Hypervisor Introspection

امنیت در هر سازمان شامل رویکردهای متعددی جهت حفاظت از شبکه، نقاط پایانی و Hypervisor است. HVI جایگزین ابزارهای امنیتی نصب شده بر روی ماشین‌ها (همچون ضدبدافزار) نمی‌باشد، بلکه به شناسایی تکنیک‌هایی همچون “سرریز حافظه” (Buffer overflow)، اسپری پشته (Heap Spray) و تزریق کد (Code Injection) که همواره توسط مهاجمان جهت سوءاستفاده از ضعف‌های امنیتی موجود در سیستم‌های‌عامل و نرم‌افزارها بکارگرفته می‌شوند، می‌پردازد.

HVI به دنبال شناسایی تکنیک‌هایی است که مهاجمان در آن‌ها از آسیب‌پذیری‌های نرم‌افزاری جهت نفوذ به سیستم موردنظر یا “ترفیع امتیازی” سوءاستفاده می‌کنند. به عنوان مثال، مهاجمان ممکن است از یک “سرریز بافر” (Buffer Overflow) برای سوءاستفاده از یک آسیب‌پذیری شناخته شده یا ناشناخته استفاده می‌کنند. تکنیک HVI در این حالت با بررسی دقیق حافظه، وضعیت “سرریزی بافر” را بدون نیاز به آگاهی از بهره‌جو یا ضعف امنیتی خاصی، تشخیص داده و قبل از آلودگی یک سیستم، حمله را شناسایی و متوقف می‌کند.
HVI به جای پویش میلیون‌ها نمونه بدافزاری، تعداد انگشت‌شماری از تکنیک‌های مرتبط با حملات را شناسایی نموده که فقط در سطح Hypervisor قابل مشاهده هستند و از این طریق حملات “روز-صفر” را سریع‌تر از حملات شناخته شده، شناسایی می‌کند. از آنجایی که تکنیک‌های بکارگرفته شده در حملات تغییر نمی‌کنند، HVI به به‌روز‌رسانی امضاء (Signature Updates) نیازی ندارد.

مولفه‌های موقت موجود در فناوری امنیتی، طبیعتاً از گردش کاری که از آن محافظت می‌کنند، جدا نیستند. این در حالی است که سایر راهکارهای امنیتی شبکه، قابلیت رصد و نظارت ماشین‌های مجازی را ندارند. HVI با اجرا در سطح Hypervisor، حافظه ماشین‌های مجازی در حال اجرا را به صورت دقیقی رصد و بررسی نموده و در عین حال در لایه سخت‌افزاری از سیستم‌های محافظت شده کاملاً جدا و مستقل است.

HVI با بکارگیری توابع Virtual Machine Introspection در بسترهای مجازی‌سازی KVM و Xen، قابلیت رصد ماشین‌های مجازی درحال اجرا را دارد. Bitdefender فناوری Hypervisor Introspection را به صورت منبع باز توسعه داده تا منطق امنیتی را در دو حالت حافظه کاربر و حافظه Kernel در ماشین‌های مجازی در حال اجرا، هم برای سیستم‌های تحت Windows و هم تحت Linux اعمال کند.