轻量级的虚拟机访问控制系统及控制方法技术方案

本发明专利技术公开一种轻量级的虚拟机访问控制系统及控制方法，主要解决现有云平台中虚拟机访问控制安全性与性能损耗的平衡性问题。其包括：配置模块(1)和认证模块(2),该配置模块(1)，为虚拟机进程对应的可执行文件和虚拟机镜像文件分配拓展属性，同时解析宿主机中的配置文件并为虚拟机进程对应的可执行文件和虚拟机镜像文件分配安全标签；该认证模块(2)，根据文件的拓展属性对文件类型进行识别，筛选出虚拟机进程和虚拟机镜像文件，并根据虚拟机进程和虚拟机镜像文件所对应的安全标签进行访问控制。本发明专利技术在保证虚拟机最小特权原则下，保证了宿主机和虚拟机的安全性，减小了访问控制系统的复杂度，提高了配置的灵活性，可用于各类云平台系统。

【技术实现步骤摘要】

本专利技术属于互联网
，更进一步涉及一种虚拟机访问控制系统及其方法，可用于云计算平台。技术背景云计算基于共享基础架构的方法，提供“资源池”化的使用及服务，迅速成为信息网络中最为活跃和关键的技术之一。虚拟化作为一种关键技术为云计算提供底层技术平台支持，能有效的提高服务器的利用率，节省物理存储空间及电能。但是由于其相比传统的操作系统增加了很多额外的组件，增加了更多的接口，而且虚拟化环境的特殊性在于硬件资源的拥有者和使用者分离，因此也带来了很多的安全问题：1)信息泄露，虚拟机可以读取宿主机中的数据或者虚拟机可以不通过认证直接访问其他虚拟机中的数据；2)执行非法代码，虚拟机在宿主机中执行任意代码。虚拟机的安全问题已成为目前阻碍云计算发展的最主要的问题之一。重庆邮电大学申请的专利“一种基于系统虚拟化技术的进程安全隔离方法”(申请号2014100321341申请公布号CN103778368A)公开了一种基于系统虚拟化技术的进程安全隔离方法。其实现步骤包括：加载被隔离进程，获取进程运行环境信息；创建进程虚拟机，创建上述进程环境，并设置虚拟机进入、退出机制；在虚拟机内存中写入进程引导程序，等待被引导进程的植入；将被隔离进程移植到虚拟机内部，并引导其正常运行。该方法存在的不足之处在于将存在安全隐患的进程移至虚拟机中运行，没有设置对虚拟机的访问控制，受攻击虚拟机有可能会危害宿主机的安全上海交通大学申请的专利“虚拟化环境中的强制访问控制方法及装置”(申请号200810203451X申请公布号CN101452397A)公开了一种计算机应用
的虚拟化环境中的强制访问控制方法及装置。此专利技术提供了在虚拟化环境中指定一个虚拟机作为具有安全管理权限的可信虚拟机,可信虚拟机使用即安全密级、安全范畴作为敏感标签标识单个虚拟机的安全级别,建立访问矩阵设置每个虚拟机对其他虚拟机的访问类型集合；该专利申请将虚拟机管理域指定某一特定虚拟机，无法保证该虚拟机被漏洞攻击后整个平台的安全性。
技术实现思路
本专利技术的目的在于针对上述现有技术的不足，提出一种轻量级的虚拟机访问控制系统及控制方法，以同时对虚拟化环境中虚拟机之间和虚拟机与宿主机之间相互访问提供访问控制，减少存在漏洞的虚拟机对其余正常虚拟机或整个虚拟机平台的危害。为了实现上述目的，本专利技术的技术方案是这样实现的：1.一种轻量级的虚拟机访问控制系统，包括配置模块和认证模块，其特征在于：所述配置模块，包括：文件拓展属性配置子模块：用于为虚拟机进程对应的可执行文件和虚拟机镜像文件分配拓展属性；虚拟机镜像文件配置子模块：用于解析宿主机中的配置文件并为虚拟机镜像文件分配客体安全标签qi，其中1≤i≤n表示不同编号的虚拟机，n为虚拟机总数；虚拟机进程配置子模块：用于解析宿主机中的配置文件并为虚拟机进程分配主体安全标签pi；所述识别模块，包括：文件识别子模块：用于根据文件的拓展属性对文件类型进行识别，识别出虚拟机镜像文件；进程识别子模块：用于对宿主机所有进程类型进行识别，识别出虚拟机进程；虚拟机访问控制子模块：用于管控整个平台进程对文件的访问，对比虚拟机进程的主体安全标签pi与虚拟机镜像文件的客体安全标签qi，若pi＝qi则允许访问，否则拒绝访问。