一种宿主机安全防护方法和装置制造方法及图纸

本发明专利技术公开了一种宿主机安全防护方法和装置，属于虚拟化技术领域，本发明专利技术方法包括虚拟化软件信息获取、安全防护策略下发、虚拟机访问动作监视以及非法动作拦截等步骤。本发明专利技术将虚拟机的访问动作与虚拟化软件的类型和版本相关联，通过监视虚拟机动作的方式来判断该动作的安全性，并及时拦截不安全的行为，具有逻辑简单、易于实现、结果可靠的优点，可以在不改变现有Hypervisor代码的情况下对宿主机及虚拟化软件提供全面防护，相对于现有技术来说可谓另辟蹊径，是对现有技术的一种重大改进。

Safety protection method and device for host computer

The invention discloses a host security protection method and device, which belongs to the technical field of virtualization, the method of the invention comprises the virtualization software to obtain information, security strategy, virtual machine access operation monitoring and illegal interception action steps. The type and version access action and virtualization software virtual machine is associated, by monitoring the movements of the virtual machine to judge the safety of the action, and timely interception of unsafe acts, has the advantages of simple logic, easy realization, reliable results, can not change the existing Hypervisor code case the host and the virtualization software to provide comprehensive protection, compared with the prior art is another way, is a significant improvement over existing technology.

