[发明专利]一种虚拟化数据隔离交换方法及装置

摘要

本发明提出了一种虚拟化数据隔离交换方法及装置，该方法包括将虚拟机存储服务器中的数据区分为系统数据区和用户数据区；当不同安全域用户之间通信时，根据通信交换数据所位于虚拟机存储服务器的不同数据区，对通信交换数据进行隔离保护。本发明防止网络攻防试验中的各种恶意代码、病毒和用户的误操作对被保护的存储服务器数据区造成破坏，提高网络靶场虚拟化数据隔离保护的能力，实现网络靶场攻防试验数据的安全交换。

主权项

1.一种虚拟化数据隔离交换方法，其特征在于，包括：/n步骤一，将虚拟机存储服务器中的数据区分为系统数据区和用户数据区；/n步骤二，当不同安全域用户之间通信时，根据通信交换数据所位于虚拟机存储服务器的不同数据区，对通信交换数据进行隔离保护；/n所述步骤二具体包括：/n当不同安全域用户之间通信交换数据的写操作请求发生在系统数据区时，阻止写操作请求；/n当不同安全域用户之间通信交换数据的写操作请求发生在用户数据区时，根据通信交换数据的安全等级执行相应的读写操作；/n所述根据通信交换数据的安全等级执行相应的读写操作，具体包括：/n当第一安全域用户向虚拟机服务管理域Domain0获取虚拟机存储服务器的用户数据区共享内存，并将通信时需要交换的通信交换数据及其安全等级标记写入所述共享内存时，HOOK模块截获第一安全域用户在所述共享内存中的写入操作，以获取所述通信交换数据的安全等级标记与所述通信交换数据所使用的共享内存描述符，并将所述通信交换数据的安全等级标记与所述通信交换数据所使用的共享内存描述符存放在访问控制模块中；/n访问控制模块将通知事件经事件通道通知给第二安全域用户；/n所述通知事件用于通知第二安全域用户准备读取所述共享内存中的通信交换数据；/n当第二安全域用户在收到通知事件后，向所述访问控制模块获取所述通信交换数据对应的共享内存描述符，并基于所述通信交换数据对应的共享内存描述符发出对通信交换数据的读操作请求时，HOOK模块截获所述读操作请求，并将所述读操作请求包含的操作信息提交给访问控制模块；/n访问控制模块根据所述操作信息以及虚拟机服务管理域Domain0中的访问控制策略判断是否执行读操作请求。/n