ファイルシステムキャッシュを考慮したIDSオフロード

概要

論文の詳細を見る
侵入検知システム (IDS) を安全に実行できるようにするために,仮想マシン (VM) を用いて IDS をオフロードするという手法が提案されている.この手法は監視対象のシステムを VM 上で動作させ,IDS だけ別の VM 上で動作させる手法である.しかし,オフロードした IDS が監視対象システムの仮想ディスクを監視する際に,ページキャッシュなどのファイルシステムキャッシュを考慮することができなかった.本稿ではファイルシステムキャッシュとディスクを統合して監視を行えるようにする CacheShadow ファイルシステムを提案する.CacheShadow ファイルシステムは VM イントロスペクションを用いて監視対象 OS のメモリ内部にあるファイルシステムキャッシュを取得する.IDS が CacheShadow ファイルシステムにアクセスすると,キャッシュ上に最新のデータがある場合はそのデータを返し,なければ仮想ディスク上のデータを返す.我々は CacheShadow ファイルシステムを Xen 上に実装し,IDS がページキャッシュのデータを参照できるようにした.
2012-07-25