HookSafe - гипервизор для защиты от руткитов11.11.2009 20:09

В секции компьютерной безопасности на конференции ACM был представлен проект HookSafe, в рамках которого создана новая система для защиты от руткитов (rootkit), отличающаяся от ранее доступных решений низким влиянием на производительность и высокой эффективностью. HookSafe выполнен в виде гипервизора, перераспределяющего в Linux ядре около 6 тысяч точек возможного перехвата управления, которые можно использовать для скрытия своего присутствия в системе, в отдельную защищенную область памяти. Так как данная область через аппаратные механизмы защищена от модификации, руткит не может организовать перенаправление на себя управления через изменение содержимого возможных точек перехвата.

Эксперимент показал, что HookSafe, установленный в Ubuntu 8.04, смог успешно заблокировать внедрение девяти известных руткитов, при этом падение производительности подконтрольной системы оказалась на уровне 6%. Тем не менее, некоторые эксперты не рекомендуют рассматривать HookSafe как панацею, так как система решает лишь часть проблемы, защищая ядро, но не предотвращая возможность запуска руткита. Кроме того, в ядре слишком много мест где можно перехватить управление, и они могут быть задействованы в новых руткитах.