[发明专利]面向虚拟化系统的hypervisor完整性检测方法

权利要求书

1.一种面向虚拟化系统的hypervisor完整性检测方法，其中，该方法包括：

将多租户云环境中多台主机一起加入到同一个hypervisor完整性检测机制，建立一个分布式的hypervisor完整性检测架构，其中，所述hypervisor完整性检测机制包括：完整性检测部分和分布式检测协议部分，

所述完整性检测部分，直接运行在每个主机的hypervisor的权限层级，对主机的hypervisor内存储的与完整性有关的数据结构进行周期性检测，并通过在hypervisor中新加入的hypercall将检测结果和相应的操作Hash签名返回给分布式检测协议部分；

所述分布式检测协议部分，将完整性检测部分的结果通过网络socket在集群中的各个主机之间互相收发，并基于收取到的全量检测结果副本周期性地进行可信主机选取和可信检测结果报告，所述分布式检测协议部分还包括心跳包传递机制；

其中，所述分布式检测协议部分，将完整性检测部分的结果通过网络socket在集群中的各个主机之间互相收发，并基于收取到的全量检测结果副本周期性地进行可信主机选取和可信检测结果报告，包括：

调用完整性检测部分生成本地检测结果，该结果将和哈希签名一起返回，然后基于协议将本地检测记录直接发送到其他主机，并存储在本地内存中；

集群中的每个主机都将拥有所有主机传输的检测记录的完整副本，然后，每个主机都根据完整副本的信息查看检查操作及其结果，其中，验证的过程中首先扫描记录的Hash_signature签名位，如果该Hash_signature签名位与全量副本中的大多数散列签名的位不同，则该检查操作被认为是伪造的，并且相应的主机是不可信的，反之亦然；接下来，继续验证记录的Check_op和Result位，只有Check_op和Result位都是正确的，相应的主机才有机会被投票，反之亦然，其中，Check_op用于指示检测操作；

每个主机已经收集了来自其他主机的所有投票，自动将拥有最多投票数，同时拥有最小ID的主机设置为可信主机；

可信主机拥有所有主机完整性检测记录信息的完整副本，分析每个hypervisor的完整性并提供可靠的检测结果。

2.根据权利要求1所述的方法，其中，所述完整性检测部分，其检测的hypervisor中的数据结构包括CR0寄存器，CR2寄存器，CR3寄存器，CR4寄存器，VMCB，PageTable，SharedTable，GrantTable，TrapTable，SharedInfoTable。

3.根据权利要求2所述的方法，其中，所述检测机制的完整性检测策略分为定义方式和映射方式，其中，

定义方式是指针对数据结构中的内容，检查是否符合本身定义的完整性的检测策略；

映射方式指的是针对数据结构中的具体条目内容，检查是否符合完整的映射关系的检测策略。

4.根据权利要求3所述的方法，其中，所述分布式检测协议部分，其传输的检测信息网络数据包中的内容包括：Host_id，Hash_signature，Check_op，Result，Timestamp，其传输的投票信息网络数据包的内容包括：Host_id，Hash_signature，Vote_list，Timestamp；其传输的检查点网络数据包的内容包括：Host_id，Hash_value，Timestamp。

5.根据权利要求3所述的方法，其中，所述hypervisor完整性中单机的完整性检测部分的检测步骤如下：

步骤A-1：等待分布式检测协议守护进程调用hypercall来启动完整性检测；

步骤A-2：运行在hypervisor中的检测函数读取hypervisor中与完整性相关的数据结构，并验证是否满足完整性条件；

步骤A-3：完整性检测操作完成后生成检测结果，并加入SHA-256标准哈希签名，最后将检测结果和SHA-256标准哈希签名返回给分布式检测协议部分的守护进程。