Virtual Machine Introspectionにおけるパフォーマンス·リソース効率を両立したメモリ監視方法の提案

摘要

Virtual Machine Introspection（VMI）は，仮想化技術を用いて，監視対象の仮想マシンとは独立した別の仮想マシンや，ハイパーバイザなどからメモリ，ネットワークトラフィックなどを直接監視することで，従来のセキュリティソフトでは検出が難しいrootkitなどのマルウェアの検出を可能にする技術である．VMIを用いてメモリの解析を行う場合，解析中にメモリ内容が変更されて一貫性がなくなってしまうことを防ぐため，監視対象の仮想マシンのメモリ内容を固定して監視を行う必要がある．しかし，従来用いられてきた方法は，パフォーマンス効率が悪いものやメモリ消費量が著しいものであり，VMIの実用性の低下を招いていた．そこで我々は，メモリ監視時に監視対象の仮想マシンのメモリをコピーオンライト状態にすることで，パフォーマンス·リソース効率を両立するメモリ監視方法の提案を行う．