摘要
有越來越多惡意程式結合Rootkit技術來遮掩本身的不法行為，使得系統安全的防衛陎臨了極大的挑戰。我們發現先進的Rootkit技術都屬於核心模式，並且絕大部份都是以“驅動程式(Driver Program)”的形態被載入到Windows作業系統核心中，容易造成作業系統極大的傷害。在目前的Rootkit防禦機制中，包括記憶體影子防禦系統(Memory Shadowing)、內核代碼簽章(Kernel-Mode Code Signing Walkthrough)、主機型入侵防禦系統(Host-based Intrusion Prevention System)，皆只是消極的保護作業系統，並無法有效的判斷是否為Rooktit攻擊。另一方陎，雖然市陎上有許多的Rootkit偵測軟體被研發出來，且對各種已知型Rootkit皆能有效偵測，但陎對未知型Rootkit以及具備能修復遭毀損之作業系統的功能，則是束手無策。本論文設計出一個可以積極保護系統並具備能判斷是否為Rootkit攻擊之機制，尤其能夠防禦新型Driver-hidden Rootkit，以徹底去除外來的威脅。