| 基于API Hook的进程行为监控系统 |
| |
| 引用本文： | 沈济南,胡俊鹏,梁芳,杨洁勇.基于API Hook的进程行为监控系统[J].云南大学学报(自然科学版),2018(3). |
| |
| 作者姓名： | 沈济南 胡俊鹏 梁芳 杨洁勇 |
| |
| 作者单位： | 湖北民族学院信息工程学院;华中科技大学计算机学院;湖北民族学院理学院 |
| |
| 摘 要： | 基于API Hook的进程行为监控系统,利用钩子技术和内存保护技术,实现了透明地对客户机进程API调用行为的安全监控.首先通过对客户虚拟机的API函数设置钩子,截获虚拟机中的进程API调用行为;接着利用内存保护技术,对客户机的钩子进行隐藏和保护,保证行为监控对客户虚拟机的透明性;然后利用虚拟机管理器的隔离性,将安全工具放在安全域中,一方面防止恶意进程检测并且攻击安全工具,另外一方面解决恶意租户利用虚拟机进行攻击的问题;最后在截获客户虚拟机API调用的基础上,利用语义重构技术,对客户虚拟机进程创建、文件操作、注册表操作等行为进行细粒度监控.测试结果表明:(1)监控系统可以有效的截获客户虚拟机进程API调用,结合语义重构技术,监控系统能够有效地对进程创建、文件操作、注册表操作等进程行为进行监控;(2)针对单个Hook点性能测试表明,监控系统截获API调用对系统性能的影响为4.8%;(3)在文件监控方面,基于API Hook的进程行为监控系统相对于现有截获系统调用的监控系统性能提高73%.
|
| 本文献已被 CNKI 等数据库收录！ |
|