【技术实现步骤摘要】
一种宿主机安全防护方法和装置
本专利技术涉及虚拟化
，特别是指一种宿主机安全防护方法和装置。
技术介绍
虚拟化技术可以将一台计算机虚拟为多台逻辑计算机，这样，在一台物理计算机上就可以同时运行多个逻辑计算机，每个逻辑计算机可运行不同的操作系统，并且应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高计算机的工作效率。虚拟化技术使用软件的方式重新划分计算资源，可以实现计算资源的动态分配、灵活调度、跨域共享，提高计算资源利用率，使计算资源能够真正成为社会基础设施，服务于各行各业中灵活多变的应用需求。目前的虚拟化技术都普遍使用了一种被称为Hypervisor的软件中间层。Hypervisor也叫虚拟机监视器(VirtualMachineMonitor)，是一种运行在物理服务器和操作系统之间的中间层，它可以允许多个操作系统或应用共享一套基础物理硬件，是虚拟环境中的“元”操作系统，负责协调访问服务器上的所有物理设备和虚拟机。Hypervisor是所有虚拟化技术的核心。非中断地支持多工作负载迁移的能力是Hypervisor的基本功能。当服务器启动并执行Hypervisor时，它会给每一台虚拟机分配适量的内存、CPU、网络和磁盘，并加载所有虚拟机的客户操作系统。目前市场上的主流虚拟化产品有VMware公司的vSphere、微软公司的Hyper-V、Citrix公司的XenServer、IBM公司的PowerVM、RedHat公司的Virtulization、华为公司的FusionSphere，以及开源的KVM、Xen、VirtualBSD等等。虚拟化技术与云技术的结合就形成了一种基于服务器集群的虚拟化平台，该集群中的每台服务器都是一个宿主机，这种模式很好地实践了IaaS(InfrastructureasaService，基础设施即服务)的思想。虽然虚拟化技术可以屏蔽不同虚拟机之间的信息传递，但是由于Hypervisor固有的安全漏洞，这种虚拟化平台还是存在着较为严重的安全隐患。一旦入侵者能够访问物理宿主机，入侵者就能够对虚拟机开展各种形式的攻击，如使用特定热键杀死虚拟机进程、监控虚拟机资源使用情况、关闭虚拟机、暴力删除虚拟机或者利用软驱、光驱、USB等窃取虚拟机镜像文件等。可见，现有技术中，宿主机的安全风险是一个亟待解决的问题。
技术实现思路
有鉴于此，本专利技术的目的在于提出一种宿主机安全防护方法和装置，该方法和装置可以提高宿主机的安全状况，及时发现并制止外界对宿主机的安全攻击行为。基于上述目的，本专利技术提供的技术方案是：一种宿主机安全防护方法，其包括以下步骤：获取宿主机中的虚拟化软件信息，虚拟化软件信息包括虚拟化软件的类型和版本；根据虚拟化软件信息对宿主机下发相应的安全防护策略；通过虚拟机监视器监控宿主机中虚拟机所发起的访问动作；对违反安全防护策略的访问动作进行拦截。可选地，安全防护策略为安全行为白名单，安全行为白名单包括每个安全行为所对应的行为信息，行为信息包括行为主体、行为客体、行为所涉及的进程、行为所涉及的端口、行为所涉及的服务以及行为所涉及的驱动。安全白名单具有易于维护、便于升级和实现方式简单的特点，采用白名单的方式判断虚拟化软件的行为是否安全能够保证判断过程简单可靠，从而有效监测非法行为的发生，并及时制止非法行为，充分保障宿主机和虚拟化系统的安全性。可选地，对违反安全防护策略的访问动作进行拦截的方式为：确定访问动作的动作信息，动作信息包括访问动作的主体、客体、读写属性、执行属性和控制属性；根据动作信息得到访问动作的访问信息，访问信息包括该访问动作的主体、客体、所涉及进程、所涉及端口、所涉及服务以及所涉及驱动；依据访问信息，通过遍历安全行为白名单的方式判断访问动作的合法性；对不合法的访问动作进行拦截。容易理解，主体是指动作的发起者，客体是指动作的作用对象，进程、端口、服务以及驱动都可以用编号来表示。此外，所谓读写属性包括“只读”、“只写”、“读写”等三个取值，所谓执行属性和控制属性都只有“可以”和“不可以”两个取值，一般来说，可以将读写属性拆分成“只读”、“只写”、“读写”三个子属性，则“只读”、“只写”、“读写”、“执行属性”、“控制属性”都只有0和1两种取值。该拦截方式基于BLP模型规则，BLP(Bell-La-Padula)模型是以其提出者DavidBell和LeonardLaPadula的名字命名的一种安全模型，该模型具有逻辑严谨、可形式化的特点，其基于自主访问控制和强制访问控制两种方式实现，能够处理权利的继承、转让等等关系，从而为大型系统的访问控制提供安全保证。本专利技术创造性地将BLP模型与宿主机的安全防护相结合，大大地提高了宿主机的安全性水平。可选地，在对违反安全防护策略的访问动作进行拦截的步骤之后还包括：对合法访问动作进行响应，合法访问动作即为不违反安全防护策略的访问动作。可选地，对合法访问动作进行响应的方式为：在安全行为白名单中找到合法访问动作所对应的安全行为；将合法访问动作所对应的安全行为映射为一种状态变化，状态变化为以下十一种之一：(1)创建或迁入虚拟机、(2)删除或迁出虚拟机、(3)开启或关闭虚拟机、(4)虚拟机正常运行、(5)记录虚拟机日志、(6)查看虚拟机日志、(7)暂停或从暂停中恢复虚拟机、(8)挂起或从挂起中恢复虚拟机、(9)软重启虚拟机、(10)硬重启虚拟机、(11)修改虚拟机；转换规则子模块，用于依据表1找到状态变化所对应的若干转换规则，表1中各转换规则的含义如下表2所示：依据上述若干转换规则执行动作；将动作的执行结果反馈给合法访问动作的发起者。此外，本专利技术还提供一种宿主机安全防护装置，其包括：获取模块，用于获取宿主机中的虚拟化软件信息，虚拟化软件信息包括虚拟化软件的类型和版本；下发模块，用于根据虚拟化软件信息对宿主机下发相应的安全防护策略；监视模块，用于通过虚拟机监视器监控宿主机中虚拟机所发起的访问动作；拦截模块，用于对违反安全防护策略的访问动作进行拦截。可选地，本装置还包括：安全基线模块，用于存储作为安全防护策略的安全行为白名单，安全行为白名单包括每个安全行为所对应的行为信息，行为信息包括行为主体、行为客体、行为所涉及的进程、行为所涉及的端口、行为所涉及的服务以及行为所涉及的驱动。可选地，拦截模块还包括：动作信息子模块，用于确定访问动作的动作信息，动作信息包括访问动作的主体、客体、读写属性、执行属性和控制属性；访问信息子模块，用于根据动作信息得到访问动作的访问信息，访问信息包括该访问动作的主体、客体、所涉及进程、所涉及端口、所涉及服务以及所涉及驱动；判断子模块，用于依据访问信息，通过遍历安全行为白名单的方式判断访问动作的合法性；执行拦截子模块，用于对不合法的访问动作进行拦截。可选地，本装置还包括：响应模块，用于对合法访问动作进行响应，合法访问动作即为不违反安全防护策略的访问动作。可选地，响应模块还包括：安全行为子模块，用于在安全行为白名单中找到合法访问动作所对应的安全行为；状态变化子模块，用于将合法访问动作所对应的安全行为映射为一种状态变化，状态变化为以下十一种之一：(1)创建或迁入虚拟机、(2)删除或迁出虚拟机、(3)开启或关闭虚拟机、(4)虚拟机正常运本文档来自技高网...

