一种用于虚拟机上的混合监控度量方法及系统技术方案

本发明专利技术提供一种用于虚拟机上的混合监控度量方法及系统，所述系统包括：位于特权虚拟机内的配置中心模块，用于配置需要度量的应用程序列表、标准值表以及黑白名单列表；位于客户虚拟机内的度量模块，根据度量指令度量客户虚拟机内运行的应用程序所占内存进行度量；位于特权虚拟机内的内核监控模块，用于获取所述度量模块度量代理的内存数据并度量监控所述内存数据的完整性；用于读取所述配置中心模块的配置数据并向所述度量模块发起度量指令、向所述内核监控模块发起监控指令的控制中心模块。本发明专利技术通过虚拟机内度量，可以避免客户虚拟机之间频繁的切换带来的开销，而虚拟机外监控则可以提高虚拟框架的安全性。

【技术实现步骤摘要】

本专利技术涉及计算机应用
，特别是涉及系统完整性度量框架
，具体为一种用于虚拟机上的混合监控度量方法及系统。
技术介绍
随着云计算受到越来越广泛的研宄和关注，其幕后的核心技术一虚拟化技术也逐渐进入人们视线。计算机系统的虚拟化技术作为一种新型的计算机技术，极大的提高了计算机系统的资源利用率，从而挖掘了计算机系统闲置的计算潜力，并且可以将IT环境改造成为更加强大、更具弹性、更富有活力的架构。通过把多个操作系统整合到一台高性能服务器上，最大化利用硬件平台的所有资源，用更少的投入实现更多的应用，还可以简化IT架构，降低管理资源的难度，避免IT架构的非必要扩张。在诸多特性中，虚拟化技术有如下几个最重要的特性:1、资源管理和映射。虚拟化技术提供多个客户虚拟机作为虚拟的执行环境。完整地克隆这个环境相当容易，然而在传统的计算机系统中需要克隆整个硬件和系统环境以及状态是相当困难。这一特性使它满足了现在多样化的应用场景需求。2、空间隔离。同一物理计算机系统上的客户虚拟机之间可以达到系统级别的隔离。这一特性满足即使某个系统奔溃也不会影响其他虚拟机系统。3、可伸缩性。虚拟机的实际物理计算资源可由系统本身或者系统管理员根据实际应用需求进行合理分配和动态调整。这一特性使得计算资源可以量化，以服务的方式提供给客户。虽然虚拟机有诸多特性，但是其安全性问题一直备受挑战。由于客户虚拟机运行状态以及其上运行的系统的不可信，所以无法保证提供的虚拟执行环境是安全的，也就说用户的数据完整性以及隐私都无法得到保护。更严重的是，受到威胁的客户虚拟机可能攻击其他的虚拟机使得整个虚拟化系统奔溃。这就需要一个度量框架来保证虚拟机上系统的完整性。经过对现有技术文献的检索发现，IBM研宄中心在〃Security’04:13USENIXSecurity Symposium" (2004年第十三届USENIX安全技术研讨大会)上发表了 TCG-basedIntegrity Measurement Architecture，提出了一种对静态可执行文件完整性的度量。这个框架主要基于一个装在系统中的钩子函数，每当可执行文件被执行前，对它进行度量，然后将度量的值与标准值进行对比，以此来保证可执行文件的完整性。其不足在于:仅仅保证了系统在执行前的完整性，却无法验证系统在运行时是否受到病毒的攻击。除此之外，这个框架的自身的安全性也无法得到保护。而且这个框架只针对于Linux系统，不能很好的解决虚拟化环境下的完整性度量问题。在2010的IEEE Security&Privacy期刊上，有人提出了一种虚拟机内完整性度量方案，该方案在除了在客户虚拟机内部安装一个度量代理模块，还在外部的特权虚拟机中添加一个保护装置，来保证度量代理不被篡改。虽然该方案保证了度量结果的可信性，但是没有解决系统运行时可能被入侵攻击的问题，仍属于静态度量。因此，本领域的技术人员致力于设计和开发一个保护虚拟机中系统完整性的动态度量框架，并且该框架应该具有易扩展以及低性能损耗的特点。
技术实现思路
