[发明专利]一种支持多节点的KVM虚拟机隐藏进程检测系统

摘要

本发明公开了一种支持多节点的KVM虚拟机隐藏进程检测系统，属于虚拟化安全技术领域。其包括可信进程追踪模块、进程系统调用捕获模块、终止进程判定模块、非可信进程列表获取模块及隐藏进程对比检测模块。该系统利用虚拟机内省机制以及虚拟机监控器提供的高特权性和高隔离性，在宿主机中实现同时对多个虚拟机节点的进程追踪、进程系统调用行为捕获以及隐藏进程检测，为非专业人士对KVM虚拟机内部进程进行实时监控提供了便利的工具。

主权项

一种支持多节点的KVM虚拟机隐藏进程检测系统，其特征在于，包括可信进程追踪模块、进程系统调用捕获模块、终止进程判定模块、非可信进程列表获取模块、隐藏进程对比检测模块及用于集成上述模块的系统框架程序；其中：可信进程追踪模块：用于实现从虚拟机监控器层次上对多个虚拟机节点的进程追踪、语义重构以及进程列表存储；进程系统调用捕获模块：用于实现对多个虚拟机节点的进程系统调用行为的捕获及识别功能；终止进程判定模块：用于对可信进程模块追踪得到的各个虚拟机节点的进程进行终止判定；非可信进程列表获取模块：用于实现从虚拟机操作系统层次获取目标虚拟机的内部进程列表的功能；隐藏进程对比检测模块：用于将可信进程追踪模块获取的可信进程列表以及非可信进程列表获取模块输出的非可信进程列表进行对比，检测出当前虚拟机中的隐藏进程，并将检测结果输出至系统框架程序提供的用户界面；系统框架程序：用于实现各子模块的集成和数据的传递与管理，并提供用户界面，将用户输入的虚拟机域名传递至非可信进程列表获取模块，将隐藏进程对比检测模块的检测结果输出至用户界面。