SrFTL：利用存储语义在基于Flash的固态硬盘中有效防御勒索软件

《ACM Transactions on Storage》：SrFTL: Leveraging Storage Semantics for Effective Ransomware Defense in Flash-based SSDs

勒索软件攻击频发导致海量损失，传统OS层防御易被绕过。本文提出SrFTL框架，通过在SSD的FTL层集成可信执行环境，结合文件语义分析实现精准检测（零误报/漏报）与高效数据恢复（平均9.3秒），较现有方案提升性能且仅增加1.5%开销。

　　

摘要

勒索软件攻击日益频繁且备受关注，每年导致数十亿美元的数据和运营损失。目前的防护机制通常部署在易受攻击的操作系统上，这使得它们容易受到能够破坏操作系统的先进威胁的攻击。虽然在存储设备中实施防护机制可以解决这一漏洞，但由于无法访问数据语义（如文件系统元数据），这些机制的检测准确性较低。此外，这些方法仅暴露块级接口而无法提供文件级信息，从而限制了数据恢复管理的可用性和实用性。因此，我们开发了，这是一种新型的勒索软件防御框架，它能够利用数据语义实现精确的勒索软件检测和有效的文件级数据恢复。具体而言，SrFTL在固态硬盘（SSD）的闪存转换层（FTL）中实施防御措施。然后，SrFTL通过安全通道将安全隔离区与修改后的FTL结合在一起，以在隔离区内实现灵活的勒索软件防御。最后，SrFTL在隔离区内部署勒索软件分类和数据恢复功能，从而提供高检测准确性和低成本的数据恢复能力。我们的评估表明，SrFTL在检测我们收集的真实世界勒索软件样本和良性应用程序时实现了零误报和漏报，性能优于现有的FTL级解决方案（例如MimosaFTL）。此外，与普通SSD相比，SrFTL的平均性能开销仅为1.5%。最后，通过对多个真实世界勒索软件样本的测试，SrFTL实现了平均9.3秒的快速数据恢复时间。因此，SrFTL弥合了FTL和操作系统级文件信息之间的语义差距，有效阻止了勒索软件的攻击，同时保持了所采用防御措施的完整性和真实性。