[发明专利]一种基于自省技术的虚拟机安全监控方法及系统

说明书

本发明涉及一种基于自省技术的虚拟机安全监控方法及系统。该方法包括：建立虚拟机行为的插件库，根据监控指令从插件库中选择所要监控的插件，读取插件库中的API函数名称以及API函数的相对偏移地址，计算出API函数的虚拟地址；读取插件库中API函数的虚拟地址，保存其存储的机器码，然后将该虚拟地址存储的机器码修改为中断指令的机器码；虚拟机访问修改后的该虚拟地址并触发中断后，对虚拟机进行语义解析；语义解析完成后将该虚拟地址中存储的原机器码写回该虚拟地址中，设置虚拟机为单步执行后恢复虚拟机执行。本发明动态接收用户对主机行为的检测需求，调用相应行为插件库，能够对虚拟机进行高性能、高精准、高覆盖的行为监控。

技术领域

本发明涉及虚拟化安全监控领域，具体涉及一种基于自省技术的虚拟机安全监控方法及系统。

背景技术

虚拟化技术能够将底层物理计算资源整合为一个运行环境，对底层的计算资源进行逻辑抽象与统一，虚拟化技术是云计算实现基础性关键技术，其安全性直接决定整个云平台中用户数据的安全。目前，网络攻击形式多样，攻击持续时间及攻击数量不断增加，设备及应用面临巨大安全威胁，相比于传统环境，云计算带来巨大的经济效益，使各国的黑客都从中看到了利益，纷纷转向对虚拟化环境的攻击，导致虚拟化环境的安全问题十分严峻。

通过虚拟化技术，各种类型的虚拟机和软件可以由用户自由地创建和删除，这给用户带来了极大的便利，但同时也隐藏着虚拟化平台自身的安全问题如：如何保障虚拟机安全以及控制虚拟机网络流量等。这类问题随着网络的迅速发展和计算机系统的日益更新与开放，变的越来越复杂，若恶意攻击出现在虚拟化环境中并恶意隐藏敏感进程、敏感文件或其他恶意系统调用程序等，将直接造成云服务的不可靠，云中数据更是无安全可言，所以，虚拟化安全是云平台安全的基石。在所有攻击类型中，恶意软件是云平台最大的威胁，传统环境下基于主机的安全软件通常和恶意软件处于同一特权级别，安全软件很容易成为恶意软件的攻击目标，一旦恶意软件找到安全软件的漏洞，则会利用该漏洞使其陷入瘫痪，从而直接获得系统的最高权限，以便进一步从事非法活动。在云环境下，同一台物理服务器上的若干虚拟机不是物理隔离的，一旦某一台虚拟机被攻破，则会对整个云环境产生很大的威胁，恶意软件的盛行以及过时的安全工具让云环境的安全形势变得十分复杂。目前，云环境比以往更需要创新的安全工具。

面对如此严峻的安全问题，相关学者针对性的提出了建议如隔离和分段虚拟网络，引入安全软件保护虚拟化环境，并采用加密技术和访问控制管理通信。在虚拟化安全保障方面，虚拟机自省技术(Virtual Machine Introspection,简称:VMl)是个很好的选择，它可以监控虚拟机内部事件，使用户更透明地看到虚拟机运行情况，及时了解虚拟机动态信息，帮助用户分析决策。所谓虚拟机自省(VMl)就是在虚拟机外部通过分析其内部的系统状态(软硬件)，来了解虚拟机的内部状态。由于虚拟机管理器兼具基于主机的入侵检测框架的高“能见度”和基于网络入侵检测框架良好的隔离性，所以虚拟机自省借助于虚拟机管理器(VMM)实现对虚拟机的监控。要实现虚拟机自省，解决“语义鸿沟”问题是一大关键，所谓“语义鸿沟”是指从虚拟机外部观测到的信息和虚拟机内部真实情况之间的差异。虚拟机管理器通常是一台独立并且受信任的虚拟机，由于该虚拟机独立于被监控的客户机，所以有着很好的隔离作用。虚拟机管理器通过读取虚拟机内的内存页面、寄存器、中断等低级语义事件，将其还原成用户能够识别的高级语义对象，如虚拟机进程、内核模块、系统调用等。

虚拟机自省(VMI)有带内、带外两种主要的模式，其中带内模式需要在虚拟机内部署监控模块以详细了解虚拟机内状态信息，该模式由于监控模块部署在虚拟机内部，较容易受到恶意攻击，并不是一种安全有效的安全模式。带外模式无需在虚拟机内部署安全代理，但是其高度依赖虚拟机操作系统的外部语义，由于该技术是通过虚拟机寄存器、中断、内存页面等攻击者不可绕过的底层硬件状态实现针对虚拟机的状态监控，所以安全性高，是目前最可靠的VMI技术。

发明内容