[发明专利]基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法

说明书

本发明公开了一种基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法，包括：获取用户态进程网络视图、基于内核结构体的内核态进程网络视图、基于CPU调度的运行态进程视图、重要内存区域访问进程视图以及基于虚拟机网卡的网络进程视图；基于5种视图进行视图间的交叉对比，实现隐藏进程和隐藏网络连接检测。本发明实现了覆盖面广、高效准确地检测隐藏进程和隐藏网络连接。

技术领域

本发明属于计算机安全技术领域，具体涉及一种基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法。

背景技术

根据网络安全机构发布的相关研究报告显示，恶意软件、数据泄露成为了影响计算机安全最大的威胁。恶意软件往往都会通过隐藏自身来逃避安全软件的检测，隐藏进程和隐藏网络连接都是最基本的方式，也是逃避检测的基础。目前，恶意软件正在朝隐蔽性和持久性方向发展，隐藏自身在目标主机中长期潜伏，不易被察觉，悄然无息地窃取重要资料，而且可能会给其他攻击手段留下后门，在未来的时间造成更坏的影响。不仅是个人主机存在这种安全风险，云计算环境下安全威胁更高，一旦被攻击，泄露的数据价值难以估量。而且恶意软件的隐藏手段随着计算机技术的发展不断更替，如今进程隐藏的手段已经深入系统的内核中，运行在内核中修改内核或者绕开安全防御机制。

与恶意软件的发展相对应的，检测方法也在不断创新。其中，在虚拟机层面对内部的系统进行隐藏进程和隐藏网络连接检测是一个比较有效的方向。对于检测隐藏进程和隐藏网络连接，需要尽量不影响计算机运行速度的前提下，尽可能全面的、高效的进行。但是，全范围覆盖检测必然会对计算机运行速度造成影响，部分检测又会造成检测的准确性差，因此如何实现覆盖面广、高效准确地检测隐藏进程和隐藏网络连接是亟待解决的问题。

发明内容

为了解决现有技术中所存在的上述问题，本发明提供了一种基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法。

本发明要解决的技术问题通过以下技术方案实现：

一种基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法，包括：

构建用户态进程网络视图；

在QEMU虚拟机中重构内核结构体，并构建基于内核结构体的内核态进程网络视图；

通过QEMU虚拟机记录cr3寄存器值更新的过程数据，将所述过程数据与从所述内核结构体中获取的进程信息进行关联，得到基于CPU调度的运行态进程视图；

通过QEMU虚拟机获取重要内存区域被访问时的cr3寄存器值，将所获取的cr3寄存器值与所述内核结构体中的进程结构体做关联，得到重要内存区域访问进程视图；

构建基于虚拟机网卡的网络进程视图；

基于所述用户态进程网络视图、所述内核态进程网络视图、所述运行态进程视图、所述重要内存区域访问进程视图以及所述基于虚拟机网卡的进程网络视图，进行视图间的交叉对比，实现隐藏进程和隐藏网络连接检测。

可选地，基于所述用户态进程网络视图、所述内核态进程网络视图、所述运行态进程视图、所述重要内存区域访问进程视图以及所述基于虚拟机网卡的进程网络视图，进行视图间的交叉对比，实现隐藏进程和隐藏网络连接检测，包括：

对比所述用户态进程网络视图和所述内核态进程网络视图之间的差异，并根据得到的第一差异数据确定隐藏进程和隐藏网络连接；

对比所述内核态进程网络视图和所述运行态进程视图之间的差异，并根据得到的第二差异数据确定隐藏进程；

确定所述运行态进程视图和所述重要内存区域访问进程视图的相同之处，并根据得到的第一交集数据确定隐藏进程；

对比所述内核态进程网络视图和所述基于虚拟机网卡的进程网络视图之间的差异，并根据得到的第三差异数据确定隐藏进程和隐藏网络连接；