[发明专利]基于内存活动的边信道攻击取证系统及方法

摘要

本发明公开了一种基于内存活动的边信道攻击取证系统及基于该系统实现的取证方法，系统包括监控模块、识别模块、验证模块和证据数据中心。本发明利用硬件虚拟化技术，实现客户虚拟机的内存页面实时监控，并通过基于时间的side‑channel攻击的内存活动特征，利用基于内存活动特征的识别算法将基于时间的side‑channel攻击识别出来，并在静态分析的辅助下二次确认攻击的存在并提取攻击的存在证据，实现重要实时证据和存在证据的获取和分析，保证了获取证据的有效性和可信度。本发明能够在支持硬件虚拟化的虚拟化平台上部署，具有很高的透明性，不会对虚拟机平台造成额外的负荷和运行干扰。

主权项

1.基于内存活动的边信道攻击取证系统，其特征在于：包括监控模块、识别模块、验证模块和证据数据中心；所述监控模块用于对系统底层内存活动进行实时监控，提取该内存活动的相关信息生成内存活动日志；所述识别模块按照进程区分内存活动日志，查找重复访问同一内存页面的进程，获得该进程访问的内存活动记录，当该进程满足发送可疑进程和/或接收可疑进程条件，并且每次密集活动访问页面集合都一致时则判断该进程为可疑进程，最终得到可疑进程序列；所述发送可疑进程条件包括每次密集活动时间间隔为正常时间间隔的整数倍，所述接收可疑进程条件包括每次密集活动时间间隔一致；所述验证模块在识别模块识别出可疑进程之后，保存当前客户虚拟机的内存快照，通过内存快照对可疑进程进行静态的二进制代码分析确认其是否为恶意进程，将恶意进程的内存快照和内存活动记录提取出来交由证据数据中心保存；所述证据数据中心用于记录监控模块获得的原始内存活动记录、经过识别模块过滤的可疑进程以及经过验证模块验证的恶意进程。