[发明专利]一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统及方法

说明书

技术领域

本发明属于恶意程序识别领域，尤其涉及一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统及方法。

背景技术

目前，云计算因其具有资源利用率高、可扩展性好、管理灵活等优点得到了高速发展，作为云计算的支撑技术之一的虚拟化技术具有重要作用。在VMware、Denali、Xen、KVM等主要虚拟化技术中，Xen虚拟化技术因其性能稳定、占用资源少且开源而应用最为广泛。

通常，Xen虚拟机上运行着若干个客户操作系统，每个操作系统上又运行着若干个进程，进程作为系统资源分配和调度的基本单位，是操作系统动态执行的基本单元。如果操作系统中存在恶意进程，将会对虚拟机造成严重影响，如资源过度消耗，数据丢失或隐蔽通道等。因此，识别Xen虚拟机中的恶意进程非常重要。

目前，针对Xen虚拟机的恶意进程识别的相关研究还未见报道，但是已有部分关于Xen虚拟机的进程信息获取相关成果，主要有：专利201310485094.1公开的一种虚拟机进程监控方法和装置，通过解析每台虚拟机内核中的task_struct结构来获取进程信息，但没有给出具体的识别正常进程和恶意进程的方法；专利201310290430.7公布的一种IaaS云环境下轻量级虚拟机进程追踪系统和方法，通过监视虚拟机内部事件构建进程高级语义视图，得到虚拟机内进程以及进程之间的关联关系，但没有给出得到进程信息后的处理方法。

以上对虚拟机安全研究主要集中在虚拟机上运行进程的实时检测方向，但都只能针对不同操作系统解析虚拟机内核的task_struct结构来获取进程信息，并没有给出具体的识别所监控的进程是否是恶意进程的方法，也没有给出对恶意进程的控制方法。

发明内容

本发明的目的是提供一种能够对恶意进程进行识别，并及时做出相应处理的基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统。本发明的目的还包括提供一种计算速度快、实用性强的基于相关性剪枝神经网络的Xen虚拟机恶意进程识别方法。

一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统，包括进程信息获取模块、进程模式训练模块、进程模式数据库模块、进程模式匹配模块、进程处理模块；

进程信息获取模块包括获取模块、查询模块和确定模块，获取模块首先获取Xen虚拟机内存的中断描述符表寄存器的base数值，根据base数值获取操作系统类型，并将操作系统类型输出到查询模块；

查询模块接收获取模块输入的操作系统类型，查询预设的内核数据结构偏移集合，确定与操作系统类型对应的内核数据结构偏移数组，数据结构偏移数组为一个二元组，第一个元素是操作系统类型对应的虚拟机的进程链表数据结构，第二个元素是操作系统类型对应的虚拟机中进程信息的偏移量，根据得到的进程链表数据结构确定操作系统类型对应的虚拟机中各进程对应的结构体的虚拟地址，将该虚拟地址和进程信息偏移量输出到确定模块；

确定模块接收虚拟地址和进程信息偏移量后，获取所述操作系统类型对应的虚拟机中各进程的进程信息，当本系统的工作状态为进程模式训练阶段时，将进程信息输出给进程模式训练模块，当本系统的工作状态为进程模式匹配阶段时，将进程信息输出到进程模式匹配模块；

进程模式训练模块，采用基于相关性剪枝BP神经网络的进程模式训练方法对进程信息进行训练，得到正常进程行为模式和恶意进程行为模式，并将正常进程行为模式和恶意进程行为模式输出到进程模式数据库模块；

进程模式数据库模块，将进程模式训练模块输入的正常进程行为模式存储到正常进程行为模式数据库，将进程模式训练模块输入恶意进程行为模式存储到恶意进程行为模式数据库；

进程模式匹配模块对接收到的进程信息与恶意进程行为模式数据库中数据模式进行模式匹配，若匹配成功，则该进程是恶意进程，并将匹配结果输出到进程处理模块；若匹配不成功，将该进程信息与正常进程行为模式数据库中数据模式进行模式匹配，若匹配成功，则认为是正常进程，并将匹配结果输出到进程处理模块；若匹配仍不成功，则输出“无法识别”到进程处理模块；

进程处理模块对进程模式匹配模块的输入结果进行处理，若输入是正常进程，则不做处理；若是恶意进程，则发出警报信息；若是“无法识别”，则由用户手动处理该进程。

本发明一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统，还可以包括：