Vis:基于硬件虚拟化的本地系统活体取证工具

• 作 者: 于淼
• 出 处: 上海交通大学
• 发表日期: 2011年期
• 关键词: 活体取证 精确取证 虚拟机 本地系统

活体取证技术正在成为现代数字取证技术中的一个重要部分。它在获取计算机犯罪证据,尤其是获取那些只存在于内存中的证据中起到了至关重要的作用,然而当前已有项目和研究工作或者不能准确获取指定时间点上的本地系统内存内容,抑或对本地系统的执行环境造成极大破坏。我们使用了虚拟化技术来解决这个问题。近几年, CPU厂商对虚拟化技术提供了越来越多的硬件支持,为虚拟化技术的发展奠定了坚实的基础。这主要体现在硬件虚拟化技术上,硬件虚拟化技术将过去软件虚拟化技术过程中所必需的额外内存翻译过程和I/O转交过程在硬件上重新实现。通过硬件完成的额外地址翻译过程大大提升了虚拟机的运行速度。这就减少了管理员在设备上的开销与维护成本;同时硬件上支持的虚拟机之间的隔离性使得多个子系统可以并行独立而不互相干涉,也保证了各个子系统运行的稳定性、可靠性、安全性。此外,由于硬件虚拟化过程无需虚拟机操作系统的任何感知,因此一个普通的商用操作系统,如Windows XP或者Linux,可以同时运行在该芯片上,从而可以提供一个友好的人机界面。我们提出了Vis,一个轻量级的虚拟化方法来提供精确获取本地系统内存内容,同时又能够保持本地系统的继续运行。Vis采用了两项关键技术:后启动虚拟化(Late-Virtualization)和虚拟快照技术(Virtual-Snapshot)。其中Late-Virtualization用于构建特殊的虚拟化环境。在这个环境中,正在执行的本地系统会在操作系统启动完成后被包装入单一的虚拟机中,同时对原先执行环境不产生显著影响。而Virtual-Snapshot则用于在不暂停该虚拟机的情况下准确获取虚拟机中的内存内容。我们使用了一系列实验来验证Vis在获取准确本地系统内存内容上的有效性。此外,经测试,Vis能够在97.09～105.86秒内完成整个运行时获取内存内容的任务,这证明Vis可被用于实际的活体取证任务当中。相比之下,其它活体取证工具为了确保本地系统内存内容获取完整性而会采用远程获取的方式,这通常需要数小时甚至数天来完成一个取证过程。平均情况下,Vis对目标系统只带来了9.62%的性能开销,说明Vis系统能够提供有效提升活体取证工作的准确度同时又不带来重大的性能影响。