[发明专利]一种基于硬件机制的内核控制流异常检测方法

摘要

一种基于硬件机制的内核控制流异常检测方法，包括以下步骤：进入VMM环境；生成合法跳转目的地址集合；配置VMCS区域；配置LBR；配置PMU；进入VM环境；分支记录验证。通过LBR机制能够在内核运行期间自动记录分支跳转的源地址和目标地址，使检测系统的开销显著降低；通过PMU机制能够在LBR记录写满时产生NMI中断，使检测系统不会出现遗漏分支跳转的情况；通过硬件虚拟化机制捕捉NMI中断，并对记录进行验证，提高系统的安全性。相比于传统的检测系统，本发明能显著提高内核异常控制流检测的安全性和完整性。

主权项

一种基于硬件机制的内核控制流异常检测方法，其特征在于，包括以下步骤：进入VMM环境：在Intel处理器启动后进行配置，使系统进入VMM环境执行；生成合法跳转目的地址集合：通过对目标操作系统内核进行解析，并运行预先准备的测试程序，分别产生三种指令的合法跳转目的地址集合，三种指令分别为call指令合法跳转目的地址集合、jump指令合法跳转目的地址集合和ret指令合法跳转目的地址集合；配置VMCS区域：配置目标操作系统运行的VMCS区域，使其能够捕捉记录写满时产生的不可屏蔽中断，设置此不可屏蔽中断的中断处理程序地址；配置LBR：配置控制着LBR机制行为方式的IA32_DEBUGCTL寄存器和IA32_LASTBRANCH_TOS寄存器，使LBR在系统运行期间记录所需的分支跳转的源地址和目的地址；配置PMU：配置控制着PMU机制行为方式的IA32_PMCI寄存器和IA32_PERFEVTSEL1寄存器，使其在LBR写满时产生一个不可屏蔽中断；进入VM环境：使系统进入VM环境，目标操作系统开始执行，硬件机制自动记录分支跳转；分支记录验证：根据跳转指令类型的不同，比较跳转目的地址是否在相应的合法跳转目的地址集合中，如果在，则为合法跳转，否则，为异常控制流，系统发出警报。