一种信道检测方法及装置制造方法及图纸

本发明专利技术实施例公开了一种信道检测方法及装置，所述方法包括：当至少两台虚拟机在同一个物理主机上进行内存去重合并时，在操作系统指令流中拦截操作系统执行的事件序列，所述事件序列中包括获取时间事件；从所述事件序列中查找目标子序列，并获取所述目标子序列的时间属性；判断所述目标子序列的时间属性是否满足预设条件，当所述目标子序列的时间属性满足预设条件时，确定系统中存在隐蔽信道。采用本发明专利技术，可以准确检测出系统中是否存在隐蔽信道，且不会影响系统中正常的内存去重机制的功能。

【技术实现步骤摘要】

本专利技术涉及网络安全
，尤其涉及一种信道检测方法及装置。
技术介绍
在多租户云环境中，通常租户间的虚拟机共享同一个物理主机的内存，具体的共享方法可以是采用内存去重技术进行共享，内存去重技术即是将相同的物理内存页进行合并，只保留一份该内存页的物理拷贝，所有其他虚拟机共同映射该物理内存页。在后续使用过程中，当某个虚拟机需要对该内存页进行写操作时，操作系统将启动写操作异常事件，例如写时复制(Copy-On-Write，COW)页写操作异常事件，并为该虚拟机重新拷贝一份物理内存页进行写操作。然而，内存去重技术在云平台中的引入也会导致意想不到的安全漏洞。因为恶意用户和普通用户的虚拟机有可能位于同一个物理主机上，并利用内存去重技术进行内存页的合并。恶意用户可以通过这种共享内存的机制构建起隐蔽信道从而窃取其他普通用户中的隐私信息，比如密钥等等。隐蔽信道具体的构建方法为，如图1所示，普通用户Sender和恶意用户Receiver分别为位于同一物理主机上的两台虚拟机，Receiver通过某种手段入侵了Sender，此时Receiver希望能够隐蔽地将窃取到的用户隐私数据传递出来而不被检测到，则可以基于内存去重机制构建隐蔽信道进行信息传递，假设有N bit信息需要传递：Receiver控制Sender申请一份大小为N*4K的内存，并加载文件A到内存中。然后Receiver控制Sender将申请的内存按照内存页粒度(4K)进行编码，编码的规则是：需要传递的信息为0则修改当前内存页(任意修改)，需要传递的信息为1则跳过不修改进入下一个内存页。编码完毕后等待内存合并。Receiver申请相同大小为N*4K的内存，并加载相同的文件A到内存中。操作系统自动进行内存页合并。Receiver等待一段时间后，开始接收信息。即是将所申请的内存按照内存页粒度进行解码，解码的规则是：逐个内存页进行写操作，同时测量内存页写操作执行的时间，具体的测量方式是在对某一个内存页进行写操作之前获取一次系统时间，对该内存页写操作执行完毕后再获取一
次系统时间，若该内存页为进行合并之后的内存页，由于需要额外的内存页拷贝过程，所以该内存页写操作执行所花费的时间比普通内存页写操作执行时间更长，因此Receiver可以根据内存页写操作执行时间长短进行解码，例如，某一个内存页写操作执行时间过长则当前页解码为1，否则当前页解码为0，Receiver接收信息完毕。现有技术中，为避免恶意用户通过隐蔽信道将普通用户的隐私数据传递出去，则直接关闭内存去重机制，这种方式虽然能够解决隐蔽信道的攻击，但是却失去了内存去重机制的优势，对系统性能影响较大。
技术实现思路
本专利技术实施例提供一种信道检测方法及装置，可以准确检测出系统中是否存在隐蔽信道，且不会影响系统中正常的内存去重机制的功能。本专利技术实施例第一方面提供了一种信道检测方法，可包括：当至少两台虚拟机在同一个物理主机上进行内存去重合并时，在操作系统指令流中拦截所述操作系统执行的事件序列，所述事件序列中包括获取时间事件；从所述事件序列中查找目标子序列，并获取所述目标子序列的时间属性；判断所述目标子序列的时间属性是否满足预设条件；当所述目标子序列的时间属性满足预设条件时，确定系统中存在隐蔽信道。基于第一方面，在第一方面的第一种可行的实施方式中，所述目标子序列的时间属性包括所述目标子序列的起始时间与结束时间之间的第一时间差。所述判断所述目标子序列的时间属性是否满足预设条件，包括：判断所述目标子序列的所述第一时间差是否小于第一预设阈值；所述当所述目标子序列的时间属性满足预设条件时，确定系统中存在隐蔽信道，包括：当所述目标子序列的所述第一时间差小于所述第一预设阈值时，确定系统中存在隐蔽信道。基于第一方面的第一种可行的实施方式中，在第一方面的第二种可行的实施方式中，若所述事件序列中包括多个目标子序列；所述从所述事件序列中查找目标子序列，并获取所述目标子序列的时间属
性，包括：从所述事件序列中依次查找预设个数的目标子序列；计算所述预设个数的目标子序列中每个目标子序列的起始时间与结束时间之间的第一时间差。基于第一方面的第二种可行的实施方式，在第一方面的第三种可行的实施方式中，所述判断所述目标子序列的所述第一时间差是否小于第一预设阈值，包括：判断所述预设个数的目标子序列中每个目标子序列的所述第一时间差是否均小于所述第一预设阈值；所述当所述目标子序列的所述第一时间差小于所述第一预设阈值时，确定系统中存在隐蔽信道，包括；当所述预设个数的目标子序列中每个目标子序列的所述第一时间差均小于所述第一预设阈值时，确定系统中存在隐蔽信道。基于第一方面第三种可行的实施方式，在第一方面的第四种可行的实施方式中，所述当所述预设个数的目标子序列中每个目标子序列的所述第一时间差均小于所述第一预设阈值之后，还包括：判断所述预设个数的目标子序列中第一个目标子序列的起始时间和最后一个目标子序列的结束时间之间的第二时间差是否小于第二预设阈值，所述第二预设阈值小于所述预设个数；当所述第二时间差小于所述第二预设阈值时，确定系统中存在隐蔽信道。本专利技术第二方面提供一种信道检测装置，包括：拦截模块，用于当至少两台虚拟机在同一个物理主机上进行内存去重合并时，在操作系统指令流中拦截所述操作系统执行的事件序列，所述事件序列中包括获取时间事件；获取模块，用于从所述事件序列中查找目标子序列，并获取所述目标子序列的时间属性；判断模块，用于判断所述目标子序列的时间属性是否满足预设条件，确定模块，用于当所述目标子序列的时间属性满足预设条件，确定系统中存在隐蔽信道。基于第二方面，在第二方面的第一种可行的实施方式中，所述目标子序列
的时间属性包括所述目标子序列的起始时间与结束时间之间的第一时间差。；所述判断模块具体用于判断所述目标子序列的所述第一时间差是否小于第一预设阈值；所述确定模块具体用于当所述目标子序列的所述第一时间差小于所述第一预设阈值时，确定系统中存在隐蔽信道。基于第二方面第一种可行的实施方式，在第二方面的第二种可行的实施方式中，若所述事件序列中包括多个目标子序列；所述获取模块包括：查找单元，用于从所述事件序列中依次查找预设个数的目标子序列；计算单元，用于计算所述预设个数的目标子序列中每个目标子序列的起始时间与结束时间之间的第一时间差。基于第二方面第二种可行的实施方式，在第二方面的第三种可行的实施方式中，所述判断模块具体用于判断所述预设个数的目标子序列中每个目标子序列的所述第一时间差是否均小于所述第一预设阈值。基于第二方面第三种可行的实施方式，在第二方面第四种可行的实施方式中，所述确定模块包括判断单元和确定单元；所述判断单元，用于当所述预设个数的目标子序列中每个目标子序列的所述第一时间差均小于所述第一预设阈值时，判断所述预设个数的目标子序列中第一个目标子序列的起始时间和最后一个目标子序列的结束时间之间的第二时间差是否小于第二预设阈值，所述第二预设阈值小于所述预设个数，所述确定单元，用于当所述第二时间差小于所述第二预设阈值时，确定系统中存在隐蔽信道。本专利技术实施例中，当至少两台虚拟机在同一个物理主机上进行内存去重合并时，在操作系统指令流中拦截该操作系统执行的事本文档来自技高网...

