[发明专利]基于IPT与虚拟机自省的API调用监控方法及系统

说明书

本发明公开了一种基于IPT与虚拟机自省的API调用监控方法及系统。本方法为：当创建虚拟机时，KVM进入虚拟机模式，IPT开始进行追踪，执行a)～b)；当KVM退出虚拟机模式回到根模式的时候，IPT停止追踪；其中：a)获取虚拟机内部当前运行的进程，得到所监控API的虚拟地址；b)将所监控API与API虚拟地址的对应关系写入第一哈希表中，将进程CR3的值与对应进程间的映射关系写入第二哈希表中，并且监听进程CR3的值的变化；2)对IPT追踪数据进行解码，然后根据哈希表从解码数据中获取进程的API序列调用；3)将进程的API调用序列与设定高危进程的API序列匹配，根据匹配结果确定虚拟机的安全状态。

技术领域

本发明属于虚拟化安全监控领域，具体涉及一种基于IPT与虚拟机自省的API调用监控方法及系统。

背景技术

近两年，随着虚拟化技术的发展和不断完善，云计算逐渐成了最重要的计算基础设施之一，国内云计算的规模不断扩大，越来越多的服务和软件部署在云服务器上，云服务和云应用在生产生活中发挥的作用日益显著；同时，其中涉及的隐私、安全问题就不可避免成为了云计算进一步发展的制约因素，虚拟化技术作为云计算底层支持技术，逐渐模糊了硬件和软件的分界线，面向传统实体计算机的安全防护手段也将失效。各方面对云服务和云应用安全性的关注度越来越高，如何对虚拟机内部的运行行为实施有效监控就成为当前的一个研究重点。虚拟机行为监控自虚拟化技术广泛应用以来，一直是研究人员追求的研究热点，尤其是主机行为监控分析。

传统的虚拟机行为监控主要通过在虚拟机内部安装代理，通过hook等方式在虚拟机内部获取虚拟机行为，然后将数据传出虚拟机外部，这种从虚拟机内部获取虚拟机行为的方式优点是获取速度快，对虚拟机的性能影响低，获取的数据较为详细；但是这种常规手段也有许多弊端，包括安装和维护代理复杂，容易被入侵者或者查杀工具发现并查杀从而失去监控能力，以及安全性相对较低等因素会使云计算的安全变得不可控。为使云服务商对云用户或者访问云服务用户的行为具有识别、取证、控制的能力，虚拟机域外监控技术被引用并且被广泛应用。相比于虚拟机内部获取主机行为，外部监控具有行为获取隐蔽性，不易被入侵者及查杀工具篡改或者屏蔽等优点，域外监控程序运行于具有更高权限的虚拟机管理层(VMM)或者安全虚拟机(Domain0)中，具有更好的安全性和透明性。因此在目前的云计算环境中，域外获取虚拟机行为依然是主流研究方向。

然而，域外获取虚拟机行为会干扰目标虚拟机的执行，会对虚拟机的性能产生一些影响，而且监控程序需要能够自动化解决语义鸿沟的问题，运行与虚拟机管理层的监控程序仅能访问到虚拟机底层运行信息，包括二进制、内存等，而监控程序需要高级语义才能实现对虚拟机的行为获取，这个语义差距被称之为语义鸿沟问题。目前，虚拟机自省技术(VirtualMachine Introspection)已经成为域外监控以解决云安全问题的关键技术，从原理上来看，恶意攻击通常在虚拟机内部，而VMI则工作在虚拟机管理层(VMM或Hypervisor)，相对于虚拟机内部具有很强的隔离性，对虚拟机内部是不可见的，所以VMI技术自身的安全性很高；同时，由于虚拟机管理层具有完全管理和监视虚拟机的能力，这为VMI技术准备了充分条件。相对于虚拟机带内监控技术，VMI技术的优势在于更好的隔离性，能够提供纯净的虚拟机环境等，重点是该技术能够将从虚拟机获取到的低级语义信息(CPU寄存器状况、二进制内存、IO等)转换成为监控程序可理解的高级语义信息，可以从虚拟机外部通过语义重构等方式获取虚拟机详细运行状态信息，实现低级语义到高级语义的转换。