Phát hiện mã độc cho thời gian chạy container dựa trên sự nhìn thấu máy ảo

Xinfeng He1,2, Riyang Li1,2
1School of Cyber Security and computer, Hebei University, Baoding, People’s Republic of China
2Key Lab on High Trusted Information System of Hebei Province, Baoding, People’s Republic of China

Tóm tắt

Kỹ thuật cách ly các container mang đến những rủi ro an ninh không chắc chắn đối với phát hiện mã độc trong môi trường container hiện tại. Trong bài báo này, chúng tôi đề xuất một khung công tác có tên là Phát hiện Mã độc cho Thời gian chạy Container dựa trên Sự nhìn thấu Máy ảo (MDCRV) để phát hiện mã độc bên trong container. MDCRV có thể tự động xuất các bức tranh chụp bộ nhớ bằng cách sử dụng sự nhìn thấu máy ảo trong kiến trúc container-trong-máy ảo và tái tạo các ngữ nghĩa của container từ các bức tranh chụp bộ nhớ. Mặc dù mã độc bên trong container có thể vượt qua các biện pháp cách ly của container, chương trình phát hiện của chúng tôi, nhờ vào sự cách ly của hypervisor, vẫn có thể hoạt động tốt. Ngoài ra, chúng tôi đề xuất một phương pháp hình dung quy trình container để cải thiện hiệu quả phân tích thông tin thực thi nhị phân của thời gian chạy container. Chúng tôi chuyển đổi các quy trình trực tiếp của mã độc bên trong container và ứng dụng hợp lệ thành hình ảnh grayscale và sử dụng mạng nơ-ron tích chập để chiết xuất các đặc điểm mã độc từ tập dữ liệu tự tạo. Các kết quả thí nghiệm cho thấy MDCRV đạt độ chính xác cao trong khi cải thiện an ninh.

Từ khóa

#mã độc #thời gian chạy container #cách ly máy ảo #phát hiện mã độc #hình dung quy trình

Tài liệu tham khảo

Fareghzadeh N, Seyyedi MA, Mohsenzadeh M (2018) Dynamic performance isolation management for cloud computing services. J Supercomput 74:417–455 Cimpanu C (2018) Backdoored Docker Images. https://www.bleepingcomputer.com/news/security/17-backdoored-docker-images-removed-from-docker-hub/. Accessed 2 Jan 2023 Firecracker container https://github.com/firecracker-microvm/firecracker/. Accessed 2 Jan 2023 Kata containers https://katacontainers.io. Accessed: 2 Jan 2023 Wang X, Du J, Liu H (2022) Performance and isolation analysis of runc, gvisor and kata containers runtimes. Clust Comput 25(2):1497–1513 Mavridis I, Karatza H (2021) Orchestrated sandboxed containers, unikernels, and virtual machines for isolation-enhanced multitenant workloads and serverless computing in cloud. Concurr Comput Pract Exp 35(11):e6365 Garfinkel T, Rosenblum M et al (2003) A virtual machine introspection based architecture for intrusion detection. In: Ndss, vol. 3, pp. 191–206. San Diega, CA Nataraj L, Karthikeyan S, Jacob G, Manjunath BS (2011) Malware images: visualization and automatic classification. In: Proceedings of the 8th International Symposium on Visualization for Cyber Security, pp. 1–7 Cui Z, Du L, Wang P, Cai X, Zhang W (2019) Malicious code detection based on cnns and multi-objective algorithm. J Parallel Distrib Comput 129:50–58 Karn RR, Kudva P, Huang H, Suneja S, Elfadel IM (2020) Cryptomining detection in container clouds using system calls and explainable machine learning. IEEE Trans Parallel Distrib Syst 32(3):674–691 Doan T-P, Jung S (2022) Davs: Dockerfile analysis for container image vulnerability scanning. CMC-Comput Mater Contin 72(1):1699–1711 Lin X, Lei L, Wang Y, Jing J, Sun K, Zhou Q (2018) A measurement study on linux container security: Attacks and countermeasures. In: Proceedings of the 34th Annual Computer Security Applications Conference, pp. 418–429 Zhan D, Ye L, Fang B, Du X, Su S (2016) Cfwatcher: a novel target-based real-time approach to monitor critical files using vmi. In: 2016 IEEE International Conference on Communications (ICC), pp. 1–6. IEEE Dangl T, Taubmann B, Reiser HP (2021) Rapidvmi: Fast and multi-core aware active virtual machine introspection. In: Proceedings of the 16th International Conference on Availability, Reliability and Security, pp. 1–10 Mishra P, Varadharajan V, Pilli ES, Tupakula U (2018) Vmguard: a vmi-based security architecture for intrusion detection in cloud environment. IEEE Trans Cloud Comput 8(3):957–971 Tang F, Ma B, Li J, Zhang F, Su J, Ma J (2020) Ransomspector: an introspection-based approach to detect crypto ransomware. Comput Secur 97:101997 Yu Z, Ye L, Zhang H, Zhan D, Su S, Tian Z (2021) A container-oriented virtual-machine-introspection-based security monitor to secure containers in cloud computing. In: Artificial Intelligence and Security: 7th International Conference, ICAIS 2021, Dublin, Ireland, July 19–23, 2021, Proceedings, Part II 7, pp. 102–111. Springer Libvmi https://github.com/libvmi/libvmi. Accessed 22 Dec 2022 Volatility. https://www.volatilityfoundation.org. Accessed 22 Dec 2022 Li S, Zhou Q, Zhou R, Lv Q (2022) Intelligent malware detection based on graph convolutional network. J Supercomput 78(3):4182–4198 Feng P, Yang L, Lu D, Xi N, Ma J (2023) Bejagnn: behavior-based java malware detection via graph neural network. J Supercomput. https://doi.org/10.1007/s11227-023-05243-x Mallik A, Khetarpal A, Kumar S (2022) Conrec: malware classification using convolutional recurrence. J Comput Virol Hacking Tech 18(4):297–313 Simonyan K, Zisserman A (2014) Very deep convolutional networks for large-scale image recognition. arXiv preprint arXiv:1409.1556 Du S, Zhang B, Zhang P, Xiang P (2021) An improved bounding box regression loss function based on ciou loss for multi-scale object detection. In: 2021 IEEE 2nd International Conference on Pattern Recognition and Machine Learning (PRML), pp. 92–98. IEEE Dash. https://github.com/berrywallet/bitcore-node-dash-docker. Accessed 20 Dec 2022 Bitcoin. https://github.com/amacneil/docker-bitcoin. Accessed 20 Dec 2022 Bytecoin. https://github.com/RafalSladek/bytecoin-docker. Accessed 20 Dec 2022 Duino. https://github.com/revoxhere/duino-coin. Accessed 20 Dec 2022 Litecoin. https://github.com/sreekanthgs/litecoin-docker. Accessed 20 Dec 2022 Vertcoin. https://github.com/lukechilds/docker-vertcoind. Accessed 20 Dec 2022 Virusshare. https://www.virusshare.com. Accessed 22 Dec 2022 Virussamples. https://www.virussamples.com. Accessed 22 Dec 2022 Li H, Zhan D, Liu T, Ye L (2019) Using deep-learning-based memory analysis for malware detection in cloud. In: 2019 IEEE 16th International Conference on Mobile Ad Hoc and Sensor Systems Workshops (MASSW), pp. 1–6. IEEE