【技术保护点】
一种宿主机安全防护方法，其特征在于，包括以下步骤：获取宿主机中的虚拟化软件信息，所述虚拟化软件信息包括虚拟化软件的类型和版本；根据所述虚拟化软件信息对宿主机下发相应的安全防护策略；通过虚拟机监视器监控宿主机中虚拟机所发起的访问动作；对违反所述安全防护策略的访问动作进行拦截。

【技术特征摘要】
1.一种宿主机安全防护方法，其特征在于，包括以下步骤：获取宿主机中的虚拟化软件信息，所述虚拟化软件信息包括虚拟化软件的类型和版本；根据所述虚拟化软件信息对宿主机下发相应的安全防护策略；通过虚拟机监视器监控宿主机中虚拟机所发起的访问动作；对违反所述安全防护策略的访问动作进行拦截。2.根据权利要求1所述的宿主机安全防护方法，其特征在于，所述安全防护策略为安全行为白名单，所述安全行为白名单包括每个安全行为所对应的行为信息，所述行为信息包括行为主体、行为客体、行为所涉及的进程、行为所涉及的端口、行为所涉及的服务以及行为所涉及的驱动。3.根据权利要求2所述的宿主机安全防护方法，其特征在于，所述对违反所述安全防护策略的访问动作进行拦截的方式为：确定所述访问动作的动作信息，所述动作信息包括所述访问动作的主体、客体、读写属性、执行属性和控制属性；根据所述动作信息得到所述访问动作的访问信息，所述访问信息包括该访问动作的主体、客体、所涉及进程、所涉及端口、所涉及服务以及所涉及驱动；依据所述访问信息，通过遍历所述安全行为白名单的方式判断所述访问动作的合法性；对不合法的访问动作进行拦截。4.根据权利要求2所述的宿主机安全防护方法，其特征在于，在所述对违反所述安全防护策略的访问动作进行拦截的步骤之后还包括：对合法访问动作进行响应，所述合法访问动作即为不违反所述安全防护策略的访问动作。5.根据权利要求4所述的宿主机安全防护方法，其特征在于，所述对合法访问动作进行响应的方式为：在所述安全行为白名单中找到合法访问动作所对应的安全行为；将合法访问动作所对应的安全行为映射为一种状态变化，所述状态变化为以下十一种之一：(1)创建或迁入虚拟机、(2)删除或迁出虚拟机、(3)开启或关闭虚拟机、(4)虚拟机正常运行、(5)记录虚拟机日志、(6)查看虚拟机日志、(7)暂停或从暂停中恢复虚拟机、(8)挂起或从挂起中恢复虚拟机、(9)软重启虚拟机、(10)硬重启虚拟机、(11)修改虚拟机；依据表1找到所述状态变化所对应的若干转换规则，表1中各转换规则的含义如下表2所示：依据所述若干转换规则执行动作；将动作的执行结果反馈给所述合法访问动作的发起者。6.一种宿主机安全防护装置，其特征在于，包括：获取模块，用于获取宿主机中的虚拟化软...

【专利技术属性】
技术研发人员：张春光，李祉岐，孙磊，刘芮彤，刘晓蕾，曹明明，焦腾，宋洁，石佳磊，唐甜田，李杰，苏国华，段红超，杨璐羽，范维，杨滢璇，
申请(专利权)人：北京国电通网络技术有限公司，国网辽宁省电力有限公司电力科学研究院，国家电网公司，国网信息通信产业集团有限公司，
类型：发明
国别省市：北京,11