【技术保护点】
一种信道检测方法，其特征在于，包括：当至少两台虚拟机在同一个物理主机上进行内存去重合并时，在操作系统指令流中拦截所述操作系统执行的事件序列，所述事件序列中包括获取时间事件；从所述事件序列中查找目标子序列，并获取所述目标子序列的时间属性；判断所述目标子序列的时间属性是否满足预设条件；当所述目标子序列的时间属性满足预设条件时，确定系统中存在隐蔽信道。

【技术特征摘要】
1.一种信道检测方法，其特征在于，包括：当至少两台虚拟机在同一个物理主机上进行内存去重合并时，在操作系统指令流中拦截所述操作系统执行的事件序列，所述事件序列中包括获取时间事件；从所述事件序列中查找目标子序列，并获取所述目标子序列的时间属性；判断所述目标子序列的时间属性是否满足预设条件；当所述目标子序列的时间属性满足预设条件时，确定系统中存在隐蔽信道。2.如权利要求1所述的方法，其特征在于，所述目标子序列的时间属性包括所述目标子序列的起始时间与结束时间之间的第一时间差；所述判断所述目标子序列的时间属性是否满足预设条件，包括：判断所述目标子序列的所述第一时间差是否小于第一预设阈值；所述当所述目标子序列的时间属性满足预设条件时，确定系统中存在隐蔽信道，包括：当所述目标子序列的所述第一时间差小于所述第一预设阈值时，确定系统中存在隐蔽信道。3.如权利要求2所述的方法，其特征在于，若所述事件序列中包括多个目标子序列；所述从所述事件序列中查找目标子序列，并获取所述目标子序列的时间属性，包括：从所述事件序列中依次查找预设个数的目标子序列；计算所述预设个数的目标子序列中每个目标子序列的起始时间与结束时间之间的第一时间差。4.如权利要求3所述的方法，其特征在于，所述判断所述目标子序列的所述第一时间差是否小于第一预设阈值，包括：判断所述预设个数的目标子序列中每个目标子序列的所述第一时间差是否
\t均小于所述第一预设阈值；所述当所述目标子序列的所述第一时间差小于所述第一预设阈值时，确定系统中存在隐蔽信道，包括：当所述预设个数的目标子序列中每个目标子序列的所述第一时间差均小于所述第一预设阈值时，确定系统中存在隐蔽信道。5.如权利要求4所述的方法，其特征在于，所述当所述预设个数的目标子序列中每个目标子序列的所述第一时间差均小于所述第一预设阈值之后，还包括：判断所述预设个数的目标子序列中第一个目标子序列的起始时间和最后一个目标子序列的结束时间之间的...

【专利技术属性】
技术研发人员：袁劲枫，王胜，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东;44