方法展示了有效的检测能力，但代价是性能下降和软件副作用。在本文中，我们针对这些问题提出解决方案，一种称为 EPA-RIMM 的基于 SMM 的可扩展、性能感知运行时完整性度量机制（SMM-based Extensible, Performance Aware Runtime Integrity Measurement Mechanism）。EPA-RIMM 架构具有性能敏感设计，将大型完整性度量分解并调度以控制扰动和副作用。EPA-RIMM 将长时间运行的度量分解为较短任务、可扩展性以及对 SMM 的使用，增加了恶意代码检测或规避完整性度量的难度。使用基于 Minnowboard 的原型，我们演示了其检测能力和性能影响。早期结果令人鼓舞，并表明 EPA-RIMM 将在持续监控关键 OS 和虚拟机监控器数据结构以寻找攻击迹象的同时，满足生产级性能约束。