Dense Ship：サーバ型ハニーポット用仮想マシンモニタ

摘要

The server-type honeypot is often used for collecting attack information and malware in the network. When many honeypot is executed as a virtual machine on one physical machine, a physical memory becomes a bottleneck and it limits the number of honeypots. To solve the bottleneck, we proposed a memory management method specialized for a server-type honeypot. This method is composed of a virtual machine management which sleeps and resumes a virtual machine instance depending on packet arrivals, a memory compression function synchronized with the packet arrivals, and a memory page sharing function which many related work have adopted. We developed a virtual machine monitor, Dense Ship which the proposal method have been implemented, and evaluated it by response time and the amount of memory consumption compared to a normal virtual machine. In this paper, we explained the design and implementation of the Dense Ship, and then indicated that the more thoneypots is able to be executed on it.%ネットワークにおける攻撃情報やマルウェアの収集にはサーバ型ハニーポットがよく利用される。多数のハニーポットを1 物理マシン上に仮想マシンとして起動する際、物理メモリがボトルネックとなり起動数が制限されてしまう。そこで、このボトルネックを解消するためサーバ型ハニーポットの特性を生かしたメモリ管理機構を提案する。これは従来のメモリページ共有に加え、ネットワークパケットの到着状況に応じて仮想マシンをスリープ、レジュームする仮想マシン制御方法と、それに連動する仮想マシンのメモリを圧縮、復元を行う手法である。このメモリ管理機構を実装した仮想マシンモニタ、Dense Ship を利用することで従来の仮想マシンよりもより高多重にハニーポットを動作可能なことを示し、レスポンスタイムとメモリ利用量の観点で行った評価結果を示す。