Семь проектов: сравнительная матрица механизмов

Как сравнивать несопоставимые на первый взгляд проекты

Корпус объединяет драйверный rootkit, несколько загрузочных цепочек и неоднородный каркас с заглушками. Поэтому общий рейтинг «мощности» был бы малоинформативен. Сравнение начинается с исходных полномочий и конкретного изменяемого объекта. Затем отдельно рассматриваются продолжение исполнения, повторная активация и доступные наблюдения.

В таблицах ниже «не доказано» означает отсутствие достаточного свидетельства в рамках этого статического исследования. Это не синоним «невозможно» и не сообщение об успешной блокировке. Динамических испытаний образцов на одинаковом стенде не проводилось.

Плоскость исполнения

Основание таблицы — просмотренные точки входа и переходы, перечисленные в соответствующих досье. E01 E09 E10 E20 E31 E36 E40 E45

Предпосылки и незакрытые вопросы

Указанные ограничения привязаны к конкретным функциям, а не к общей репутации проекта. E02 E13 E25 E30 E37 E39 E44

Резидентность и закрепление

Резидентность означает сохранение исполняемого состояния в текущем сеансе. Закрепление требует повторной активации после завершения этого сеанса. Код может быть написан для runtime memory и всё же не иметь доказанного источника повторного запуска. Обратная ситуация тоже возможна: файл постоянно лежит на носителе, но его запуск заблокирован.

Это общая классификация носителей, а не заявление, что каждый проект реализует каждый вариант. В досье отдельно отмечено, где анализ начинается уже после получения начального исполнения.

Что видит Blue

Ориентиры — аналитические гипотезы, выведенные из устройства образцов. Они не являются измеренными detection rates. Для каждого ещё нужно указать доверенный источник данных и отрицательные примеры, на которых сигнал не должен срабатывать.

Что проверяет Red

Содержательный эксперимент не начинается с попытки получить самый низкий уровень привилегий любой ценой. Он начинается с ограниченной гипотезы: например, может ли изменённый результат перечисления убедить конкретный датчик в отсутствии объекта, или охватывает ли выбранное измерение позднюю модификацию памяти.

Тогда результат можно описать точно. «Источник A перестал видеть объект, источник B сохранил его» — проверяемое утверждение. «Rootkit невидим» — неопределённое. «В конфигурации X изменился путь функции» — полезно. «Все защиты бесполезны» — не следует из такого наблюдения.

Как аппаратные механизмы соотносятся с таблицей

TPM помогает формировать и защищать определённые свидетельства; TEE ограничивает доступ к конкретному исполнению; seL4 даёт формальные гарантии механизма в обозначенной конфигурации; гипервизор может обеспечивать отдельную границу контроля. Их нужно связывать с защищаемым объектом и моментом времени, а не расставлять как универсальные галочки напротив названий bootkit.

Например, если изолированный анализатор получает только подменённый список от гостевой ОС, его защищённая память не исправляет качество входа. Если подписан ранний файл, это не обязательно свидетельство о поздней RAM. Если proof предполагает доверенный DMA, реальная конфигурация устройств должна соответствовать предпосылке. Эти случаи связывают все исследования выпуска в единую модель доверия.

Приоритеты дальнейшей проверки

Для каждого образца прежде всего нужен воспроизводимый паспорт: хеш бинарного файла, конфигурация, версия ОС и firmware, состояние защит, первоначальные права и последняя подтверждённая стадия. Затем — независимое свидетельство эффекта. Только после этого имеют смысл устойчивость при повторениях и сравнение обнаружения.

Такая последовательность позволяет получить полезный отрицательный результат. Если не совпала сигнатура, обнаружен дефект ABI или не был разрешён первый EFI-запуск, это конкретное объяснение. Оно не требует ни преувеличивать возможности образца, ни выдавать непроверенную конфигурацию за абсолютную защиту.

  19  BOOLEAN InstallSMIHandler(VOID* HandlerFunc) {
  20      LogInfo(L"SMI Handler installed (placeholder).");
  21      return TRUE;
  22  }

  19      uint32_t new_location = 0;
  20      uint32_t pages_count = EFI_SIZE_TO_PAGES(global::ImageSize);
  21  
  22      /* allocate new pages */
  23      if (global::BootServices->AllocatePages(AllocateAnyPages, EfiLoaderCode, pages_count, (EFI_PHYSICAL_ADDRESS*)&new_location) == EFI_SUCCESS)