2.一种轻量级的虚拟机访问控制方法，包括：(1)系统初始化：(1a)扫描宿主机中的虚拟机进程和虚拟机镜像文件，为虚拟机进程可执行文件和虚拟机镜像文件分别添加主体拓展属性<attr,S>和客体拓展属性<attr,O>，其中attr为键，S为虚拟机可执行文件的值，O为虚拟机镜像文件的值；(1b)读取宿主机中的配置文件，获取所有主体安全标签pi和与pi所对应的客体安全标签qi，并读入内存，i是指虚拟机编号，1≤i≤n，n表示虚拟机总数；(1c)对虚拟机进程可执行文件和虚拟机镜像文件开辟安全域，并分别分配主体安全标签pi和客体安全标签qi；(2)系统初始化完成以后，拦截整个平台进程对文件系统的访问，若被访问文件存在客体拓展属性<attr,O>，则进入(3)，否则，允许此次访问；(3)获得访问进程的可执行文件，若该文件存在主体拓展属性<attr,S>，则进入(4)，否则，拒绝此次访问；(4)判断被访问文件的客体安全域是否为空，若为空，则拒绝此次访问，否则，获得其客体安全标签qi，进入步骤(5)；(5)判断访问进程的主体安全域是否为空，若为空，则拒绝此次访问，否则，获得其主体安全标签pi，进入步骤(6)；(6)比较主体安全标签pi与客体安全标签qi，若pi＝qi则允许此次访问，反之，拒绝访问。本专利技术与现有技术相比具有如下优点：第一，本专利技术在保证虚拟机最小特权原则下，减轻了漏洞利用的危害，保障了宿主机和其余虚拟机的安全。第二，本专利技术以进程作为访问控制粒度，抛开了与虚拟机无关进程的访问控制限制，结构简单，轻量，减少了服务器消耗。第三，配置简单灵活，本专利技术根据配置文件设置虚拟机访问控制，仅需更改配置文件中的配置信息，即可更改访问控制原则，所以具有配置简单灵活的特点。附图说明图1为本专利技术的系统框图；图2为本专利技术方法的实现总流程图；图3为本专利技术方法中的初始化子流程图。具体实施措施参照图1，本专利技术的系统包括：配置模块1和认证模块2，其中：所述配置模块1，包括：文件拓展属性分配子模块11、虚拟机镜像文件配置子模块12和虚拟机进程配置子模块13。该文件拓展属性分配子模块11，用于为虚拟机进程对应的可执行文件和虚拟机镜像文件分配拓展属性；该虚拟机文件配置子模块12，用于解析宿主机中的配置文件并为虚拟机镜像文件分配客体安全标签qi；该虚拟机进程安全域配置子模块13，用于解析宿主机中的配置文件并为虚拟机进程分配主体安全标签pi。所述识别模块2，包括：文件节点识别子模块21、进程识别子模块22和虚拟机访问控制子模块23。该文件节点识别子模块21，用于根据文件的拓展属性对文件类型进行识别，识别出虚拟机镜像文件；该进程识别子模块22，用于对宿主机所有进程类型进行识别，识别出虚拟机进程；该虚拟机访问控制子模块23，用于控制整个平台进程对文件的访问，保证虚拟机访问的合法性。所述的虚拟机进程对应的可执行文件和虚拟机镜像文件，包括文件系统中的索引节点，以及索引节点上可添加的文件拓展属性和安全域。所述的配置文件包含主体安全标签pi以及客体安全标签qi，其中1≤i≤n，该配置文件存放在宿主机中。参照图2，本专利技术轻量级的虚拟机访问控制方法，包括如下步骤：步骤1，系统初始化。参照图3，本步骤的实现如下：(1a)本系统借助宿主机系统Linux提供的安全模块LSM进行访问控制，将本专利技术代码编译至宿主机内核中，当宿主机文件系统启动时，扫描宿主机中的虚拟机进程和虚拟机镜像文件，为虚拟机进程可执行文件和虚拟机镜像文件分别添加主体拓展属性<attr,S>和客体拓展属性<attr,O>，其中attr为键，S为虚拟机可执行文件的值，O为虚拟机镜像文件的值；(1b)读取宿主机中的配置文件，解析配置文件中序列化的配置信息，获得虚拟机编号i、对应的虚拟机主体安全标签pi和虚拟机客体安全标签qi，其中pi为编号为i的虚拟机主体安全标签，qi为编号为i的本文档来自技高网...

