VM Shadow:既存IDSをオフロードするための実行環境

概要

論文の詳細を見る
侵入検知システム (IDS) を安全に実行できるようにするために、仮想マシンを用いて IDS をオフロードするという手法が提案されている。この手法は監視対象のシステムを仮想マシン上で動作させ、IDS だけ別の仮想マシン上で動作させる手法である。しかし、IDS をオフロードして動作させられるようにするためには多大な労力を必要とすることが多い。本稿ではオフロードした IDS に修正を加えることなく動作させられるようにする実行環境である VM Shadow を提案する。VM Shadow はシステムコールのエミュレーションを行うことで、IDS にオフロード元の仮想マシンの OS の情報を返す。また、proc ファイルシステムも含め、オフロード元と同一のファイルシステムを提供する。ただし、IDS の実行ファイル等については安全のためにオフロード先の仮想マシンのファイルを提供する。現在の実装では、VM Shadow 内で chkrootkit や Tripwire などを動作させることができた。
2011-11-22