[发明专利]一种虚拟桌面可执行程序保护机制

说明书

技术领域

本发明涉及信息安全技术领域，尤其涉及一种虚拟桌面可执行程序保护机制。

背景技术

虚拟桌面是通过硬件虚拟化技术，将多个桌面操作系统集中运行在少量服务器的虚拟机上，从而实现服务器硬件资源的复用，用户可以使用不同终端，如传统PC，智能手机，瘦客户端等通过网络使用这些桌面环境。虚拟桌面可以将传统的用户PC终端分散管理转变为集中的管理，极大地减少了系统运维成本和运维工作量。目前该技术已经得到了广泛的应用。

然而虚拟桌面依然面临着病毒、木马等恶意程序的威胁。与传统的终端应用环境不同，一旦虚拟桌面环境中出现病毒和木马，由于运算和存储的相对集中，导致这些恶意程序的散布和传播速度会远远快于传统的终端应用环境。而恶意程序一旦蔓延开来，必定会对虚拟桌面的服务环境造成极大的干扰和影响。

发明内容

本发明解决的技术问题在于有效防止虚拟桌面环境中恶意程序蔓延。

为了解决以上问题，一种虚拟桌面可执行程序保护机制，包括以下步骤：

虚拟桌面环境中的虚拟机采用计算和存储相分离机制步骤；

在承载虚拟机的物理主机上部署可执行程序保护机制的代理。

进一步，作为一种优选，所述虚拟桌面环境中的虚拟机采用计算和存储相分离机制步骤进一步包括：在一台或多台物理主机上搭建虚拟机的运行环境，而在额外的独立存储主机上搭建虚拟机所需的存储环境，虚拟机采用iSCSI访问远端的存储镜像。

进一步，作为一种优选，所述在承载虚拟机的物理主机上部署可执行程序保护机制的代理进一步包括：代理被部署在物理主机的Domain-0中，而Domain-0作为虚拟机的特权域，可以控制其他非特权虚拟机的运行状态，当监控到虚拟机内部有对CreateProcess和LoadLibrary等系统调用的请求时，就挂起该请求，对请求装载的可执行程序进行度量检查后再做处理。

进一步，作为一种优选，：在初始化虚拟桌面服务环境时，预设一个可信的可执行程序列表，并保存这个列表里的可执行程序的Hash值作为整个系统的白名单，只有在白名单之内的可执行程序才准予运行，否则不允许运行。

进一步，作为一种优选，采用一种在Domai-0中进行虚拟机内部可执行程序度量和Hash值比对的方法。

进一步，作为一种优选，根据Domain-0中度量和匹配结果，对虚拟机内部的系统调用请求做出处理，即是否允许被度量的可执行程序运行。

本发明的有益效果在于，该方法以虚拟机镜像克隆机制和可执行程序白名单机制为技术基础，从根本上阻断不可信代码的运行，使得虚拟桌面环境不会受到恶意代码的侵害，同时兼顾了该安全机制对系统带来的性能影响，使系统开销降到最低。

附图说明

当结合附图考虑时，通过参照下面的详细描述，能够更完整更好地理解本发明以及容易得知其中许多伴随的优点，但此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定，其中：

图1本发明实施例的工作流程图。

具体实施方式

以下参照图1对本发明的实施例进行说明。

为使上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

一种虚拟桌面可执行程序保护机制，包括以下步骤：虚拟桌面环境中的虚拟机采用计算和存储相分离机制步骤；在承载虚拟机的物理主机上部署可执行程序保护机制的代理。

如图1所示，一种虚拟桌面可执行程序保护机制，包括以下步骤：

S1、VM发出CreateProcess和LoadLibrary系统调用请求；

S2、挂起该请求；

S3、数据重组；

S4、是否在系统白名单内；

S5、如果在，则恢复VM内的系统调用请求；

S6、如果不在，则失败VM内的系统调用请求并返回。