【技术保护点】
一种轻量级的虚拟机访问控制系统，包括配置模块(1)和认证模块(2)，其特征在于：所述配置模块(1)，包括：文件拓展属性配置子模块(11)：用于为虚拟机进程对应的可执行文件和虚拟机镜像文件分配拓展属性；虚拟机镜像文件配置子模块(12)：用于解析宿主机中的配置文件并为虚拟机镜像文件分配客体安全标签qi，其中1≤i≤n表示不同编号的虚拟机，n为虚拟机总数；虚拟机进程配置子模块(13)：用于解析宿主机中的配置文件并为虚拟机进程分配主体安全标签pi；所述识别模块(2)，包括：文件识别子模块(21)：用于根据文件的拓展属性对文件类型进行识别，识别出虚拟机镜像文件；进程识别子模块(22)：用于对宿主机所有进程类型进行识别，识别出虚拟机进程；虚拟机访问控制子模块(23)：用于管控整个平台进程对文件的访问，对比虚拟机进程的主体安全标签pi与虚拟机镜像文件的客体安全标签qi，若pi＝qi则允许访问，否则拒绝访问。

【技术特征摘要】
1.一种轻量级的虚拟机访问控制系统，包括配置模块(1)和认证模块(2)，其特征在于：所述配置模块(1)，包括：文件拓展属性配置子模块(11)：用于为虚拟机进程对应的可执行文件和虚拟机镜像文件分配拓展属性；虚拟机镜像文件配置子模块(12)：用于解析宿主机中的配置文件并为虚拟机镜像文件分配客体安全标签qi，其中1≤i≤n表示不同编号的虚拟机，n为虚拟机总数；虚拟机进程配置子模块(13)：用于解析宿主机中的配置文件并为虚拟机进程分配主体安全标签pi；所述识别模块(2)，包括：文件识别子模块(21)：用于根据文件的拓展属性对文件类型进行识别，识别出虚拟机镜像文件；进程识别子模块(22)：用于对宿主机所有进程类型进行识别，识别出虚拟机进程；虚拟机访问控制子模块(23)：用于管控整个平台进程对文件的访问，对比虚拟机进程的主体安全标签pi与虚拟机镜像文件的客体安全标签qi，若pi＝qi则允许访问，否则拒绝访问。2.根据权利要求所述的系统，其特征在于：虚拟机进程对应的可执行文件和虚拟机镜像文件，包括文件系统中的索引节点，以及索引节点上可添加的文件拓展属性和安全域。3.根据权利要求所述的系统，其特征在于：分配拓展属性，是指分别为虚拟机的可执行文件和镜像文件分配主体拓展属性<attr,S>和客体拓展属性<attr,O>，其中attr为键，虚拟机可执行文件的值为S，虚拟机镜像文件的值为O。4.根据权利要求所述的系统，其特征在于：配置文件包含主体安全标签pi以及客体安全标签qi，其中1≤i≤n，该配置文件存放在宿主机中。5.一种轻量级的虚拟机访问控制方法，包括：(1)系统初始化：(1a)扫描宿主机中的虚拟机进程和虚拟机镜像文件，为虚拟机进程可执行文件和虚拟机镜像文件分别添加主体拓展属性<attr,S>和客体拓展属性...

【专利技术属性】
技术研发人员：朱辉，温凯，李晖，杨晓鹏，宋超，董健，
申请(专利权)人：西安电子科技大学，
类型：发明
国别省市：陕西;61