[发明专利]一种面向Xen的虚拟机内存共享的安全隔离方法

摘要

本发明公开了一种面向Xen的虚拟机内存共享的安全隔离方法，属于虚拟化安全技术领域，具体涉及增强Xen虚拟机内存共享的安全性领域。本发明针对虚拟机开源软件Xen。通过对Xen现有内存共享机制进行分析，在不影响Xen其他功能正常使用的前提下，基于Xen安全框架XSM，对Xen现有的内存共享访问控制机制进行扩展并添加强制访问控制模块，在进行内存共享时，需要对内存共享权限进行检查，只有满足特定的访问控制规则的内存共享操作才进行授权，以此达到对虚拟机内存共享进行安全监控的目的。

主权项

一种面向Xen的虚拟机内存共享的安全隔离方法，其特征在于包括如下步骤：步骤1：授权表操作的截获；步骤1.1：在虚拟机内存共享代码的关键路径上添加钩子函数，当发生内存表共享请求时，会调用Xen超级系统调用，然后调用授权表操作函数进行处理，获取对授权表操作的相关信息；步骤1.2：对Xen原有的内存映射的执行次序进行改进，使其在内存映射执行过程中添加强制访问控制过程，当虚拟域发起创建授权表操作请求项GR请求发送给虚拟机监视器时，需要进行审核，只有审核通过后虚拟机监视器才进行内存映射，同时当虚拟域访问结束时，只有审核通过后虚拟域才可以收回GR，当虚拟域发出授权表映射请求时，需要对虚拟域访问请求进行操作合法性验证，验证通过后方才允许执行；步骤2：扩展访问控制机制；对XEN安全模块框架中的访问控制机制进行扩展，新增四元组<DomainId，GroupId,IntegrityLevel，SensitivityLevel>，不在同一组内的域间禁止内存表共享授权，依据强制访问控制原理，对域进行主客体敏感性和完整性标记，并设立主体访问控制的两个关键规则不向上读和不向下写，当主体敏感度级别大于或等于客体敏感度级别时才可以进行读操作；当主体完整度级别小于或等于客体完整性级别时才可以进行写操作。