[发明专利]一种实现虚拟机系统的安全监控系统及方法

说明书

技术领域

本发明涉及虚拟机系统领域，特别涉及一种实现虚拟机系统的安全监控系统及方法。

背景技术

虚拟化技术允许在一台物理计算机上设置多台具有物理计算机功能的虚拟机，这些虚拟机可以像真正的物理计算机那样工作，每台虚拟机上具有操作系统，同一物理计算机上的多台虚拟机可以并行工作，各个虚拟机之间的工作是相互独立的，其中一个虚拟机的崩溃不会影响到其他虚拟机。

虚拟化技术通过资源的共享，极大地提升了资源的利用率，且促进了云计算的发展，在云端的物理机设置多个虚拟机的方式，可以允许各地人员共用一个物理计算机，最大程度的进行资源共享。

虚拟化技术并不需要操作系统做任何更改就可以运行在虚拟机之上，已有的应用程序也很容易地移植到虚拟机之中，这也使得虚拟机很容易让开发人员接受，并且虚拟机还可以提供备份及还原等功能，使得其更受欢迎。

图1为现有技术的虚拟机系统结构示意图，包括：一个虚拟机监视器及多个虚拟机，其中，

虚拟机监视器，用于监管物理计算机的硬件资源，分别为多个虚拟机提供虚拟机化的硬件资源，分别设置多个虚拟机的权限，设置多个虚拟机之间的隔离性；

虚拟机，用于根据虚拟机监视器的设置，在所分配的对应的虚拟化的硬件资源上按照所设置的权限运行；

在该系统中，虚拟机监视器所设置的权限为：管理虚拟机和用户虚拟机。

管理虚拟机除了拥有用户虚拟机的功能外，还可以管理其他用户虚拟机，比如对控制其他用户虚拟机的开启和关闭，控制其他用户虚拟机拥有多少内存等。在实际应用中，管理虚拟机主要为系统管理员所拥有。用户虚拟机就是普通虚拟机，在虚拟化的硬件资源上运行操作系统，在操作系统下执行应用程序。

虚拟机上设置的虚拟化的硬件资源可以运行操作系统，执行各种功能。为了叙述方便，将运行在管理虚拟机的操作系统称为管理操作系统，将运行在用户虚拟机的操作系统称为用户操作系统。

在该系统中，虚拟机监视器需要对虚拟机提供虚拟化的硬件资源，而且还设置虚拟机的权限，防止虚拟机访问非授权的硬件资源，保障安全性。因此，虚拟机监视器必须能够控制虚拟机和硬件资源之间的数据交互。传统的安全策略是虚拟机监视器对虚拟机执行的每一条指令进行检测，如果有非法指令，则不运行执行。这种方式会造成虚拟机执行指令的效率比较低下，所以一种高效率的安全策略被提出。

该高效率的安全策略为：虚拟机监视器为每个虚拟机设置对应的一个配置文件，该配置文件为虚拟机启动时设置的，配置文件中包括硬件资源访问规则和一个回调函数。其中，硬件资源访问规则表明虚拟机允许访问的硬件资源地址范围，虚拟机运行使用的中断号等。在虚拟机启动时，虚拟机运行时，运行该配置文件，监控虚拟机执行的指令是否符合配置文件中的硬件资源访问规则，如果不符合，则调用配置文件中的回调函数执行。该回调函数设置了各种具体情况信息所对应的处理方式，比如可以采用关闭虚拟机的处理方式或者允许虚拟机访问某些硬件资源等。

可以看出，虚拟机监视器是虚拟机系统中的核心单元，通常运行于该系统的最高权限层。随着虚拟机的各种需求增加，虚拟机监视器所承载的功能也急剧增加。如何在虚拟机系统中平衡功能和安全性也成为一大难题。在现实中，出于对市场利益的驱动，往往优先于在虚拟机系统中添加功能，而忽视其可能带来的安全隐患。

为了保障虚拟机的安全性，所设置的安全策略主要有两个目的：一个是防止外部攻击虚拟机，另一个是防止虚拟机攻击别人。对于虚拟机系统管理者来说，这两个安全需求同样重要，对于虚拟机的用户来说，其安全需求更侧重于前者。目前，虚拟机系统只允许为所有虚拟机设置统一的安全策略，并不能根据虚拟机个性所需分别设置安全策略，所以这种安全策略设置的方式无法满足各个虚拟机个性需求。

发明内容

有鉴于此，本发明提供一种实现虚拟机系统的安全监控系统、该系统能够根据虚拟机个性化需求进行安全监控，减少虚拟机监控器的安全监控功能。

本发明还提供一种实现虚拟机系统的安全监控方法，该方法能够根据虚拟机个性化需求进行安全监控，减少虚拟机监控器的安全监控功能。

为达到上述目的，本发明实施的技术方案具体是这样实现的：

一种实现虚拟机系统的安全监控系统，包括：一虚拟机监视器、一管理虚拟机、多用户虚拟机及一安全增强模块，其中，

虚拟机监视器，用于分别为管理虚拟机、用户虚拟机和安全增强模块分配硬件资源及设置访问规则；

管理虚拟机，用于在所分配的硬件资源上运行，根据访问规则分别与用户虚拟机及安全增强模块交互；