[发明专利]一种基于系统虚拟化技术的进程安全隔离方法

说明书

技术领域

本发明涉及虚拟化技术领域，尤其涉及一种基于系统虚拟化技术的进程安全隔离方法。 

背景技术

随着云计算概念的普及，作为其核心的虚拟化技术也受到前所未有的关注。虚拟化技术不仅可降低IT成本，还能增强系统的安全性和可靠性，因而其在商业应用上的优势得以充分体现。 

虚拟化技术的应用最早出现在IBM大型机系统上，其通过一种称为虚拟机监控器（Virtual Machine Monitor，VMM）的程序，在物理硬件上虚拟出多个完备的，可以独立运行操作系统软件的虚拟机（Virtual Machine）系统实例。 

VMM是实现虚拟机的关键，其通常具有三个特性：等价性，即除开时序、资源可用性，受控程序其他行为应与未受控情况无差异，并且可以自由执行预先编写的特权指令；效率性，即VMM不参与执行客户机绝大多数指令，其必须由宿主机硬件直接执行；资源控制，VMM具有ring0级权限，可管理所有系统资源。 

现今的虚拟化技术通常可分为三个大类，分别是：平台虚拟化（Platform Virtualization）、资源虚拟化（Resource Virtualization）、应用程序虚拟化（Application Virtualization）。通常所说的虚拟化主要指的是平台虚拟化，其通过控制程序（Virtual Machine Monitor或Hypervisor）对计算机和操作系统进行虚拟化，隐藏其真实物理特性，为用户模拟一个统一、抽象的计算环境——虚拟机。 

平台虚拟化通常可分为如下几类：完全虚拟化（Full  Virtualization）、超虚拟化（Paravirtualization）、硬件辅助虚拟化（Hardware-Assisted Virtualization）、部分虚拟化（Partial Virtualization）和操作系统级虚拟化（Operating System Level Virtualization）。全虚拟化是对真实物理机最彻底，最完整的模拟，包括其各种底层硬件，如：处理器、物理内存、各种外设、时钟等等。通过此种虚拟化方式，操作系统或其他系统软件可以不做任何修改无差别的运行在虚拟机中；超虚拟化的实现必须建立在对客户机代码的修改之上，操作虽不便，但客户机可以通过此种方式与VMM直接进行交互。VMM支持Hypercall龚客户机直接调用，以此来替代部分硬件接口；硬件辅助虚拟化必须有硬件的支持，现今流行的是Intel-VT技术和AMD-V技术，通过硬件辅助，客户机可直接运行于系统的最高级别，VMM和客户机在运行环境上自动隔离开。 

基于虚拟化各种优越性，其被广泛应用于各个领域，最常用的虚拟化技术应该是普通操作系统都支持的虚拟内存技术，其通过内存映射使应用程序以为自己拥有连续的可用内存；云计算通过服务器虚拟化技术，把多机多系统的计算节点组成群组，统一通过一个入口向外提供服务，使用户感觉其享受的服务来自于一台专用的计算机。在系统安全方面，研究人员利用系统虚拟化技术将安全敏感程序或是可疑进程置于安全的隔离执行环境中，以此不仅能得到更小的可验证的计算基，而且可将不同的应用程序和操作系统隔离开来，防止它们之间发生干扰和破坏，从而能够获得程序和系统在虚拟机抽象底层真实有效的执行状态和运行信息。 

发明内容

针对以上现有技术中的不足，本发明的目的在于提供一种能够阻止进程间的非法通信，即使进程取得超级用户权限，也无法对宿主机进行违法操作， 最大限度的提高系统的安全性能的基于系统虚拟化技术的进程安全隔离方法，本发明的技术方案如下：一种基于系统虚拟化技术的进程安全隔离方法,其包括以下步骤： 

获取LINUX平台下的待隔离进程，采用linux命令行终端将L-QEMU和待隔离进程引入内核进行装载，当待隔离进程完成内核装载并返回至用户空间时，L-QEMU替换LINUX默认的动态链接库解释器，获得程序控制权，在控制权移交给待隔离进程本身时，L-QEMU暂停进程，收集进程运行环境信息； 

102、在LINUX平台下创建KVM（Kernel-based Virtual Machine）进程虚拟机，其中，KVM进程虚拟机主要包括虚拟机VM和虚拟CPU，在KVM进程虚拟机中布置步骤101中的进程运行环境，并设置KVM进程虚拟机的进入机制和退出机制； 

103、将进程引导程序写入到步骤102中建立的KVM进程虚拟机内存段；