Методика обнаружения руткитов, основанных на аппаратной виртуализации

Abstract

Бурное развитие технологий аппаратной виртуализации в наши дни привлекает к себе много внимания по ряду причин. Во-первых, виртуализация предоставляет множество преимуществ, как для инфраструктуры предприятий, так и для конечных пользователей. С ее помощью обеспечивается существенная экономия на аппаратном обеспечении, обслуживании, повышается гибкость ИТ-инфраструктуры, упрощается процедура резервного копирования и восстановления после сбоев. Во-вторых, виртуальные машины, являясь независимыми от конкретного оборудования единицами, могут распространяться в качестве предустановленных шаблонов, которые могут быть запущены на любой аппаратной платформе поддерживаемой архитектуры. Однако, как показывает практика, применяться данные технологии могут не только в мирных целях. Вредоносное программное обеспечение, использующее технологии аппаратной виртуализации, может с легкостью оставаться абсолютно не обнаруживаемым для современных антивирусных программ. А с учетом того, что сегодня почти все новые х86-совместимые процессоры поддерживают аппаратную виртуализацию, руткиты, активно использующие ее, представляет серьезную угрозу. Таким образом, оценка степени опасности, исходящей от них, и разработка возможных контрмер является крайне актуальной задачей в наши дни.