[发明专利]一种用于虚拟机上的混合监控度量方法及系统

摘要

本发明提供一种用于虚拟机上的混合监控度量方法及系统，所述系统包括：位于特权虚拟机内的配置中心模块，用于配置需要度量的应用程序列表、标准值表以及黑白名单列表；位于客户虚拟机内的度量模块，根据度量指令度量客户虚拟机内运行的应用程序所占内存进行度量；位于特权虚拟机内的内核监控模块，用于获取所述度量模块度量代理的内存数据并度量监控所述内存数据的完整性；用于读取所述配置中心模块的配置数据并向所述度量模块发起度量指令、向所述内核监控模块发起监控指令的控制中心模块。本发明通过虚拟机内度量，可以避免客户虚拟机之间频繁的切换带来的开销，而虚拟机外监控则可以提高虚拟框架的安全性。 1

主权项

1.一种用于虚拟机上的混合监控度量方法，应用于包含特权虚拟机和至少一个需要被度量的客户虚拟机构成的机虚拟环境中，其特征在于，所述混合监控度量方法包括：

配置需要度量的应用程序列表、标准值表以及黑白名单列表；

根据度量指令在客户虚拟机内周期性地对客户虚拟机内运行的应用程序所占内存进行度量；对应用程序所占内存的代码段和参数段进行度量；

根据监控指令在特权虚拟机内获取所述度量模块度量代理的内存数据并度量监控所述内存数据的完整性。

2.根据权利要求1所述的用于虚拟机上的混合监控度量方法，其特征在于，标准值表以硬件加密的方式存储在TPM芯片中。

3.根据权利要求2所述的用于虚拟机上的混合监控度量方法，其特征在于，采用SHA‑1算法进行加密。

4.一种用于虚拟机上的混合监控度量系统，应用于包含特权虚拟机和至少一个需要被度量的客户虚拟机构成的机虚拟环境中，其特征在于，所述混合监控度量系统包括：

配置中心模块，位于特权虚拟机内，用于配置需要度量的应用程序列表、标准值表以及黑白名单列表；

度量模块，位于客户虚拟机内，根据度量指令周期性地度量客户虚拟机内运行的应用程序所占内存进行度量；所述度量模块对应用程序所占内存的代码段和参数段进行度量；

内核监控模块，位于特权虚拟机内并与所述度量模块相连，用于获取所述度量模块度量代理的内存数据并度量监控所述内存数据的完整性；

控制中心模块，位于特权虚拟机内并分别与所述配置中心模块、所述度量模块和所述内核监控模块相连，用于读取所述配置中心模块的配置数据并向所述度量模块发起度量指令、向所述内核监控模块发起监控指令以控制所述度量模块和所述内核监控模块的运行。

5.根据权利要求4所述的用于虚拟机上的混合监控度量系统，其特征在于，标准值表以硬件加密的方式存储在TPM芯片中。

6.根据权利要求5所述的用于虚拟机上的混合监控度量系统，其特征在于，采用SHA‑1算法进行加密。