Inside Out : un changement de paradigme dans l’introspection des machines virtuelles

L’introspection en temps réel des machines virtuelles (VMI) permet d’offrir des services de sécurité et de gestion robustes sans avoir à faire confiance au système d’exploitation invité. Cependant, les frameworks existants, tels que LibVMI, souffrent d’une surcharge importante, d’une faible évolutivité et d’un isolement insuffisant en raison de la mise en pause des machines virtuelles et des allers-retours entre le noyau et l’espace utilisateur. Nous présentons GoodKit, un framework VMI rapide et isolé. GoodKit colocalise les observateurs avec le gestionnaire de machines virtuelles (VMM) afin de fournir un accès mémoire natif et sans pause, sous un contrôle d’accès strict, sans modifier ni le système d’exploitation invité ni l’hyperviseur. Pour prendre en charge plusieurs observateurs, GoodKit intègre une couche de mutualisation qui élimine l’introspection redondante et empêche les conflits d’accès aux structures de données du noyau. À travers 21 cas d’utilisation concrets — notamment la détection de rootkits, la surveillance des ransomwares et l’introspection du planificateur —, GoodKit offre systématiquement des performances élevées, un isolation solide et une large applicabilité.

Traduction réalisée avec l’intelligence artificielle.