基于统一可扩展固件接口的恶意代码防范系统研究

论文摘要

近年来,随着底层Rootkit技术的研究和发展,逐渐产生了驱动级病毒、引导区病毒甚至固件Rootkit等恶意代码。这些恶意代码寄生于计算机系统的最底层,能够在操作系统内核启动过程中抢先获得计算机的控制权,破坏系统内核服务,干扰或终止安全软件的运行,因而极难进行检测和清除。传统的计算机安全软件均运行在操作系统环境中,依赖于操作系统的支持,因此只能采取防御的办法,在恶意代码成功入侵系统内核后缺乏实际有效的清理方案。计算机固件在操作系统内核启动之前运行。UEFI作为新一代固件标准,相比于传统的BIOS固件还具有诸多的优势,如C语言编写、模块化设计、标准驱动模型、可访问文件系统和网络等。这些特性在给固件带来开放性和灵活性的同时也带来了严峻的安全问题:由于目前缺乏实际有效的安全保障机制,固件启动过程和操作系统引导过程成为传统计算机安全系统不能保护到的空当阶段。本文提出将传统的恶意代码检测技术向下引入固件层,以解决这一问题。在研究和掌握恶意代码检测和UEFI固件的理论基础及实现技术的基础上,设计了基于UEFI的恶意代码防范系统的系统模型,在EDK II开发平台上实现其基本功能并进行实验验证。实验结果表明,该系统能够在操作系统内核启动之前有效地检测和清除藏身于计算机固件和系统内核中的恶意代码,且具有较好的性能和实用性,为后续相关研究工作提供了良好的平台。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 恶意代码防范技术现状
• 1.2 UEFI 技术的应用与发展
• 1.3 固件安全技术的研究
• 1.4 论文研究的意义及目标
• 1.5 论文章节安排
• 第二章 技术基础
• 2.1 恶意代码防范技术
• 2.1.1 恶意代码的定义与分类
• 2.1.2 恶意代码检测技术
• 2.1.3 常见的反检测技术
• 2.2 UEFI 固件技术
• 2.2.1 UEFI 技术规范
• 2.2.2 UEFI 核心概念
• 2.2.3 UEFI 的实现架构
• 2.3 固件的恶意代码威胁
• 2.4 本章小结
• 第三章 基于UEFI 技术的恶意代码防范方案
• 3.1 系统的提出
• 3.2 系统启动流程与功能设计
• 3.3 模块设计方案与依赖分析
• 3.4 本章小结
• 第四章 主要功能模块的研究与实现
• 4.1 EDK 开发平台
• 4.2 UEFI-AMS 系统组件的构成
• 4.3 运行时内存管理与抽象文件IO 接口
• 4.4 恶意代码检测引擎的实现
• 4.4.1 技术原理
• 4.4.2 AC 自动机算法分析
• 4.4.3 AC 算法在恶意代码检测中的改进与实现
• 4.4.4 BaseScanLib 的实现
• 4.5 数据认证与管理模块
• 4.6 本章小结
• 第五章 检测系统驱动程序的研究与实现
• 5.1 UEFI 标准驱动模型
• 5.1.1 句柄与协议
• 5.1.2 驱动模型分析
• 5.2 系统初始化程序
• 5.3 虚拟设备驱动
• 5.4 UEFI 内核与操作系统的修改
• 5.5 本章小结
• 第六章 平台验证及实验结果分析
• 6.1 系统SAP 协议的加载
• 6.2 恶意代码检测功能
• 6.3 清除顽固恶意程序
• 6.4 本章小结
• 第七章 总结与展望
• 7.1 全文总结
• 7.2 展望
• 参考文献
• 致谢
• 攻读硕士学位期间发表的学术论文