鉴于以上所述现有技术的缺点，本专利技术的目的在于提供一种用于虚拟机上的混合监控度量方法及系统，用于改善现有技术中的度量方案在检测动态攻击方面的性能。为实现上述目的及其他相关目的，本专利技术在一方面提供一种用于虚拟机上的混合监控度量方法，应用于包含特权虚拟机和至少一个需要被度量的客户虚拟机构成的机虚拟环境中，所述混合监控度量方法包括:配置需要度量的应用程序列表、标准值表以及黑白名单列表；根据度量指令在客户虚拟机内对客户虚拟机内运行的应用程序所占内存进行度量；根据监控指令在特权虚拟机内获取所述度量模块度量代理的内存数据并度量监控所述内存数据的完整性。优选地，对应用程序所占内存的代码段和参数段进行度量。优选地，周期性地对客户虚拟机内运行的应用程序所占内存进行度量。优选地，标准值表以硬件加密的方式存储在TPM芯片中。优选地，米用SHA-1算法进彳丁加密。本专利技术在另外一方面提供一种用于虚拟机上的混合监控度量系统，应用于包含特权虚拟机和至少一个需要被度量的客户虚拟机构成的机虚拟环境中，所述混合监控度量系统包括:配置中心模块，位于特权虚拟机内，用于配置需要度量的应用程序列表、标准值表以及黑白名单列表；度量模块，位于客户虚拟机内，根据度量指令度量客户虚拟机内运行的应用程序所占内存进行度量；内核监控模块，位于特权虚拟机内并与所述度量模块相连，用于获取所述度量模块度量代理的内存数据并度量监控所述内存数据的完整性；控制中心模块，位于特权虚拟机内并分别与所述配置中心模块、所述度量模块和所述内核监控模块相连，用于读取所述配置中心模块的配置数据并向所述度量模块发起度量指令、向所述内核监控模块发起监控指令以控制所述度量模块和所述内核监控模块的运行。优选地，所述度量模块对应用程序所占内存的代码段和参数段进行度量。优选地，所述度量模块周期性地对客户虚拟机内运行的应用程序所占内存进行度量。优选地，标准值表以硬件加密的方式存储在TPM芯片中。优选地，米用SHA-1算法进彳丁加密。如上所述，本专利技术的一种用于虚拟机上的混合监控度量方法及系统，具有以下有益效果:本专利技术通过实现了虚拟机内部度量和外部监控相结合，虚拟机内度量避免了客户虚拟机之间频繁的切换带来的开销，而虚拟机外监控提高了框架的安全性；而且本专利技术采取了动态地度量应用程序进程的内存，一次入侵在一个度量周期内要被检测出来。此外，本专利技术在实用过程中给虚拟机带来了较低的性能损耗，同时还具有良好的扩展性。【附图说明】图1显示为本专利技术的用于虚拟机上的混合监控度量方法的流程示意图。图2显示为本专利技术的用于虚拟机上的混合监控度量系统的结构示意图。元件标号说明I混合监控度量系统11特权虚拟机111配置中心模块112内核监控模块113控制中心模块12客户虚拟机121度量模块13客户虚拟机131度量模块Sll ?S13 步骤【具体实施方式】以下通过特定的具体实例说明本专利技术的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本专利技术的其他优点与功效。本专利技术还可以通过另外不同的【具体实施方式】加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本专利技术的精神下进行各种修饰或改变。[0038当前第1页1 2 3 本文档来自技高网...

【技术保护点】
一种用于虚拟机上的混合监控度量方法，应用于包含特权虚拟机和至少一个需要被度量的客户虚拟机构成的机虚拟环境中，其特征在于，所述混合监控度量方法包括：配置需要度量的应用程序列表、标准值表以及黑白名单列表；根据度量指令在客户虚拟机内对客户虚拟机内运行的应用程序所占内存进行度量；根据监控指令在特权虚拟机内获取所述度量模块度量代理的内存数据并度量监控所述内存数据的完整性。

【技术特征摘要】

【专利技术属性】
技术研发人员：骆源，毛亚强，廖振壹，
申请(专利权)人：上海交通大学，
类型：发明
国别省市：上海;31