轻量级的内核控制流异常检测方法
来源：计算机应用与软件杂志2025年第10期北京时间：
作者：程仲汉, 陈淑珍
摘要：针对现有虚拟机自省技术在控制流异常检测时难以兼顾完备性和高效率的问题,提出一种轻量级的内核控制流异常检测方法HyperCache。通过设置专门的检测代码与目标地址缓存,实现在内核中就能对函数间接调用的跳转目标地址进行动态的合规性检查。该方法使得大部分安全检测工作无须陷入虚拟机监控器中,从而大大降低了模式切换带来的性能开销。该方法能够在rootkit跳转到恶意代码之前检测出控制流异常,并且只为原生Linux带来约4%~10%的额外性能开销。
关键词：虚拟机自省, 虚拟机监控器, 操作系统内核, 恶意代码, 控制流, 异常检测
