随着处理器设计日益复杂，攻击者利用硬件资源之间非预期交互的机会也在增加。微架构拒绝服务 (DoS) 是一类微妙但有力的攻击，在不违反任何软件隔离保证的情况下，一个进程在硬件层面对另一个进程的性能造成损害。这些攻击不会直接导致系统崩溃或服务停止，而是通过利用现代 CPU 深层行为来减慢数据处理速度、窃取计算周期或降低服务质量 (QoS)。
在这篇全面的博文中，我们将探索微架构 DoS 的理论、实践和防御。从基本原理开始，逐步深入防御交互和真实世界检测脚本等高级主题。
微架构是指计算机指令集架构 (ISA) 在硬件中的实现。架构（如 x86 或 ARM）定义了可见的行为契约，而微架构决定了它实际运行的方式，将资源分为流水线、寄存器、缓存、执行单元等。
关键的微架构组件包括：
这些资源通常在进程或线程之间共享以提高效率。
SMT——在英特尔 CPU 中称为超线程——允许多个硬件线程在单个物理核心上执行。例如，一个四核/八线程 CPU 意味着每个核心有两个硬件线程。
**关键事实：**线程共享关键资源：缓存、流水线阶段和执行单元。
微架构拒绝服务 (DoS) 攻击发生在一个（恶意或有缺陷的）线程与受害者线程（通常在同一 SMT 核心或共享一块缓存上）同时存在时，消耗不成比例的硬件资源，显著地饿死或者减慢共存进程的执行。
微架构 DoS 是一种非传统的 DoS 攻击，针对的是性能而非直接的服务不可用。主要的威胁模型涉及一个强大的攻击者与受害者共用硬件。
这项基础研究展示了在英特尔 SMT 处理器上，恶意线程可以通过霸占资源将受害者线程的速度降低超过 5 倍：
**实验设置：**一个线程执行空操作或轻量循环；攻击者线程执行计划代码，不断逐出缓存行或使用某些 ALU。
结果：软件级的安全隔离被硬件资源的饥饿效应无效化。
云提供商经常通过虚拟机 (VM) 或容器将多个客户放在同一个 CPU 上。资源争用是不可避免的，但在 SMT 上问题被放大：
主动检测微架构拒绝服务是不简单的，因为症状类似于普通的资源争用。然而，性能计数器监控和工作负载指纹识别结合可以揭示可能的攻击。
现代 CPU 曝露了硬件性能计数器用于各种事件：
这些可以用 Linux 下的命令行工具 perf 来检查。
perf stat -e L1-dcache-load-misses sleep 10
下面是一个用于监控给定进程（PID）多个计数器的 bash 脚本：
#!/bin/bash
if [ -z "$1" ]; then
echo "Usage: $0 <pid>"
exit 1
fi
PID=$1
echo "Monitoring PID $PID for resource contention..."
echo "Time,L1-dcache-load-misses,LLC-load-misses,branch-misses"
while true; do
PERFDATA=$(perf stat -p $PID -e L1-dcache-load-misses,LLC-load-misses,branch-misses --interval-print 1000 2>&1 | grep -E "L1|LLC|branch")
TIMESTAMP=$(date '+%Y-%m-%d %H:%M:%S')
L1=$(echo "$PERFDATA" | grep 'L1-dcache-load-misses' | awk '{print $1}')
LLC=$(echo "$PERFDATA" | grep 'LLC-load-misses' | awk '{print $1}')
BRANCH=$(echo "$PERFDATA" | grep 'branch-misses' | awk '{print $1}')
echo "$TIMESTAMP,$L1,$LLC,$BRANCH"
sleep 1
done
使用方法：
monitor.shbash monitor.sh <pid_of_victim_process>让我们用 Python 自动化这一流程并在可疑事件上生成警报：
import subprocess
import re
import time
PID = 12345 # 用目标进程 ID 替换
pattern = re.compile(
r"(?P<count>\d+).*\s+(?P<event>L1-dcache-load-misses|LLC-load-misses|branch-misses)"
)
def read_perf(pid):
cmd = [
"perf", "stat", "-p", str(pid),
"-e", "L1-dcache-load-misses,LLC-load-misses,branch-misses",
"sleep", "1"
]
result = subprocess.run(cmd, stderr=subprocess.PIPE, stdout=subprocess.PIPE, text=True)
metrics = {}
for line in result.stderr.split('\n'):
match = pattern.search(line)
if match:
metrics[match.group('event')] = int(match.group('count').replace(',', ''))
return metrics
def detect_anomaly(prev_metrics, curr_metrics, threshold=2.0):
for event in prev_metrics:
ratio = curr_metrics[event] / (prev_metrics[event] + 1)
if ratio > threshold:
print(f"ALERT: {event} spiked by {ratio:.1f}x")
prev = read_perf(PID)
while True:
time.sleep(1)
curr = read_perf(PID)
detect_anomaly(prev, curr)
prev = curr
**注意：**需要 root 权限并安装 perf。
资源分区：
QoS 和公平调度：
禁用 SMT：
调度器意识：
共同租户隔离策略：
在检测到时终止或迁移：
根据最近的研究：
现代硬件安全机制有时会相互干扰。例如，Meltdown/Spectre 的一种缓解方法可能会改变缓冲行为，从而在不知不觉中产生新的 DoS 途径。支持安全集成 意味着验证为一类攻击增加的防御是否不会在其他地方创建更微妙的微架构危险。
微架构拒绝服务是高性能和多租户环境的一个日益关注的问题。需要硬件、操作系统和云提供商的意识、监视和合力，以确保调度的公平性并防止这些隐蔽但有害的攻击。随着 CPU 变得越来越先进，整个生态系统必须不断进化以追踪、检测和防御这些威胁，同时通过支持组合安全以避免因防御交互产生的漏洞。